Požadavky Outlooku na odesílatele od května 2025 a odmítnutí 550 5.7.515

Nedoručenka 550; 5.7.515 Access denied, sending domain [SendingDomain] does not meet the required authentication level znamená, že Outlook.com vaši zprávu odmítl, protože vaše doména neprošla kontrolami SPF, DKIM a DMARC, které Microsoft vyžaduje od odesílatelů velkých objemů. Opravit to musíte ve svém DNS a v nastavení systémů, které vaši poštu odesílají, ne v obsahu zprávy.

Microsoft pravidla oznámil v dubnu 2025 na svém blogu Microsoft Defender for Office 365 a začal je vynucovat 5. 5. 2025. Platí pro Outlook.com, spotřebitelskou službu Microsoftu, tedy pro adresy na outlook.com, hotmail.com a live.com.

Požadavky se do velké míry shodují s tím, co Gmail a Yahoo zavedly v roce 2024, takže doména správně nastavená pro jednoho poskytovatele je obvykle z větší části připravená i pro ostatní.

Co Microsoft vyžaduje

Podle oznámení musí domény, které denně posílají na Outlook.com více než 5 000 e-mailů, splnit 3 podmínky:

• SPF musí projít pro odesílající doménu a DNS záznam musí přesně uvádět povolené IP adresy a hostitele.
• DKIM musí projít, aby se ověřila integrita a pravost zprávy.
• DMARC musí být zveřejněný alespoň s p=none a musí být zarovnaný se SPF nebo DKIM (Microsoft uvádí, že nejlépe s oběma).

Microsoft dále uvádí zásady e-mailové hygieny pro velké odesílatele a vyhrazuje si právo filtrovat nebo blokovat ty, kdo je ignorují:

• Platná adresa From nebo Reply-To, která odpovídá skutečné odesílající doméně a umí přijímat odpovědi.
• Jasná a funkční možnost odhlášení u marketingové a hromadné pošty.
• Pravidelné odstraňování neplatných adres a zpracování nedoručenek.
• Pravdivé předměty, žádné klamavé hlavičky a příjemci, kteří s přijímáním vašich zpráv souhlasili.

Složka Nevyžádaná pošta, nebo odmítnutí

Původní oznámení uvádělo, že pošta, která pravidla nesplní, se bude nejprve přesouvat do složky Nevyžádaná pošta. Microsoft příspěvek 29. 4. 2025 aktualizoval: zprávy, které nesplní požadavky na ověřování, budou odmítány s chybou 550 5.7.515, a to od původně plánovaného data 5. 5. 2025 (zdroj).

V praxi je to výhoda: odmítnutí se objeví v logech odesílání a v přehledech nedoručenek, zatímco tiché přesunutí do nevyžádané pošty může dlouho zůstat bez povšimnutí.

Proč legitimní doména dostane 5.7.515

Obvykle za tím nestojí nic škodlivého, ale mezery v nastavení:

Odesílací nástroj bez DKIM pro vaši doménu. Newsletterové platformy, CRM a fakturační nástroje často podepisují poštu svou vlastní doménou, dokud do té vaší nepřidáte jejich DKIM záznamy.

SPF prochází pro dodavatele, ne pro vás. Mnoho služeb používá vlastní návratovou adresu, takže SPF projde pro bounce.vendor.net. Bez zarovnaného DKIM pak DMARC selže.

Chybí záznam DMARC. Microsoft vyžaduje alespoň p=none. K selhání stačí chybějící záznam _dmarc.

SPF nad limitem dotazů. SPF povoluje nejvýše 10 DNS dotazů (RFC 7208, oddíl 4.6.4). Přidáte jednu službu navíc a SPF vrátí chybu u každé zprávy.

Nedávná změna DNS. Přechod k novému poskytovateli DNS nebo pošty, při kterém se zapomněl DKIM selektor nebo SPF include pro některou službu.

Jak najít příčinu

Začněte u svého DNS:

dig +short TXT yourcompany.com | grep spf1
dig +short TXT _dmarc.yourcompany.com
dig +short TXT selector1._domainkey.yourcompany.com

Pak zjistěte, který systém vrácenou zprávu odeslal. Nedoručenka obvykle obsahuje původní hlavičky. Ze stejného systému pošlete test na adresu Outlook.com, kterou máte pod kontrolou, a prohlédněte si hlavičku Authentication-Results. Jak ji číst, vysvětluje Microsoft v dokumentaci k hlavičkám zpráv. Hledáte toto:

spf=pass smtp.mailfrom=yourcompany.com
dkim=pass header.d=yourcompany.com
dmarc=pass header.from=yourcompany.com

Pokud smtp.mailfrom nebo header.d ukazuje doménu dodavatele místo vaší, problém je v zarovnání. Pokud vidíte dkim=none, systém nepodepisuje vůbec.

Jak to opravit

1. Pokud záznam DMARC nemáte, zveřejněte ho: v=DMARC1; p=none; rua=mailto:dmarc@yourcompany.com.
2. V každém odesílacím nástroji nastavte DKIM s vlastní doménou (nástroj vám vygeneruje CNAME nebo TXT záznamy, které přidáte do DNS).
3. Kde nástroj podporuje vlastní návratovou adresu, nasměrujte ji na svou subdoménu, aby bylo zarovnané i SPF.
4. Slučte SPF do jednoho záznamu, odstraňte služby, které už nepoužíváte, a zůstaňte pod 10 dotazy.
5. Pošlete na Outlook.com nový test a ověřte, že projdou všechny 3 kontroly.
6. Jakmile přehledy DMARC ukážou, že veškerá legitimní pošta prochází, přejděte na p=quarantine a později na p=reject.

Pro další pomoc Microsoft odkazuje odesílatele na svůj portál podpory odesílatelů Outlooku. Každý záznam podrobněji vysvětluje náš průvodce SPF, DKIM a DMARC.

Krátký kontrolní seznam

• SPF prochází, jeden záznam, pod 10 dotazy.
• DKIM podepisuje vaší doménou v každém systému, který posílá poštu.
• DMARC zveřejněný, alespoň p=none, zarovnaný se SPF nebo DKIM.
• Po každé změně DNS nebo poskytovatele kontrola nedoručenek 5.7.515 v logech.
• Funkční odhlášení a čisté seznamy u marketingové pošty.

Kde pomůže Datahorses

Datahorses každý den zvenčí sleduje vaše DNS záznamy související s poštou, takže odstraněný DKIM selektor, rozbitý SPF záznam nebo oslabená politika DMARC se zachytí dřív, než se změní v nedoručenky. Každou změnu posoudí náš specialista a vašemu vývojáři pošle přesné záznamy k opravě. Podívejte se, co hlídáme, jak postupujeme při zjištění, nebo na ukázkový přehled.