Microsoft 365 básico con dominio propio

Muchos autónomos y pymes llegan a Microsoft 365 (antes Office 365) por el correo profesional o porque «el gestor dijo que lo necesitábamos». El producto es potente y, mal configurado, también es una fuente de tickets: correo que no llega, SPF en conflicto con el hosting web, usuarios sin MFA y OneDrive que nadie entiende. Esta guía cubre el camino mínimo viable en 2026 — no la certificación de administrador.

Si solo quieres entender MX y SPF en general, empieza por correo profesional con dominio propio. Aquí nos centramos en el ecosistema Microsoft.

Qué estás comprando (y qué no)

Microsoft 365 Business Basic/Standard tipicamente incluye:

• Buzón Exchange Online (correo).
• OneDrive (almacenamiento personal en la nube).
• SharePoint/Teams según plan.
• Apps web de Office; Standard añade apps de escritorio.

No incluye magia: alguien tiene que crear usuarios, verificar el dominio, apuntar DNS y formar a la gente cinco minutos. Tampoco sustituye un buen esquema de copias de seguridad: OneDrive tiene papelera y versiones, pero no es tu única estrategia ante borrados masivos o cuentas comprometidas.

Paso 1 — Dominio verificado

1. Compra o usa un dominio que controles (el registrador debe dejarte editar DNS).
2. En el centro de administración de Microsoft 365, añade el dominio.
3. Publica el registro TXT de verificación que te dan.
4. Espera propagación (minutos u horas) y completa la verificación.

Sin dominio verificado no hay correo @tudominio.com que funcione de verdad. No improvises con «solo el .onmicrosoft.com» para clientes: parece poco profesional y complica migraciones.

Paso 2 — DNS de correo (MX, SPF, DKIM, DMARC)

Microsoft te muestra los registros exactos. En resumen:

• MX: apunta el correo entrante a Exchange Online. Solo un destino MX «principal» coherente; no dejes el MX del hosting antiguo si ya migraste.
• SPF (TXT): autoriza a Microsoft a enviar en nombre de tu dominio. Si también envías desde la web (formularios, tienda), el SPF debe incluir ambos — o fallará la entrega. Detalle en la guía de correo con dominio propio.
• DKIM: actívalo en el admin de Microsoft y publica los CNAME que pide. Mejora reputación.
• DMARC: empieza con p=none y monitoriza; luego endurece. No pongas p=reject el día uno si aún tienes envíos legítimos fuera de Microsoft.

Error clásico: el hosting web añade su propio SPF y sobrescribe el de Microsoft (solo puede haber un TXT SPF). Hay que fusionar mecanismos en un solo registro.

Paso 3 — Usuarios y licencias

Crea un usuario por persona real. No compartáis una sola cuenta «info@» con la contraseña en un post-it si podéis evitarlo: mejor alias o grupo de distribución hacia buzones nominativos, o un buzón compartido.

• Asigna licencia a cada usuario que necesite correo/OneDrive.
• Buzones compartidos (contabilidad@, pedidos@) no consumen licencia extra en el modelo habitual de Microsoft, pero tienen límites — úsalos bien.
• Nombra con criterio: nombre.apellido@ escala mejor que admin2@.

Paso 4 — MFA desde el día uno

Activa autenticación multifactor para todos, especialmente cuentas con rol de administrador global. Un buzón de Microsoft 365 sin MFA es regalo para el que robe la contraseña — y desde ahí se lanza phishing interno o se cifra OneDrive. Relacionado con respuesta a ransomware.

Usa la app Authenticator o claves de seguridad. Evita SMS si puedes (SIM swapping); si es lo único viable al principio, mejor SMS que nada.

Paso 5 — Migrar correo antiguo

Opciones habituales:

• Corte limpio: cambias MX un viernes, configuras Outlook/cliente nuevo, reenvío temporal desde el proveedor viejo unos días.
• Migración IMAP: herramientas de Microsoft o export/import. Lento con buzones enormes.
• Convivencia: más compleja; solo si no puedes cortar.

Avisa a clientes VIP del cambio. Guarda capturas de la config DNS anterior por si hay que revertir. Prueba envío y recepción con Gmail/Outlook externos antes de dar por cerrada la migración.

