Outlook / Microsoft 365 (OAuth)

La integración con Outlook envía las plantillas de Frontmail desde tu buzón de Outlook.com, Hotmail o Microsoft 365 (Exchange Online) a través de Microsoft Graph. Los mensajes quedan en tus Elementos enviados y las respuestas llegan a tu bandeja de entrada.

Elige Outlook / Microsoft 365 si tu empresa ya trabaja con Microsoft 365 y quieres que los formularios web y las notificaciones salgan de un buzón real de la empresa (office@example.com) sin configurar otro proveedor. Igual que Gmail, está pensado para volúmenes bajos: Exchange Online limita los envíos por buzón y no hay webhooks de entrega. Para volumen transaccional usa Mailgun, Postmark, Amazon SES o Resend. Consulta el resumen de los servicios.

SMTP AUTH frente a Microsoft Graph

Microsoft 365 también ofrece envío por SMTP (smtp.office365.com:587), y el servicio SMTP de Frontmail tiene una configuración predefinida para él. Sin embargo, SMTP AUTH está desactivado por defecto en muchos tenants y Microsoft está retirando la autenticación básica (usuario + contraseña) para SMTP AUTH en Exchange Online. Por eso esta integración usa OAuth y la API sendMail de Graph: sin contraseña, sin necesidad de una excepción de SMTP AUTH y compatible con MFA y el acceso condicional.

Requisitos previos

Una cuenta de Outlook.com / Hotmail o una cuenta profesional de Microsoft 365 con un buzón de Exchange Online (una licencia que incluya Exchange).
En Microsoft 365: permiso para dar consentimiento a aplicaciones. Muchas organizaciones permiten que los usuarios consientan ellos mismos los permisos de bajo riesgo; otras exigen el consentimiento del administrador (ver más abajo).
Nada más: no necesitas registrar tu propia aplicación en Azure.

Conectar en Frontmail

Abre Servicios de correo → Añadir servicio → Outlook / Microsoft 365.
Haz clic en Conectar Outlook / Microsoft 365 e inicia sesión con el buzón desde el que quieres enviar.
Revisa la pantalla de consentimiento. Frontmail solicita estos permisos delegados:
- Mail.Send: enviar correo como tú. No puede leer, mover ni eliminar ningún correo.
- offline_access: mantener el permiso sin que tengas la sesión iniciada (esto es lo que da a Frontmail un refresh token).
- openid email: tu dirección, que se muestra en la página del servicio y se usa como From predeterminado.
Haz clic en Aceptar. Se te redirige de vuelta y el servicio se guarda con la dirección conectada.
Si quieres, ajusta Máx. de correos por segundo (por defecto 0,5/s = 30 por minuto) y haz clic en Probar conexión, que renueva el token.

Qué se guarda: el refresh token de OAuth (y un token de acceso de corta duración), cifrado con cifrado de sobre de AWS KMS. Los tokens de acceso duran alrededor de una hora; Microsoft rota el refresh token en cada renovación y Frontmail guarda el nuevo automáticamente.

Consentimiento del administrador en Microsoft 365

Si tu tenant no permite el consentimiento de los usuarios, el inicio de sesión se detiene con «Se necesita la aprobación del administrador» (o el error AADSTS65001 / AADSTS90094). Entonces un administrador global, un administrador de aplicaciones en la nube o un administrador de aplicaciones puede:

aprobar la solicitud pendiente en Centro de administración de Microsoft Entra → Aplicaciones empresariales → Solicitudes de consentimiento del administrador, o
iniciar sesión él mismo con Conectar Outlook / Microsoft 365 y marcar Consentimiento en nombre de la organización.

Más adelante, los administradores pueden restringir la aplicación a usuarios concretos en Aplicaciones empresariales → Frontmail → Propiedades → ¿Se requiere asignación?.

Cuando el token deja de funcionar

El refresh token deja de ser válido cuando:

el usuario cambia o restablece su contraseña, o un administrador revoca las sesiones (AADSTS50173),
no se usa durante 90 días (AADSTS700082),
un usuario o un administrador quita Frontmail de Mis aplicaciones / Aplicaciones empresariales,
una directiva de acceso condicional empieza a bloquear la aplicación o se deshabilita la cuenta.

Frontmail recibe invalid_grant y lo trata como un error de auth: el servicio se marca como unhealthy, recibes un correo y un aviso en el panel, y los mensajes quedan retenidos (o se envían por el servicio de respaldo) hasta que haces clic en Volver a conectar en la página del servicio. Después, los mensajes retenidos se envían automáticamente.

DNS: SPF, DKIM y DMARC

Direcciones de Outlook.com / Hotmail: no tienes que hacer nada.
Microsoft 365 con tu propio dominio: normalmente se configura al dar de alta el tenant; comprueba que existen estos registros:

; SPF
example.com.                      TXT    "v=spf1 include:spf.protection.outlook.com -all"

; DKIM: dos CNAME y después activa la firma DKIM en el portal de Microsoft Defender
selector1._domainkey.example.com. CNAME  selector1-example-com._domainkey.contoso.onmicrosoft.com.
selector2._domainkey.example.com. CNAME  selector2-example-com._domainkey.contoso.onmicrosoft.com.

