Outlook.com 悄悄拒绝来自没有 DMARC 的域的电子邮件

自 2026 年 11 月 5 日起，Microsoft 的消费者邮件服务已拒绝来自未发布 DMARC 记录的域的部分电子邮件。如果您的公司使用 Outlook.com、hotmail.com、live.com 或 msn.com 地址向客户、供应商或申请人发送电子邮件，则其中一些邮件可能会被退回。没有人宣布。修复方法是一条 DNS 记录。主要要点 Outlook.com、Hotmail、Live 和 MSN 现在会拒绝来自没有 DMARC 记录的域的部分邮件。它会攻击普通的小批量发件人，而不仅仅是微软发布的规则涵盖的批量发件人。只有部分邮件会被退回，因此“我的邮件正在发送”并不意味着您的域是安全的。修复的是单个 TXT 记录，v=DMARC1； p=none ，这不会改变其他收件人处理您的邮件的方式。退回邮件是什么样子 发件人收到如下所示的退回邮件，后跟每封邮件都不同的带括号的服务器名称和 ID：550 5.7.1 邮件被拒绝：邮件缺少 SPF/DKIM/DMARC 身份验证记录 (AS9031519) 第一天，同样的拒绝返回，但没有 (AS9031519) 代码：550 5.7.1 邮件被拒绝：邮件缺少 SPF/DKIM/DMARC授权记录 该措辞表明某些内容已严重损坏。通常情况下并非如此。我们看到的被退回的域名大多具有有效的 SPF，许多也具有 DKIM。他们缺少的是将两者与发件人地址联系起来的 DMARC 记录。微软所做的改变是发布了发件人规则。自 2025 年 5 月起，每天向 Outlook.com 发送超过 5,000 封邮件的域必须通过 SPF、DKIM 和 DMARC，否则会收到 550 5.7.515 Access returned 。该规则针对的是营销人员和批量发件人，大多数小企业正确地认为它不适用于他们。这种新的拒绝方式在重要方面有所不同：它到达了小发件人。来自小型办公室的一行回复可能会被退回。没有宣布。截至 11 月 6 日，微软尚未发布任何相关内容：没有邮政局长通知、没有博客文章、没有服务健康条目。它没有说失败是什么。 5.7.515 退回邮件列出了 SPF、DKIM 和 DMARC 结果。这只是说记录丢失了。 11 月 5 日，我们首次在自己的出站日志中看到这些退回邮件。同一天，其他管理员的公开报告开始出现。为什么很容易错过 Microsoft 仅拒绝来自受影响域的部分邮件。发送到 Hotmail 地址的一封邮件会被通过，下一封邮件会被退回，并且重新发送可能会成功。这种不一致使得这一消息变得危险：发送消息的人看到一大堆缩写词，假设出现了故障，然后继续前进。另一端的客户永远不知道消息已发送。如果您的业务依赖于通过个人地址联系人们（患者、房主、申请人、父母、会员），那么成本就很低。发票未送达，预约确认函始终未收到，回复看起来像是您忽略了某人。您的域名受到影响吗？如果您的域没有 DMARC 记录，则会暴露。您可以从任何终端几秒钟内签入。将 example.com 替换为您的域名： dig +short TXT _dmarc.example.com 以“v=DMARC1 开头的行表示您有记录。没有输出表示您没有记录。这就是拒绝的目标情况。修复方法是一条 DNS 记录 在您的 DNS 主机上添加一条 TXT 记录：名称：_dmarc 值：v=DMARC1；p=none p=none 是安全的起点。它声明您的域使用 DMARC 并要求接收者发送您报告，但它不告诉他们如何处理您的邮件更改。只有当 SPF 或 DKIM 通过您的发件人地址中的域时，单独的 DMARC 记录将无济于事。我们在 SPF、DKIM 和 DMARC 不再可选 中介绍了对齐的工作原理以及原因。对所有三个记录的检查位于我们的 Outlook.com 5.7.1 错误指南中。如果您的邮件通过 MailRoute 出站中继发送的邮件已通过 DMARC 所需的两项检查：对于 MailRoute 发件人，DMARC 记录就位后，Outlook.com 会看到经过身份验证的域，并且 DMARC 会通过任一检查。如果您的邮件未通过 MailRoute，DMARC 记录仍然是解决办法，但发送邮件的服务必须通过您的域的 SPF 或 DKIM，例如，使用其自己的 onmicrosoft.com 域进行签名，直到您为自己的域打开 DKIM，并且该签名不会计入 DMARC。从页面测试您的域。这是每个主要邮箱提供商都遵循的模式，要求从批量发件人开始，在截止日期内公布，然后悄然成为每个人的基线。