Outlook i Hotmail odbijają maile z domen bez DMARC. Jak sprawdzić swoją domenę w minutę

👁 117 przeczytań

Od 5 listopada część maili wysyłanych na adresy @outlook.com, @hotmail.com, @live.com i @msn.com wraca do nadawcy z komunikatem, który brzmi jak awaria całej poczty: 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records. Microsoft niczego nie ogłosił. Nie ma wpisu na blogu dla administratorów ani komunikatu o stanie usługi. Administratorzy zauważyli zmianę sami, w logach. Sprawdziłem, jak wyglądają zabezpieczenia poczty w 96 polskich domenach, od urzędów miast po sklepy, i pokazuję, jak w minutę sprawdzić własną.

Co się zmieniło 5 listopada

Pierwsi zauważyli to administratorzy poczty. MailRoute, firma obsługująca pocztę dla przedsiębiorstw, zobaczyła odbicia we własnych logach 5 listopada. EasyDMARC podaje tę samą datę i ten sam kod błędu, a pierwsze relacje na liście dyskusyjnej operatorów poczty mailop pojawiły się 6 listopada. Na forum Microsoft Q&A użytkownicy prywatnych kont Outlook.com piszą, że od 4-5 listopada część poczty od znajomych i firm do nich nie dociera, niezależnie od tego, czy nadawca korzysta z Google, czy z Zoho.

Wspólny mianownik to brak rekordu DMARC w domenie nadawcy. DMARC to jedna linijka w ustawieniach domeny, która mówi skrzynkom odbiorców: tak sprawdzaj, czy mail naprawdę pochodzi ode mnie, i tak postąp, gdy coś się nie zgadza. Działa w parze z SPF (lista serwerów, które mogą wysyłać pocztę z domeny) i DKIM (cyfrowy podpis wiadomości). Według EasyDMARC poprawne SPF i DKIM tym razem nie wystarczają. Bez samego rekordu DMARC część maili i tak wraca.

Microsoft już wcześniej miał zasady dla nadawców, ale dotyczyły tylko dużych wysyłek. Od 5 maja 2025 roku domeny, które wysyłają do Outlook.com ponad 5000 wiadomości dziennie, muszą mieć SPF, DKIM i DMARC, inaczej dostają błąd 5.7.515. Nowe odrzucenia uderzają w małych nadawców: w biuro rachunkowe, gabinet stomatologiczny, sklep internetowy z dwoma pracownikami.

Dlaczego łatwo to przegapić

Microsoft nie odrzuca wszystkiego. Jeden mail na adres Hotmail przechodzi, następny wraca, a ponowna wysyłka czasem się udaje. Nadawca widzi komunikat pełen skrótów, uznaje go za chwilowy błąd i zapomina. Odbiorca nie dowiaduje się, że ktoś do niego pisał. Faktura nie dociera, potwierdzenie wizyty też, a klient myśli, że firma go zignorowała.

Adresy Outlooka i Hotmaila mają także polscy klienci, często zakładane wiele lat temu albo razem z kontem Microsoft w Windowsie. Firma, która wysyła maile z własnej domeny do setek klientów, prawie na pewno ma wśród nich kogoś z takim adresem.

Sprawdziłem 96 polskich domen

9 listopada po południu odpytałem publiczny DNS o rekordy MX, SPF i DMARC 97 polskich domen: 24 urzędów dużych miast, 15 uczelni, 35 firm i sklepów (od Allegro i InPostu po Fakturownię i hostingodawców), 10 urzędów centralnych i 13 serwisów informacyjnych. 96 z nich ma serwer poczty. Rekord DMARC ma 95.

Jedyną domeną z serwerem poczty bez DMARC okazała się polsatnews.pl, która nie ma też rekordu SPF. W pozostałych 95 domenach polityki rozkładają się tak: 31 ma najostrzejsze ustawienie p=reject (odrzucaj podróbki), 46 ma p=quarantine (wrzucaj do spamu), a 18 tylko p=none (nic nie rób, przysyłaj raporty). Proporcjonalnie najczęściej „none” mają serwisy informacyjne (5 z 12) i uczelnie (4 z 15).

Wniosek jest prosty. Duże instytucje i znane marki są przygotowane. Problem dotyczy firm, które nigdy nie miały informatyka: domeny kupionej przy zakładaniu działalności, poczty skonfigurowanej przez szwagra, strony na tanim hostingu. Tego nie da się zmierzyć próbką znanych nazw, ale da się to sprawdzić u siebie w minutę.

