[ 平台指南 ]

将Microsoft 365出站限制映射到应用程序路由

仅在识别路由、身份、接收人群、租户和云环境后应用发送限制。当前的 Microsoft 来源包含需要租户级别验证的试用配额差异。

由EmailAuth研究团队提供 · 6 分钟阅读

[ 要点 ]

  • 邮箱提交、连接器中继和直接发送具有不同的边界。
  • 收件人速率、消息速率和租户外部收件人范围使用不同的度量。
  • TERRL 官方试验数据存在冲突:审查来源中的 500 与 5,000。
  • 租户年龄、许可证人口、云环境和执行状态需要当前验证。
在此页面上

选择限制之前先确定应用途径

Microsoft 365允许一定数量的电子邮件的声明不完整。邮箱提交、基于连接器的中继、直接发送流和专用电子邮件服务可能具有不同的约束。有用的问题是哪个记录限制适用于实际发送路径、身份、租户和收件人。本指南回顾了截至 2026 年 11 月 8 日的当前第一方来源;没有检查租户、队列或应用程序。

从包含端点、身份验证方法、提交身份、可见发件人、信封身份、连接器(如果存在)、目标群体和正常突发模式的应用程序清单开始。包括计划作业和重试队列。单独的友好应用程序名称或 Microsoft 主机名并不能确定是邮箱、中继连接器还是其他服务负责传递。

将邮箱提交与中继和直接发送分开

微软的 设备及应用路线指南,更新于 2026 年 9 月 16 日,区分经过身份验证的客户端SMTP提交、经过身份验证的连接器中继和直接发送。邮箱提交受邮箱发送限制的约束。连接器中继不受这些相同的客户端提交限制的约束,但仍受适用的服务控制的约束。直接发送无法发送给云组织外部的收件人。

不要仅仅因为邮箱速率不方便而将工作负载转移到中继。通过当前提供商说明确认路由资格、信任配置、发件人授权和收件人范围。第三方服务中托管的应用程序不会自动符合记录的连接器中继设计的条件。此评估建议不更改连接器、权限或凭据。

以自己的单位读取每个邮箱度量

这 Exchange Online限制页面,更新于 2026 年 10 月 19 日,列出指定Exchange Online计划每天 10,000 个收件人和每分钟 30 封邮件。收件人速率窗口是滚动的,并且每条消息的收件人设置是单独的衡量标准。这些是记录在案的邮箱/服务计划数据,而不是每个应用程序或每个 Microsoft 品牌服务的总限额。

将邮件计数与收件人计数分开,并将最大配置值与邮箱的实际设置区分开。邮箱和租户级别计算之间的通讯组列表处理可能有所不同。记录相关的成员资格扩展和观察到的配置,而不是假设一条提交的消息消耗每个配额的一个单位。如果多个应用程序共享一个邮箱,它们的总流量会影响该邮箱的预算。

添加租户范围的外部收件人范围

微软的 TERRL 公告和更新 描述了单独的租户外部接收者限制。 2026 年 8 月 13 日的更新引入了从 9 月 14 日起推出的配额变更,并区分了租户年龄和许可证人口。它指出 GCC、GCCH、DoD 和 21Vianet 的推出被推迟。这些云区别可以防止仅根据租户的产品名称进行全球断言。

同一消息人士称,通过租户中继的外部流量可以计算在内,并且重复交付不属于唯一地址津贴。收件人域和接受域配置很重要;另一个Microsoft 365租户不会自动成为内部租户。请查阅特定系统或专用服务流量的当前例外列表,而不是为缺少邮箱的任何内容发明通用豁免。

存在未解决的文档差异:更新后的公告规定试用租户有 500 个外部收件人,而一般限制页面和 故障排除指南 州 5,000。一般限制页面的页面更新日期较晚,因此仅按日期排序并不能解决冲突。在作出容量承诺之前,在适用的 Exchange 管理中心报告中记录并验证租户显示的配额和执行状态。

诊断实际限制

捕获完整的响应、扩展状态代码、时间戳、提交路线和受影响的收件人。 Microsoft 文档 5.7.233 针对租户外部收件人限制以及针对其他限制的单独诊断。永久性SMTP故障不会成为暂时故障,因为基础配额可能稍后会下降,并且应用程序不得盲目地重复最终结果不确定的事务。 RFC 5321 区分回复类别;保留完整的交换和应用程序的队列状态。

疑似受损区块也不同于普通的容量耗尽。故障排除指南要求在恢复访问权限之前调查帐户受到限制的原因。在不了解原因的情况下添加邮箱、削弱保护或更改凭据可能会隐藏问题而不是解决问题。当诊断或帐户证据表明滥用时,指定安全所有者。

绘制代表性工作负载,无需创造空间

考虑一组虚构的三个应用程序。计费作业通过一个经过身份验证的邮箱提交,站点服务器使用批准的连接器,扫描仪使用员工的直接发送。拟议的审查将邮箱限制映射到计费作业,将适用的租户外部收件人范围映射到连接器的出站流量,并将内部收件人边界映射到扫描仪。没有观察到这些路线和配置;它们说明了实际评估所需的清单字段。