OneDrive y archivos de empresa

OneDrive es por usuario. Para archivos de equipo, SharePoint/Teams suele ser mejor que «la carpeta de María compartida con todo el mundo». Reglas simples:

• Documentos personales → OneDrive.
• Documentos del negocio → biblioteca de SharePoint o equipo de Teams.
• No uses el Escritorio local como única copia de facturas.

Recuerda: sincronizar no sustituye backup con retención propia. Para política seria, vuelve a copias de seguridad.

Clientes: Outlook, móvil y web

Outlook clásico, «nuevo Outlook», Apple Mail y la app de Outlook móvil funcionan si el DNS está bien. Si un Mac no envía, suele ser contraseña de aplicación o cuenta mal detectada — típico de soporte remoto.

Para webmail: outlook.office.com. Enseña a la gente a no guardar la contraseña del admin global en el navegador del mostrador.

Errores frecuentes

• MX aún apuntando al hosting mientras creéis que «ya estáis en Microsoft».
• SPF roto por el panel del hosting.
• Dominio verificado a medias (solo el onmicrosoft funciona).
• Todos admin global «por comodidad».
• Sin MFA.
• Licencias asignadas de más (pagáis fantasmas) o de menos (usuarios sin buzón).
• Formularios de la web enviando desde un SMTP que ya no autoriza el SPF.

Cuánto tarda y qué necesito de ti

Una pyme de cinco usuarios con DNS accesible: a menudo se deja usable en pocas horas de trabajo efectivo, más el tiempo de propagación y de migrar histórico. Necesito: acceso al DNS, lista de usuarios, decisión sobre buzones compartidos y ventana para cortar el MX. Si el dominio lo gestiona un cuñado que no contesta el teléfono, el bloqueo no es técnico.

Alternativas honestas

Google Workspace es el paralelo obvio. Proton, Zoho o el correo del hosting valen para casos simples. Microsoft gana cuando ya vivís en Excel/Word de escritorio y queréis Teams. No hace falta Microsoft 365 «porque sí» si solo necesitáis un buzón limpio — a veces un buen proveedor de correo + Office suelto basta. En consultoría ayudo a elegir sin vender licencia por comisión.

Administradores: menos es más

El rol de administrador global puede hacerlo todo, incluido borrar el tenant. En una pyme de cinco personas basta con una o dos cuentas admin, usadas solo para administración, no para leer el correo del día a día. El resto: usuarios estándar. Si alguien «necesita ser admin para instalar una impresora», suele haber otra forma. Cuantas menos cuentas dios haya, menos superficie si roban una contraseña.

Revisa periódicamente la lista de usuarios y dispositivos conectados. Empleados que se fueron hace un año con licencia activa y acceso a Teams son un riesgo y un gasto silencioso.

Correo que cae en spam tras migrar

Es normal un bache de reputación los primeros días si el dominio es nuevo en Microsoft o si el SPF/DKIM quedaron a medias. No compres «servicios de blanqueo» dudosos. Comprueba con herramientas de cabeceras (MX Toolbox, mail-tester u otras) que SPF y DKIM pasan, envía poco a poco y pide a contactos frecuentes que marquen como legítimo. Si el hosting web sigue enviando newsletters con un SPF distinto, unifica o usa un servicio de envío transaccional bien autorizado.

Checklist

• ¿Dominio verificado?
• ¿MX, SPF, DKIM correctos (un solo SPF)?
• ¿MFA en admins y usuarios?
• ¿Buzones nominativos + compartidos claros?
• ¿Prueba de envío/recepción hecha?
• ¿Plan de archivos (OneDrive vs SharePoint)?
• ¿Copias/retención pensadas más allá de la papelera?
• ¿Admins globales limitados y no usados como correo diario?

Cuándo pedir ayuda

Si el DNS lo controla un tercero que no responde, si tienes tienda online que envía desde el mismo dominio, o si mezclas Google y Microsoft a medias, una sesión de soporte o un rato de consultoría evita semanas de correo en cuarentena. No hace falta un partner gold: hace falta alguien que lea los registros TXT sin inventar.