Outlook.com "550 5.7.515 Access denied, sending domain doesn't meet the required authentication level": come risolvere

Cosa significa

Dal 2025 Microsoft richiede che i domini che inviano molte email alle caselle consumer (Outlook.com, Hotmail.com, Live.com) siano autenticati correttamente. Se il tuo dominio non rispetta queste regole, l'email viene rifiutata con questo messaggio:

550 5.7.515 Access denied, sending domain [yourdomain.com] doesn't meet
the required authentication level.

Le regole riguardano soprattutto chi invia più di circa 5.000 email al giorno a queste caselle, ma rispettarle è una buona pratica per tutti.

Perché succede

I requisiti di Microsoft per chi invia grandi volumi sono:

• SPF deve passare per il dominio di invio: il tuo record SPF deve elencare i server che inviano le tue email.
• DKIM deve passare: l'email deve avere una firma DKIM valida.
• DMARC deve essere pubblicato almeno con p=none, e deve passare, con SPF o DKIM allineati al dominio dell'indirizzo From (idealmente entrambi).

L'errore compare quando uno di questi elementi manca o fallisce. Casi tipici:

• Nessun record DMARC.
• Uno strumento di newsletter o di marketing che invia senza DKIM per il tuo dominio.
• Un SPF che non include lo strumento, oppure con un errore di sintassi o troppe query.
• DKIM che firma con il dominio del provider invece che con il tuo, quindi non è allineato.

Microsoft raccomanda anche un link di disiscrizione funzionante, indirizzi From e Reply-To validi e una pulizia regolare delle liste.

Come verificare

• Invia un'email di test: nella home page di Delivmail (/) copia il tuo indirizzo di test unico e inviagli una normale email dallo stesso server, strumento o casella che ha ricevuto il rifiuto. Apri il report quando è pronto.
• Leggi le sezioni SPF, DKIM e DMARC del report: tutti e tre devono passare, e DMARC deve mostrare l'allineamento.
• Avvia lo Scanner di dominio su /domain-scanner per verificare che il tuo dominio abbia un solo record SPF valido e un record DMARC.
• Ripeti per ogni strumento che scrive ai tuoi clienti: casella, strumento di newsletter, negozio, CRM.

Come risolvere

1. Pubblica un record DMARC se non ne hai uno. Un punto di partenza sicuro è:

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

2. Correggi SPF. Mantieni un solo record che includa tutti i servizi che inviano per te, per esempio v=spf1 include:spf.provider-example.com ~all, e resta sotto le 10 query DNS.
3. Attiva DKIM con il tuo dominio in ogni strumento di invio. Pubblica i record TXT o CNAME che ti fornisce, poi clicca "Verify" nello strumento.
4. Allinea i domini. Il dominio dell'indirizzo From deve corrispondere al dominio di firma DKIM e, idealmente, al dominio di return-path (bounce) usato da SPF. Molti strumenti permettono di impostare un return path personalizzato sul tuo dominio.
5. Aggiungi un link di disiscrizione chiaro alle email di marketing e togli gli indirizzi che generano rifiuti.

Verifica che sia risolto

Aspetta che le modifiche DNS si propaghino. Invia una nuova email da ogni strumento a un nuovo indirizzo di test Delivmail e controlla che SPF, DKIM e DMARC passino tutti con allineamento. Poi invia di nuovo all'indirizzo Outlook.com o Hotmail che l'aveva rifiutata. Con un'autenticazione corretta, questo errore specifico dovrebbe sparire; altri filtri possono comunque intervenire, quindi mantieni pulite le tue liste.