; DMARC
_dmarc.example.com.               TXT    "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Copia los destinos DKIM exactos desde Microsoft Defender → Correo electrónico y colaboración → Directivas → Configuración de autenticación de correo electrónico → DKIM; los tenants más recientes pueden mostrar otro formato de destino.
Empieza DMARC con p=none y endurécelo más adelante.

Dirección From: Graph envía como el buzón con el que se inició sesión. Enviar como un buzón compartido u otro usuario requiere permisos de Enviar como y de momento no es compatible: esos intentos fallan con ErrorSendAsDenied.

Regiones

No hay región que elegir: Frontmail usa el endpoint global de Microsoft Graph (graph.microsoft.com) y el endpoint de inicio de sesión common, que funciona tanto con cuentas personales como profesionales. Las nubes nacionales (p. ej. Microsoft 365 operado por 21Vianet o US Government) no son compatibles.

Límites de envío

Cuenta	Límite aproximado
Microsoft 365 / Exchange Online	10 000 destinatarios al día, 30 mensajes por minuto, 500 destinatarios por mensaje
Outlook.com / Hotmail	~300 mensajes al día, 100 destinatarios por mensaje (menos en cuentas nuevas)
`sendMail` de Graph (MIME)	hasta 4 MB por mensaje, adjuntos incluidos

El valor predeterminado de Frontmail de 0,5 mensajes por segundo corresponde al límite de 30 mensajes por minuto de Exchange. Si superas los límites, recibes errores de limitación que Frontmail reintenta con espera.

Seguimiento de la entrega (webhooks)

Microsoft Graph no ofrece webhooks de entrega para el correo enviado, así que no hay nada que configurar y la página del servicio no tiene URL de webhook. Frontmail solo sabe si Graph aceptó el mensaje (sent) o lo rechazó (failed). Los informes de no entrega (NDR) llegan a tu bandeja de entrada como correos normales y no se añaden a la lista de supresión de Frontmail. Las aperturas y los clics no se registran.

Errores habituales

auth: el servicio no funciona (token revocado o caducado, falta el consentimiento, sin buzón, envío como otro denegado, 401/403). El servicio se marca como unhealthy; el propietario recibe un correo y un aviso en el panel. Si la plantilla tiene un servicio de respaldo, este toma el relevo; si no, se devuelve el crédito y el mensaje espera en la cola de correos retenidos como held_service_error y se envía automáticamente cuando vuelves a conectar (se vuelve a comprobar al guardar y en la comprobación de estado diaria).
permanent: este mensaje no se puede enviar (destinatarios no válidos, demasiado grande, solicitud no válida). Servicio de respaldo si está configurado; si no, failed y se devuelve el crédito.
transient: limitación, 5xx, tiempos de espera agotados. Se reintenta con espera exponencial; tras el último intento, failed y se devuelve el crédito.

Respuesta de Microsoft	Clase	Qué hacer
`invalid_grant` – `AADSTS50173` / `AADSTS700082` (concesión caducada o revocada)	auth	Haz clic en Volver a conectar en la página del servicio.
`AADSTS65001` / «Se necesita la aprobación del administrador»	auth	Pide a un administrador del tenant que dé el consentimiento (ver arriba) y vuelve a conectar.
`401 InvalidAuthenticationToken`	auth	Normalmente lo resuelve la renovación automática; si persiste, vuelve a conectar.
`403 ErrorAccessDenied` / `Authorization_RequestDenied`	auth	Se retiró el consentimiento o el acceso condicional bloquea la aplicación: consúltalo con tu administrador.
`MailboxNotEnabledForRESTAPI`	auth	La cuenta no tiene buzón de Exchange Online (sin licencia o buzón local).
`ErrorSendAsDenied`	auth	Usa la dirección del buzón conectado como dirección From.
`ErrorQuotaExceeded`	auth	El buzón está lleno: libera espacio para que Elementos enviados pueda guardar el mensaje.
`400 ErrorInvalidRecipients`	permanent	Consulta destinatario no válido.
`413` / `ErrorMessageSizeExceeded`	permanent	Mantén el mensaje con adjuntos por debajo de 4 MB.
`429 ApplicationThrottled` / `ErrorExceededMessageLimit` / `MailboxConcurrency`	transient	Se alcanzaron los límites del buzón: Frontmail espera; reduce el volumen o usa un proveedor transaccional.
`500` / `503 ServiceUnavailable`	transient	Caída de Microsoft: Frontmail reintenta.

Lista de comprobación

Buzón con Exchange Online (u Outlook.com) conectado con Conectar Outlook / Microsoft 365
Consentimiento concedido por el usuario o, si hace falta, por un administrador del tenant
Microsoft 365 con dominio propio: SPF include:spf.protection.outlook.com, DKIM selector1/selector2 activado, DMARC
From de la plantilla = la dirección del buzón conectado
Probar conexión funciona
Volumen dentro de los 30 mensajes por minuto y del límite diario de destinatarios
Servicio de respaldo configurado en las plantillas importantes