Microsoft 365 "550 5.7.520 ... does not allow external forwarding": come risolvere

Cosa significa

Qualcuno in un'organizzazione Microsoft 365 ha impostato un inoltro automatico (una regola della posta in arrivo o l'inoltro della casella) verso un indirizzo esterno all'organizzazione, per esempio un indirizzo Gmail personale. Quando è arrivato un messaggio e Microsoft 365 ha provato a inoltrarlo, la sua policy antispam in uscita ha bloccato l'inoltro e ha inviato un bounce. Microsoft documenta questo testo:

5.7.520 Access denied, Your organization does not allow external forwarding. Please contact your administrator for further assistance. AS(7555)

Chi riceve il bounce può confondere: viene inviato al mittente originale, che potrebbe essere esterno all'organizzazione e non aver fatto nulla di sbagliato. La soluzione sta sempre dal lato dell'organizzazione che effettua l'inoltro.

Perché succede

L'inoltro automatico verso indirizzi esterni è una classica fuga di dati: chi prende il controllo di una casella spesso aggiunge una regola nascosta che gli copia tutta la posta. Microsoft lo controlla quindi nella policy del filtro antispam in uscita, con tre impostazioni:

• Automatic - System-controlled (predefinita). Dal 2021 si comporta come "Off" per le nuove organizzazioni e per la maggior parte di quelle esistenti, quindi l'inoltro è bloccato a meno che qualcuno non l'abbia consentito.
• On - Forwarding is enabled: l'inoltro esterno è consentito.
• Off - Forwarding is disabled: l'inoltro esterno è bloccato e produce il bounce 5.7.520.

Anche altri due controlli possono bloccare l'inoltro: i remote domains (l'opzione "Allow automatic forwarding" per ogni dominio esterno) e le regole del flusso di posta. Quando un controllo consente e un altro blocca, prevale il blocco.

Come verificare

1. Conferma che il bounce contenga 5.7.520 e AS(7555). Annota la casella che effettua l'inoltro indicata nel bounce (è il destinatario del messaggio originale, non l'indirizzo finale).
2. Nel portale Microsoft Defender apri Email & collaboration > Policies & rules > Threat policies > Anti-spam, apri la policy in uscita che si applica a quell'utente e guarda Automatic forwarding rules. Oppure in PowerShell:

   Get-HostedOutboundSpamFilterPolicy | Format-List Name,AutoForwardingMode
   Get-HostedOutboundSpamFilterRule | Format-List Name,HostedOutboundSpamFilterPolicy,From,FromMemberOf

3. Elenca chi inoltra all'esterno con il report Auto forwarded messages nell'interfaccia di amministrazione di Exchange, e controlla la casella stessa:

   Get-Mailbox user@yourdomain.com | Format-List ForwardingSmtpAddress,DeliverToMailboxAndForward
   Get-InboxRule -Mailbox user@yourdomain.com | Where-Object {$_.ForwardTo -or $_.RedirectTo -or $_.ForwardAsAttachmentTo}

4. Se nessuno ricorda di aver creato la regola, considera l'account compromesso prima di fare qualsiasi altra cosa: consulta un account email violato invia spam.

Come risolvere

Opzione 1: non inoltrare (spesso la risposta migliore)

Dai all'utente l'accesso in un altro modo: l'app Outlook sul telefono, una cassetta postale condivisa o un delegato. L'inoltro ha anche un costo in termini di deliverability: i messaggi inoltrati spesso falliscono SPF alla destinazione finale e possono finire nello spam, come spiegato in l'inoltro delle email rompe SPF.

Opzione 2: consenti l'inoltro solo a chi ne ha bisogno

Non impostare la policy predefinita su "On" per tutti. Crea una policy in uscita personalizzata che si applichi solo agli utenti o al gruppo autorizzati:

New-HostedOutboundSpamFilterPolicy -Name "Allow forwarding" -AutoForwardingMode On
New-HostedOutboundSpamFilterRule -Name "Allow forwarding" `
  -HostedOutboundSpamFilterPolicy "Allow forwarding" -From user@yourdomain.com

Puoi fare lo stesso nel portale Defender (crea una policy in uscita, scegli gli utenti, imposta Automatic forwarding rules su On - Forwarding is enabled). Imposta esplicitamente la policy predefinita su Off invece che su "Automatic", così il comportamento è chiaro.

Opzione 3: limita dove può andare la posta

Usa i remote domains per consentire l'inoltro automatico solo verso domini partner specifici e bloccarlo per il remote domain predefinito (*). Ricorda che un blocco, ovunque si trovi, prevale su un'autorizzazione.

Se sei il mittente esterno

Dal tuo lato non c'è nulla da cambiare: la tua email ha raggiunto la casella del destinatario, è fallito solo l'inoltro. Avvisa il destinatario (con un altro canale) che la sua regola di inoltro è bloccata, così potrà parlarne con il suo amministratore.

Verifica che sia risolto

• Le modifiche alle policy possono richiedere un po' di tempo per essere applicate. Poi invia un'email di test alla casella che effettua l'inoltro da un indirizzo esterno e verifica che la copia arrivi all'indirizzo esterno.
• Per vedere come appare la copia inoltrata ai filtri, imposta temporaneamente l'inoltro verso l'indirizzo unico nella home page di Delivmail: il report mostra se SPF, DKIM e ARC sopravvivono all'inoltro.
• Controlla regolarmente il report Auto forwarded messages, così una regola dimenticata o malevola non resta attiva.