Jak sprawdzić własną domenę

Na Windowsie otwórz wiersz poleceń i wpisz, zamieniając przykładową domenę na swoją:

nslookup -type=TXT _dmarc.twojafirma.pl

Na Macu i Linuksie:

dig +short TXT _dmarc.twojafirma.pl

Jeśli w odpowiedzi jest linijka zaczynająca się od v=DMARC1, rekord istnieje. Brak takiej linijki oznacza, że domena go nie ma i Outlook może odbijać część poczty. Bez wiersza poleceń można wejść na stronę dns.google, wpisać _dmarc.twojafirma.pl i wybrać typ TXT.

Jak to naprawić

W panelu domeny (home.pl, nazwa.pl, OVH, Cyberfolks, Hostido, Cloudflare, każdy ma podobną sekcję „Strefa DNS” albo „Rekordy DNS”) dodaj rekord:

• typ: TXT,
• nazwa (host): _dmarc,
• wartość: v=DMARC1; p=none.

Ustawienie p=none jest bezpiecznym początkiem: ogłasza, że domena używa DMARC, ale nie każe nikomu odrzucać poczty, więc nie zmienia tego, jak Gmail czy WP traktują twoje maile. Nowy rekord zaczyna działać po czasie, który zależy od ustawień strefy u dostawcy, zwykle w ciągu kilku godzin.

Jest jeden warunek. DMARC przechodzi tylko wtedy, gdy SPF albo DKIM zgadza się z domeną w polu „Od”. MailRoute zwraca uwagę, że Microsoft 365 podpisuje pocztę domeną onmicrosoft.com, dopóki nie włączysz DKIM dla własnej domeny. Wtedy sam rekord DMARC nie pomoże. Jeśli wysyłasz pocztę przez hosting, sprawdź w jego pomocy, jak włączyć DKIM, a w rekordzie SPF upewnij się, że jest serwer twojego dostawcy.

Po tygodniu czy dwóch, gdy raporty pokażą, że cała twoja poczta przechodzi, możesz zaostrzyć politykę do quarantine, a potem do reject. To już nie tylko kwestia dostarczalności. Domena z p=reject jest dużo trudniejsza do podrobienia, a od podszycia się pod czyjś adres zaczyna się wiele oszustw. Ten sam mechanizm, tylko w SMS-ach, opisywałem przy fałszywych alertach RCB. Jak bardzo firma zależy od tego, czy jej maile docierają, pokazała niedawno Fakturownia: część klientów dowiedziała się o włamaniu ze strony internetowej, a nie z maila.

Według EasyDMARC do 8 listopada Microsoft nie opublikował żadnego wyjaśnienia ani na blogu, ani na stronach dla nadawców, ani na liście znanych problemów Outlook.com. Nie wiadomo więc, czy to zamierzona zmiana zasad, czy stopniowe wdrażanie czegoś, co firma ogłosi później. Kierunek jest jednak ten sam u wszystkich dużych dostawców poczty: wymagania zaczynają się od masowych nadawców, a potem po cichu obejmują każdego. Jedna linijka w DNS kosztuje pięć minut. Zgubiona faktura kosztuje więcej.

Czytasz Promptowego częściej? Dodaj go do preferowanych źródeł w Google, a nowe teksty będą wyżej w Twoich wynikach.

Najczęstsze pytania

Co oznacza błąd „550 5.7.1 Message lacks SPF/DKIM/DMARC Auth Records”?

Że serwer Outlook.com odrzucił wiadomość, bo domena nadawcy nie ma rekordu DMARC. Według MailRoute i EasyDMARC takie odrzucenia pojawiają się od 5 listopada 2026 roku i dotyczą tylko części maili, więc ten sam mail wysłany ponownie może przejść.

Czy problem dotyczy też Gmaila albo WP?

Opisywane odrzucenia dotyczą adresów Microsoftu: outlook.com, hotmail.com, live.com i msn.com. Gmail i Yahoo mają własne wymagania, ale rekord v=DMARC1; p=none nie pogarsza dostarczalności do żadnej z tych skrzynek.

Mam pocztę w Gmailu na adresie @gmail.com. Muszę coś robić?

Nie. Rekord DMARC ustawia właściciel domeny. Dla adresów @gmail.com robi to Google. Sprawa dotyczy tylko osób i firm, które wysyłają maile z własnej domeny, np. [email protected].

Czy p=none wystarczy?

Na start tak, bo to sama obecność rekordu odróżnia domenę od tych, które Outlook odrzuca. Musi jednak przechodzić SPF albo DKIM dla twojej domeny. Docelowo lepiej przejść na quarantine lub reject, żeby nikt nie mógł się pod ciebie podszyć.

Link do Hostido jest partnerski: jeśli kupisz przez niego, serwis dostaje prowizję, a Ty płacisz tyle samo. Nie wpływa to na treść, także tam, gdzie piszę krytycznie.