对于每条路由,将正常和最差的预期收件人需求与实际配置的限制和剩余限额进行比较,并考虑到同一资源的其他用户。模型突发、重试、扩展组和停机时间。在测试用完限制之前不要计划发送。使用单独授权的受控样本和提供商遥测技术来验证路线,而不会产生可避免的流量或中断交付。

保留过时的路线决策

记录所选路线、源修订、租户/云范围、实际配额证据、异常解释、操作所有者和审核触发器。如果工作负载需要不同的服务,请独立评估该服务的当前资格和限制。专用服务可能是合适的,但它并不是无限的解决方法,并且更改它需要获得自己的批准。

确切的证据大门仍然开放:将当前的官方限制映射到代表性的申请路线,而无需发明数字阈值。拟议的地图是有来源支持的,但不是观察到的租户评估。摄入还需要测试特定的途径。仍需要原始路线证据、适用来源冲突的解决、技术审查和发布批准。

[ 外卖 ]

使用实际路由和显示的租户配额,而不是从不同服务复制的通用号码或未解决的页面冲突。

[ 按角色 ]

这对您意味着什么

选择您的角色以执行后续实际步骤。

应用程序所有者

将需求映射到实际提交路径

容量取决于应用程序共享的资源及其流量模式。

后续步骤

  1. 记录端点、发件人身份、身份验证、连接器和收件人。
  2. 对突发、重试和共享邮箱使用进行建模,而不会耗尽限制。
  3. 保留队列状态并完成失败提交的诊断。

交易所管理员

验证租户范围和当前配额

公布的公式或表格可能无法解决租户的有效执行问题。

后续步骤

  1. 检查云环境、接受域和租户配额报告。
  2. 解决实际租户记录的试用配额冲突。
  3. 独立的邮箱、租户、路由和防滥用限制。

安全和服务所有者

选择合适的认可服务

配额问题不应通过削弱保障措施或使用不合格的中继来解决。

后续步骤

  1. 在恢复访问之前调查可疑发送。
  2. 根据其当前限制和权限评估任何替代服务。
  3. 批准受控测试并记录其有限的结论。

[ 常见问题解答 ]

常见问题

邮箱发送限制是否自动应用于连接器中继?

否。路由指南将连接器中继与客户端SMTP提交区分开来。其他服务和租户控制仍然可以应用,因此中继不能被描述为无限制。

Direct Send 可以在组织外部传递应用程序消息吗?

审查过的路线指南说不能。更改地址或减慢应用程序不会将直接发送转变为外部中继。

公布的10000和30个数字说明了什么?

对于列出的Exchange Online计划,它们描述了每天的邮箱收件人速率限制和每分钟的邮件速率限制。他们没有定义每个 Microsoft 服务或应用程序路由的容量。

目前的试用TERRL肯定是500还是5000?

经审查的官方消息来源不同意。 2026 年 8 月的 Exchange 团队更新显示为 500,而一般限制和故障排除页面则显示为 5,000。验证租户配额和执行状态;没有断言普遍的试验价值。

TERRL 的外部地址每天只计数一次吗?

不会。Exchange 团队指南指出,发送给同一外部收件人的重复邮件会重复计数,扩展的外部组成员会单独计数。这不是唯一地址预算。

当前的 TERRL 推出声明是否适用于所有云?

不会。经过审查的 2026 年 8 月更新推迟了 GCC、GCCH、DoD 和 21Vianet。检查实际的租户环境并报告,而不是假设全球强制执行。

是否应该通过增加容量来解决可疑的妥协问题?

不可以。通过授权流程调查限制并纠正其原因。安全块和普通配额耗尽需要不同的证据和决策。

哪些路线证据仍然缺失?

实际端点、身份、租户/云配置、显示配额、完整诊断和受控代表交付证据。所包含的路线图是建议的,没有测试任何应用程序。

[ 来源 ]

来源

  1. Microsoft Exchange Online服务限制
  2. Microsoft 设备和应用程序邮件路由指南
  3. Microsoft Exchange 团队租户出站限制更新
  4. Microsoft 解决出站发送限制和阻止用户问题
  5. RFC 5321 :简单邮件传输协议

[ 词汇表 ]

词汇表

客户端SMTP提交
根据提供商记录的路线和邮箱限制,对应用程序或设备邮件进行邮箱验证提交。
连接器继电器
使用经过身份验证的连接器及其所需的信任条件通过租户中继邮件。
直接发送
记录的用于交付给云组织内部收件人的未经身份验证的路由,而不是外部收件人中继。
TERRL
租户外部收件人速率限制,租户级外部收件人控制,其范围和有效配额需要当前验证。
卷帘窗
移动观察间隔,其中较早的流量会随着时间的推移而老化,而不是所有使用情况在午夜重置。

企业出处

为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。

传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中,手动监督意味着延迟执行、配置漂移和不受监控的影子域。

EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject,保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准,以及人机交互审核能力。

政府 大型企业 一级金融机构

SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密

知识库