550 5.7.708 “Access denied, traffic not accepted from this IP”: qué significa

Si ves este rebote de un destinatario de Microsoft 365, es un animal distinto del clásico S3140 de Outlook.com:

550 5.7.708 Service unavailable. Access denied, traffic not accepted from this IP.
For more information please go to http://go.microsoft.com/fwlink/?LinkID=526654

El 5.7.708 lo emite Exchange Online Protection (EOP), el filtro que está delante de cada tenant de Microsoft 365. Es un rechazo a nivel de IP, pero la señal de reputación se calcula aparte de los datos de SNDS de Outlook.com.

Qué provoca el 5.7.708

EOP devuelve el 5.7.708 cuando la IP de envío está en su propia lista interna de bloqueo por reputación. Causas comunes:

• Un pool de envío compartido con un mal vecino. Tu ESP te puso en una IP de la que abusó otro cliente. Es la causa número 1 para los remitentes en infraestructura compartida.
• Un pico repentino de volumen desde una IP que antes tenía poco volumen.
• Autenticación que falla de forma constante: discrepancias de SPF / DKIM a gran escala.
• Un listado en una DNSBL importante que usa Microsoft (Spamhaus SBL/PBL).
• Reportes de spam confirmados por administradores de Microsoft 365 (el complemento "Report message").

A diferencia del S3140, no existe un formulario público de delisting para el 5.7.708. El camino para corregirlo es otro: la página de Microsoft para solucionar el 5.7.708 te remite al soporte de Microsoft.

Cómo confirmar que es un bloqueo real (y no throttling)

Microsoft 365 a veces devuelve 4.7.500 / 4.7.501 (aplazamiento temporal), que se parece pero es recuperable. El 5.7.708 es permanente, y tu cola de reintentos no lo resolverá.

Revisa:

1. La clase del rebote: 550 permanente frente a 421/450 temporal.
2. El alcance: ¿rebota cada destinatario de Microsoft 365, o solo un tenant? Si es solo uno, es un bloqueo a nivel de tenant, no un bloqueo de IP.
3. Los demás proveedores: ¿Gmail, Yahoo, etc. siguen aceptando? Si es así, el problema es específico de Microsoft (como siempre lo es el 5.7.708).

Paso 1: abre una solicitud de delisting a través del portal de Microsoft

No hay formulario automático. Abres un caso de soporte por estas vías:

• Si envías desde tu propia infraestructura: contacta al administrador de Microsoft 365 de un tenant destinatario afectado y pídele que abra una escalación interna. Tienen un canal distinto al de los remitentes públicos.
• Si envías a través de un ESP: tu ESP tiene que abrir el caso. Contacta a su equipo de entregabilidad y dale la cadena del rebote tal cual, más los encabezados de un mensaje de muestra.

En los dos casos, la solicitud pide:

• La o las IPs bloqueadas.
• Una descripción de tus prácticas de envío.
• La configuración de autenticación (SPF/DKIM/DMARC).
• El volumen y el método de obtención de los destinatarios.

Tiempo de resolución: lo típico es de 3 a 7 días hábiles.

Paso 2: corrige el motivo de fondo

Mientras el caso está abierto:

• Pasa cada dominio de envío por la herramienta de salud del dominio. SPF, DKIM y DMARC, todos en verde y alineados.
• Verifica con el verificador de blacklists que la IP no esté en Spamhaus ni en otras DNSBL. Si lo está, sal de esa lista primero, porque el 5.7.708 a menudo desaparece solo cuando caen los listados de origen.
• Si estás en un pool compartido, pídele a tu ESP el historial de reputación de la IP. Si lleva semanas caliente, pide otro pool o pásate a una IP dedicada.
• Reduce el volumen agresivo. El throttling de Microsoft 365 aparece primero como 4.7.500 y escala a 5.7.708 si sigues empujando.

Paso 3: después del desbloqueo

Retoma los envíos despacio. EOP reevalúa la reputación en una ventana acumulada. Volver a tu volumen anterior el primer día del desbloqueo es la forma más rápida de ganarte un segundo bloqueo.

Aumento recomendado:

Día	% del volumen normal
1 y 2	10%
3 y 4	25%
5 a 7	50%
8 a 10	75%
11 en adelante	100%

5.7.708 frente a S3140: referencia rápida

Síntoma	5.7.708	S3140
Filtro	EOP (Microsoft 365)	Filtro de Outlook.com
Destinatarios afectados	Tenants de M365	Outlook.com / Hotmail / Live
¿Formulario público de delisting?	No	Sí (formulario de soporte para remitentes de Outlook.com)
Cómo corregirlo	Caso de soporte a través del tenant o del ESP	Formulario de delisting de Outlook.com
Resolución típica	De 3 a 7 días hábiles	De 24 a 48 horas

Preguntas frecuentes

¿Un mismo remitente puede estar bloqueado por EOP y no por Outlook.com? Sí. Los dos sistemas comparten señales pero puntúan por separado. Es común estar limpio de S3140 pero bloqueado con 5.7.708, sobre todo en un pool de IPs compartido.

¿Cambiar de IP resuelve el 5.7.708? Sí, de inmediato, si la nueva IP tiene una reputación limpia en EOP. Pero si no corriges la causa de fondo, la nueva IP se ganará un 5.7.708 en cuestión de semanas.

¿Sirve aplicar DMARC? Bastante. EOP valora mucho mejor el correo alineado con DMARC que el que está en p=none. Si estás en p=none, pasa a p=quarantine con el generador de DMARC.

Relacionado

• Cómo solucionar el error 550 5.7.1 de Microsoft
• Throttling 421 4.7.500 de Microsoft explicado
• El filtrado de Exchange Online Protection explicado

Fuentes

• Fix NDR error codes 550 5.7.703, 5.7.705, 5.7.708 and 5.7.750 (Microsoft Learn), Microsoft atribuye el 5.7.708 "traffic not accepted from this IP" a una IP de baja reputación y remite al soporte de Microsoft.
• Email nondelivery reports and SMTP errors in Exchange Online (Microsoft Learn), la restricción temporal 4.7.500-699 junto a los bloqueos de tenant y de IP 5.7.705/5.7.708.
• Use the delist portal to remove yourself from the blocked senders list (Microsoft Learn), sender.office.com atiende los bloqueos de Microsoft 365 (5.7.606-649), con un formulario aparte para Outlook.com.
• Built-in security features for all cloud mailboxes (Microsoft Learn), lo que filtra Exchange Online Protection para cada buzón en la nube.