Ing. Calogero Bono
O Outlook.com, serviço de e-mail para consumidores da Microsoft, exige SPF, DKIM e DMARC de domínios que enviam mais de 5.000 e-mails por dia. Um relatório independente da MailRoute aponta agora rejeições também para remetentes pequenos, se o domínio não tiver registro DMARC. Não há confirmação da Microsoft. Se você escreve para clientes com endereços hotmail ou outlook, o risco é que algumas mensagens não cheguem sem que você perceba.
Algumas definições antes de entrar nos fatos. SPF é um registro DNS que lista os servidores autorizados a enviar e-mails pelo seu domínio. DKIM é uma assinatura digital que garante que a mensagem não foi alterada. DMARC vincula SPF e DKIM ao endereço exibido no campo From e diz aos destinatários o que fazer se as verificações falharem. Alinhamento significa que o domínio do From coincide com o domínio verificado pelo SPF ou pelo DKIM. DNS é a lista de registros que acompanha o domínio.
O que a Microsoft anunciou para os grandes remetentes?
No blog oficial a Microsoft explica que, para domínios acima de 5.000 mensagens por dia, são necessários SPF e DKIM com resultado positivo e DMARC pelo menos em p=none, alinhado ao SPF ou ao DKIM, de preferência a ambos. A regra vale para o Outlook.com, ou seja, os endereços hotmail.com, live.com e outlook.com.
Depois de 5 de maio de 2025, as mensagens não conformes deveriam ir para a pasta Lixo Eletrônico. Uma atualização de 29 de abril indica, porém, uma mudança, pois a Microsoft declara que decidiu rejeitá-las com o erro «550; 5.7.515 Access denied».
O que aponta a MailRoute?
Segundo a MailRoute, a partir de 5 de novembro de 2026 o Outlook.com rejeita parte dos e-mails de domínios sem registro DMARC. A mensagem de erro é «550 5.7.1 Message rejected», com a informação de que faltam registros de autenticação.
O fornecedor diz ter visto isso em seus próprios logs em 5 de novembro e ter encontrado relatos de outros administradores no mesmo dia. Ainda segundo a MailRoute, pequenos remetentes também são afetados, e muitos domínios já tinham SPF funcionando e às vezes DKIM.
Por que o problema é fácil de não perceber?
A MailRoute descreve uma rejeição apenas parcial. Uma mensagem para um endereço Hotmail passa, a seguinte volta, um novo envio pode dar certo. Quem escreve vê um erro cheio de siglas e pensa em uma falha momentânea.
O destinatário não sabe de nada. Assim podem desaparecer faturas, confirmações de consulta, respostas a clientes. É um dano silencioso, típico de quem escreve para pessoas físicas e não só para empresas. Sobre como os três registros trabalham juntos, temos o nosso guia sobre SPF, DKIM, DMARC e reputação do remetente.
Como verificar e corrigir o domínio?
A MailRoute sugere verificar com o comando dig +short TXT _dmarc.example.com, substituindo pelo seu domínio. Se não aparecer uma linha começando com v=DMARC1, o registro está faltando.
A correção indicada é um registro TXT com nome _dmarc e valor v=DMARC1; p=none. Essa política não pede aos destinatários que tomem alguma medida sobre as falhas, então não muda o tratamento das suas mensagens em outros lugares. Há uma condição – o DMARC só passa se SPF ou DKIM estiverem alinhados ao domínio do From. Se você usa o Microsoft 365, a MailRoute alerta que a assinatura com onmicrosoft.com não conta até você ativar o DKIM para o seu domínio.
Se o e-mail está ligado ao seu espaço de hospedagem, verifique quem gerencia o DNS, como explicamos em domínio, hospedagem e e-mail.
Limites que você precisa conhecer
A notícia sobre as rejeições abaixo do limite vem de um único fornecedor de serviços de e-mail, que também tem interesse comercial. Segundo a MailRoute, até 6 de novembro a Microsoft não havia publicado nada. Não sabemos quantos domínios são afetados, se a medida é permanente ou um teste, nem se as mensagens recusadas dependem de outros fatores. A data da fonte oficial para as rejeições definitivas ainda não foi anunciada.
O que muda para quem trabalha com o digital
O primeiro passo é verificar cada domínio com o qual você envia e-mails, inclusive os dos clientes que você gerencia. Um DMARC com p=none leva poucos minutos para configurar. Depois confira se SPF ou DKIM estão alinhados, principalmente se você envia por ferramentas externas como newsletters, sistemas de gestão e formulários do site. A Microsoft lembra que o registro precisa estar no seu domínio mesmo quando o envio é feito por terceiros, e que a lista de remetentes seguros não será respeitada. Quem faz email marketing, como na automação do carrinho abandonado, deve prestar atenção às devoluções.
Nossa opinião
O quadro é coerente. As regras nascem para os grandes remetentes, depois viram base para todos, e é a direção que tomam os principais provedores. O ponto fraco é a comunicação. Se uma rejeição parcial não é anunciada e a mensagem de erro não diz o que falta, quem paga são as pequenas empresas sem um técnico. Ainda falta verificar o relatório, mas o custo de um registro p=none é tão baixo que esperar confirmações não faz sentido. Um DMARC publicado também ajuda contra quem se passa por você, tema que abordamos em phishing e golpes por e-mail.
Perguntas frequentes
Preciso fazer algo se envio menos de 5.000 e-mails por dia?
Sim, vale a pena. As regras oficiais começam pelos grandes remetentes, mas a Microsoft escreve que todos se beneficiam dessas práticas. A MailRoute aponta rejeições também para remetentes pequenos.
Qual é o registro DMARC mínimo?
Um registro TXT com nome _dmarc e valor v=DMARC1; p=none. Segundo a MailRoute, isso não muda como os outros destinatários tratam seus e-mails. Só funciona se SPF ou DKIM estiverem alinhados.
Como reconheço a rejeição?
Pela mensagem de erro que volta ao remetente. A Microsoft indica 550 5.7.515 para os grandes remetentes, enquanto a MailRoute aponta 550 5.7.1 com a frase sobre registros de autenticação ausentes.
A lista de remetentes seguros resolve o problema?
Não. A Microsoft esclarece que a Safe Sender list não será respeitada pela nova aplicação das regras.
Se uso um serviço externo para enviar, ainda preciso mexer no DNS?
Sim. A Microsoft esclarece que a autenticação está ligada ao seu domínio mesmo quando o envio é feito por terceiros. Você precisa combinar com o fornecedor as configurações corretas de DNS.
O que acompanhar nas rejeições do Outlook nos próximos meses
Restam duas incógnitas – se a Microsoft confirmará a regra abaixo do limite e quando começarão as rejeições definitivas.
- Confira os logs de envio e conte as devoluções para endereços hotmail, live e outlook.
- Acompanhe o blog oficial da comunidade Microsoft, onde serão divulgadas as datas das novas fases.
- Quando seus remetentes estiverem alinhados, considere a passagem gradual de none para quarantine e depois para reject, como recomenda a Microsoft.
