Outlook "This sender failed our fraud detection checks": come risolvere

Cosa significa

I destinatari che usano Outlook.com, Hotmail o Outlook sul web vedono una barra di avviso in cima alla tua email. Il testo di solito è:

This sender failed our fraud detection checks and may not be who they appear to be. Learn about spoofing

Microsoft non è riuscita a confermare che l'email provenga davvero dal dominio indicato nell'indirizzo From. Ha comunque consegnato il messaggio (spesso nella posta indesiderata), ma avvisa il lettore che potrebbe essere falsificato (spoofing): inviato da qualcuno che si spaccia per te.

Questo avviso è più grave dell'immagine grigia con il "?" e della riga "We can't verify the sender". Quelli significano "non verificato"; questo significa "verifica fallita". Se vedi solo il "?", leggi invece Outlook mostra "?" o "We can't verify the sender".

Perché succede

Microsoft combina SPF, DKIM, DMARC e altri segnali in un unico verdetto chiamato autenticazione composita (compauth). Il banner compare quando questo verdetto è negativo. Motivi comuni:

• Il server di invio non è nel tuo record SPF e non c'è una firma DKIM valida per il tuo dominio. Caso tipico: un sito web, un CRM o uno strumento di newsletter che invia "da" il tuo dominio senza essere autorizzato.
• L'allineamento DMARC fallisce: SPF e DKIM passano, ma per un altro dominio (quello dello strumento), non per quello del tuo indirizzo From. Vedi DMARC fallisce: SPF e DKIM non corrispondono al tuo dominio.
• Inoltri o mailing list: il messaggio è stato inoltrato o è passato per una lista che lo ha modificato, quindi SPF fallisce e la firma DKIM si rompe.
• Un modulo di contatto invia "da" l'indirizzo del visitatore (per esempio un indirizzo Gmail) tramite il tuo server web. Dal punto di vista di Microsoft è spoofing.
• Vero spoofing: qualcun altro sta inviando email false con il tuo dominio.

Come verificare

1. Invia un'email di test dallo stesso strumento o server all'indirizzo unico indicato nella home page di Delivmail. Il report mostra i risultati di SPF, DKIM e DMARC e indica se ciascuno è allineato con il dominio del tuo From.
2. Leggi le intestazioni di un messaggio segnalato nella casella del destinatario (in Outlook sul web: i tre puntini, poi View > View message source). Guarda Authentication-Results:

   Authentication-Results: spf=fail (sender IP is 203.0.113.25) smtp.mailfrom=yourdomain.com;
    dkim=none (message not signed) header.d=none;
    dmarc=fail action=none header.from=yourdomain.com;
    compauth=fail reason=001

   Microsoft documenta i motivi: 000 significa che DMARC è fallito con una policy quarantine o reject; 001 significa che l'autenticazione implicita è fallita (nessun record, o record deboli come SPF ~all o DMARC p=none).
3. Controlla il tuo DNS con lo scanner di domini: un solo record SPF che elenchi tutti i tuoi mittenti, una chiave DKIM per ogni strumento e un record DMARC.

Come risolvere

1. Elenca tutti i servizi che inviano con il tuo dominio: provider della casella, sito web, fatturazione, CRM, newsletter, helpdesk.
2. Autorizzali tutti nell'SPF (un solo record, al massimo 10 lookup DNS):

   Host: yourdomain.com
   Type: TXT
   Value: v=spf1 include:spf.protection.outlook.com include:_spf.example-esp.com -all

   Usa i valori include forniti da ciascun provider; l'esempio sopra mostra solo la forma.
3. Attiva DKIM con il tuo dominio in ogni strumento (non con il dominio predefinito dello strumento). È ciò che mantiene valida l'autenticazione quando la posta viene inoltrata.
4. Pubblica DMARC, iniziando con il monitoraggio:

   Host: _dmarc.yourdomain.com
   Type: TXT
   Value: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

   Leggi i report, sistema ogni sorgente legittima, poi passa a quarantine o reject.
5. Correggi i moduli di contatto: invia da un indirizzo del tuo dominio e metti l'indirizzo del visitatore in Reply-To.
6. Se invii con Microsoft 365, segui SPF, DKIM e DMARC per Microsoft 365; DKIM non è attivo finché non lo abiliti per il tuo dominio personalizzato.

Chiedere ai destinatari di aggiungerti ai Mittenti attendibili nasconde il banner solo per loro. Non è una soluzione e non aiuta gli altri destinatari.

Verifica che sia risolto

• Attendi la propagazione delle modifiche DNS, poi invia un nuovo test all'indirizzo Delivmail: SPF o DKIM deve passare ed essere allineato, e DMARC deve passare.
• Invia un nuovo messaggio a un indirizzo Outlook.com e verifica che nelle intestazioni compaia compauth=pass e che il banner sia sparito. I vecchi messaggi mantengono l'avviso.