„ Outlook “ kann eine Desktop-Anwendung, ein Verbraucherpostfach oder die Microsoft 365 Umgebung einer Organisation bedeuten. Dabei handelt es sich nicht um austauschbare Richtlinienbereiche. Beginnen Sie mit dem eigentlichen Empfangsdienst und der Diagnose, bevor Sie eine umfangreiche Checkliste verwenden, um eine fehlgeschlagene Nachricht zu erklären.
Identifizieren Sie den Verbraucherdienst und seinen aktuellen Bedarf
Der aktuelle Support-Artikel von Microsoft für 550 5.7.515 beschreibt Outlook und zugehörige Verbraucherdienste, einschließlich Hotmail, Live.com und MSN. Es identifiziert einen Absender mit hohem Volumen, der 5.000 oder mehr Nachrichten an die Dienste sendet, die dieselbe sichtbare Domäne verwenden 5322.Von Adresse. Im unterstützenden Wortlaut heißt es, dass beides SPF Und DKIM muss passieren, und dass ein veröffentlicht DMARC Politik von mindestens p=none und DMARC Pass sind erforderlich. Anleitung zu Microsoft 550 5.7.515.
In der aktualisierten Ankündigung wurde festgelegt, dass die Durchsetzung der Ablehnung am 5. Mai 2025 beginnen soll. Der ursprüngliche Plan, der nur Junk-E-Mails enthielt, wurde gestrichen. Behandeln Sie diesen ersetzten Absatz nicht als aktuelle Antwortrichtlinie. Aktualisierte Ankündigung von Microsoft.
Die frühere Ankündigung beschrieb das tägliche Volumen und verwendete „mehr als 5.000“. Bauen Sie keine Ausnahme rund um die Grenzformulierung auf: In den aktuellen Unterstützungsleitlinien werden 5.000 oder mehr verwendet. Sie sollten auf dieser Support-Seite auch keinen Rücksetzzeitraum oder eine permanente Klassifizierungsregel erfinden. Notieren Sie bei der Interpretation eines Falles die Version und die tatsächlich empfangene Diagnose.
Trennen Sie den Protokollerfolg vom Provider-Gate
Referenzen: RFC 9989 §4.4, RFC 9989 §5.3.5.
DMARC kann eine erfolgreiche Ausrichtung durchlaufen DKIM Signatur auch wenn SPF ausfällt. Dieses Protokollergebnis erfüllt keine gesonderte Anforderung, dass beide zugrunde liegenden Mechanismen bestehen müssen. Umgekehrt können sowohl SPF als auch DKIM für Domänen gelten, die nichts mit dem sichtbaren Absender zu tun haben, und dazu führen, dass DMARC fehlschlägt. Behalten Sie alle drei Ergebnisse und die Identitäten dahinter.
Notieren Sie für eine direkt vom Dienst generierte Nachricht die sendende IP. Umschlagabsender Domäne, Von-Domäne, DKIM d= Domäne und Wähler. Überprüfen Sie den aktuellen DNS und die endgültige signierte Nachricht, nicht nur einen Setup-Bildschirm. Verwenden Sie die tatsächlichen Protokollnamen: SMTP MAIL FROM ist die RFC 5321 -Umschlagidentität, während das sichtbare From zu RFC 5322 gehört.
Lesen Sie die Ablehnung als Beweis, nicht als Reparaturskript
Referenzen: RFC 8601 §5.
Eine 550 5.7.515-Ablehnung weist darauf hin, dass die Domäne des Absenders die erforderliche Authentifizierungsstufe nicht erfüllt hat. Behalten Sie die gesamten Diagnose-, Zeit-, betroffenen Empfänger- und Nachrichten-IDs bei. Reagieren Sie nicht, indem Sie alle verfügbaren Anbieter-Includes zu SPF hinzufügen oder deaktivieren DMARC -Durchsetzung ohne die scheiternde Identität zu verstehen.
Vergleichen Sie betroffene und nicht betroffene Streams. Ein Abrechnungsdienst verfügt möglicherweise über die richtige benutzerdefinierte Signatureinrichtung, während ein Kampagnendienst immer noch nur mit seiner eigenen Domäne signiert. Wenn eine Weiterleitung oder ein anderer Vermittler beteiligt ist, bewahren Sie die Route und Transformationen auf. Direktmail-Annahmen erklären möglicherweise nicht einen indirekten Pfad und einen kopierten Authentication-Results ist kein Ersatz für vertrauenswürdige Empfängernachweise.
Arbeiten Sie eine synthetische Diagnose durch
Referenzen: RFC 9989 §5.3.5.
Stellen Sie sich eine kontrollierte Nachricht vor, deren SPF Ergebnis „Fail“ und deren DKIM Ergebnis „Pass With“ lautet Ausrichtung, und dessen DMARC Ergebnis bestanden ist. Das DMARC Ergebnis ist intern kohärent. Aufgrund der von Microsoft angegebenen hohen Volumenanforderung muss der SPF Fehler noch behoben werden. Dies ist ein logisches Beispiel und keine kapitulierte Ablehnung von Microsoft.
Die nächste Aktion besteht darin, festzustellen, ob der ausgewertete Umschlagsabsender die tatsächliche Verbindungs-IP autorisiert hat. Führen Sie nach einer genehmigten Korrektur einen erneuten Test über denselben vorgesehenen Weg durch und bewahren Sie das neue Ergebnis auf. Verwenden Sie den alten Pass nicht erneut als Beweis für eine geänderte Nachricht oder Route.
Halten Sie Unternehmensfälle auf ihrem eigenen Beweisweg
Ein Microsoft 365 Mandant kann seine eigenen eingehenden Richtlinien und Connectors anwenden. Ein Empfänger, der die Outlook Anwendung verwendet, macht seine Organisation nicht dem genauen Gate des Verbraucherartikels unterworfen. Erfassen Sie für Unternehmensfälle den Diagnose- und Richtlinienkontext des Mandanten, anstatt davon auszugehen, dass 5.7.515 jede 5.7.x-Antwort erklärt.
Schließen Sie mit dem betroffenen Dienst, der Absenderdomäne, den beobachteten Mechanismusergebnissen und der korrigierten Route ab. Hier wird kein Live-Test des Microsoft-Postfachs beansprucht, und die Authentifizierungskonformität unterscheidet sich weiterhin von der Platzierung im Posteingang.