Microsoft 365 "550 5.7.705 / 5.7.708 Access denied": tenant bloccato, cosa fare

Cosa significa

Questi due errori significano che Microsoft 365 ha impedito alla tua intera organizzazione (il tuo "tenant") di inviare email verso l'esterno, non solo a un utente. Microsoft li documenta così:

550 5.7.705 Access denied, tenant has exceeded threshold.
550 5.7.708 Access denied, traffic not accepted from this IP.

• 5.7.705: una parte così grande della posta in uscita del tuo tenant sembrava spam o posta massiva che Microsoft ha bloccato gli invii del tenant.
• 5.7.708: la tua posta proveniva da un indirizzo IP con una reputazione bassa. Microsoft indica che riguarda soprattutto i nuovi clienti, per esempio con una versione di prova di Microsoft 365.

Se è bloccata una sola persona e il bounce dice 5.1.8 Access denied, bad outbound sender, si tratta di un blocco per singolo utente: consulta invece 550 5.1.8 bad outbound sender.

Perché succede

5.7.705

• Un account amministratore compromesso usato per creare connettori che inoltrano spam tramite il tuo tenant.
• Un server on-premises compromesso o un'applicazione che instrada la posta tramite Exchange Online.
• Diversi account utente compromessi che inviano phishing nello stesso momento.
• Posta massiva legittima ma mal mirata (liste vecchie, molti reclami) inviata tramite Microsoft 365, che non è pensato per gli invii di massa.
• Raramente, un abbonamento rinnovato dopo la scadenza: Microsoft segnala che l'invio può essere bloccato durante il rinnovo, di solito per non più di un giorno.

5.7.708

• Un tenant di prova o molto recente che invia a destinatari esterni. I nuovi tenant inviano da pool di IP con reputazione più bassa finché non vengono assegnate licenze reali e il tenant non ha uno storico.

Come verificare

1. Nell'interfaccia di amministrazione di Exchange esegui una traccia messaggi (message trace) sugli ultimi giorni e guarda il volume in uscita per mittente. Picchi, mittenti sconosciuti o oggetti che non hai scritto sono segnali di abuso.
2. Nel portale Microsoft Defender controlla Restricted entities per gli utenti bloccati, e gli avvisi "suspicious email sending patterns" o "user restricted from sending email".
3. Esamina i connettori (Mail flow > Connectors) per tutto ciò che non hai creato tu:

   Get-InboundConnector | Format-List Name,Enabled,SenderIPAddresses,WhenCreated
   Get-OutboundConnector | Format-List Name,Enabled,SmartHosts,WhenCreated

4. Nei log di accesso di Entra cerca accessi di amministratori o utenti da paesi o app insoliti.
5. Controlla i tuoi IP (server on-premises, relay) con il controllo blacklist di Delivmail. Una presenza in lista di solito significa che lo spam è davvero uscito.

Come risolvere

Solo un amministratore può risolvere questi errori. L'indicazione di Microsoft è chiara: correggi prima la causa, poi contatta il supporto Microsoft per togliere il blocco. Il supporto non lo toglierà finché lo spam continua a uscire.

Fai pulizia (5.7.705)

1. Reimposta le password e revoca le sessioni di tutti gli account amministratore e utente compromessi, rimuovi metodi MFA sconosciuti, regole della posta in arrivo e inoltri (procedura passo passo per gli account violati).
2. Elimina o disattiva i connettori che non hai creato e verifica chi ha ruoli di amministratore.
3. Metti in sicurezza qualsiasi server on-premises o applicazione che inoltra tramite Microsoft 365: aggiornalo, richiedi l'autenticazione e assicurati che non sia un open relay.
4. Imponi l'MFA a tutti, a partire dagli amministratori, e blocca la legacy authentication dove puoi.
5. Sposta newsletter e invii di massa su un servizio di email marketing dedicato, con il tuo dominio autenticato.

Chiedi la rimozione del blocco

Apri una richiesta di supporto dall'interfaccia di amministrazione di Microsoft 365 (Support > Help & support, oppure tramite il tuo partner). Allega un bounce di esempio con l'errore completo, la data di inizio e un breve elenco di ciò che hai trovato e corretto. I moduli self-service di delisting per i blocchi IP (usati per gli errori 5.7.606 di IP bannato) non valgono per un blocco del tenant.

5.7.708 su un tenant di prova

Microsoft indica di contattare il supporto e chiedere un'eccezione per l'IP finché non assegni licenze Exchange Online. In pratica, acquistare e assegnare licenze, inviare dal tuo dominio verificato (non onmicrosoft.com) e mantenere bassi i volumi all'inizio sono ciò che ti fa uscire dal pool a bassa reputazione.

Verifica che sia risolto

• Quando il supporto conferma la rimozione del blocco, invia un'email di test da un utente normale all'indirizzo unico nella home page di Delivmail. Controlla SPF, DKIM e DMARC: un tenant che ha subito abusi spesso aveva anche un'autenticazione debole (configurali per Microsoft 365).
• Invia di nuovo uno dei messaggi respinti al suo destinatario esterno.
• Continua a tenere d'occhio il volume in uscita e gli avvisi per qualche settimana; un secondo incidente di solito porta a un blocco più lungo.