Microsoft "550 5.7.509 ... does not pass DMARC verification and has a DMARC policy of reject": come risolvere

Cosa significa

Il tuo dominio pubblica una policy DMARC reject, che dice ai destinatari: "Se un'email che dice di venire da noi fallisce DMARC, rifiutala." Microsoft (Outlook.com e Microsoft 365) ha fatto esattamente questo. Il messaggio di errore di solito è simile a questo:

550 5.7.509 Access denied, sending domain yourdomain.com does not pass
DMARC verification and has a DMARC policy of reject.

DMARC passa solo se SPF o DKIM passano e il dominio verificato corrisponde al dominio dell'indirizzo From visibile. Questo si chiama allineamento.

Perché succede

• Un servizio di invio non è autenticato per il tuo dominio: uno strumento di newsletter, un CRM, un negozio o un sito invia con il tuo indirizzo From, ma senza la tua chiave DKIM e da server che non sono nel tuo SPF.
• SPF passa ma non è allineato: il servizio usa il proprio dominio per i rifiuti (bounce), quindi SPF passa per il dominio del servizio, non per il tuo.
• DKIM firma con il dominio sbagliato: l'email è firmata con il dominio predefinito del provider invece che con il tuo.
• Inoltro: un'email inoltrata da un altro server può far fallire SPF, e una mailing list che modifica il contenuto può far fallire DKIM.
• Spoofing: qualcun altro invia email false con il tuo dominio. In questo caso il rifiuto significa che DMARC sta facendo il suo lavoro.

Come verificare

• Invia un'email di test: nella home page di Delivmail (/) copia il tuo indirizzo di test unico e inviagli una normale email dallo stesso server, strumento o casella che ha ricevuto il rifiuto. Apri il report quando è pronto.
• Leggi la sezione DMARC. Mostra se SPF e DKIM passano e se ciascuno è allineato con il dominio del tuo From.
• Controlla i tuoi record su /domain-scanner: un solo record SPF, un record DMARC e, dove possibile, DKIM.
• Leggi i report aggregati DMARC per trovare tutti i servizi che inviano a nome del tuo dominio. La dashboard a pagamento di Delivmail legge e riassume questi report per te.

Come risolvere

1. Individua il servizio che ha inviato l'email rifiutata. Guarda il messaggio di errore e le intestazioni del messaggio originale.
2. Configura DKIM con il tuo dominio in quel servizio. La maggior parte degli strumenti ti fornisce uno o più record DNS (TXT o CNAME) da pubblicare. DKIM è il modo più affidabile per passare DMARC, perché resiste agli inoltri.
3. Aggiungi il servizio al tuo record SPF se invia dai propri server, e configura un dominio di bounce personalizzato (return-path) sul tuo dominio se il servizio lo offre.
4. Mantieni un solo record SPF e resta sotto le 10 query DNS.
5. Se non puoi risolvere subito, abbassa temporaneamente la policy a p=quarantine o p=none mentre sistemi il servizio. Torna a reject quando tutti i tuoi servizi passano.
6. Se le email non sono tue, non toccare DMARC: p=reject sta proteggendo il tuo dominio.

Verifica che sia risolto

Aspetta che le modifiche DNS si propaghino (di solito pochi minuti, a volte qualche ora). Invia una nuova email dallo stesso servizio a un nuovo indirizzo di test Delivmail e controlla che DMARC passi con SPF o DKIM allineati. Poi invia di nuovo all'indirizzo Microsoft che l'aveva rifiutata. Continua a tenere d'occhio i report DMARC per trovare altri servizi che falliscono ancora.