Požiadavky Outlooku na odosielateľov od mája 2025 a odmietnutie 550 5.7.515

Vrátená správa 550; 5.7.515 Access denied, sending domain [SendingDomain] does not meet the required authentication level znamená, že Outlook.com váš mail odmietol, lebo vaša doména neprešla kontrolami SPF, DKIM a DMARC, ktoré Microsoft vyžaduje od hromadných odosielateľov. Riešenie treba hľadať vo vašom DNS a v nastavení systémov, ktoré vašu poštu posielajú, nie v obsahu správy.

Microsoft pravidlá ohlásil na blogu Microsoft Defender for Office 365 v apríli 2025 a vynucuje ich od 5. mája 2025. Platia pre Outlook.com, spotrebiteľskú službu Microsoftu, teda pre adresy na outlook.com, hotmail.com a live.com.

Požiadavky veľmi pripomínajú to, čo zaviedli Gmail a Yahoo v roku 2024, takže keď máte doménu správne nastavenú pre jedného poskytovateľa, väčšinu práce máte zvyčajne hotovú aj pre ostatných.

Čo Microsoft vyžaduje

Podľa oznámenia musia domény, ktoré posielajú na Outlook.com viac ako 5 000 mailov denne, splniť 3 podmienky:

• SPF musí prejsť pre odosielajúcu doménu a záznam DNS musí presne uvádzať povolené IP adresy a servery.
• DKIM musí prejsť, aby sa overila neporušenosť a pravosť správy.
• DMARC musí byť zverejnený aspoň s p=none a musí byť zarovnaný so SPF alebo DKIM (podľa Microsoftu najlepšie s oboma).

Microsoft uvádza aj zásady hygieny pošty pre veľkých odosielateľov a vyhradzuje si právo filtrovať alebo blokovať tých, ktorí ich ignorujú:

• Platná adresa From alebo Reply-To, ktorá zodpovedá skutočnej odosielajúcej doméne a dokáže prijímať odpovede.
• Zrozumiteľná a funkčná možnosť odhlásenia pri marketingovej a hromadnej pošte.
• Pravidelné odstraňovanie neplatných adries a spracovanie vrátených správ.
• Pravdivé predmety, žiadne klamlivé hlavičky a príjemcovia, ktorí so zasielaním súhlasili.

Priečinok nevyžiadanej pošty alebo odmietnutie

Pôvodné oznámenie hovorilo, že pošta, ktorá pravidlá nespĺňa, pôjde najprv do priečinka Nevyžiadaná pošta. Microsoft príspevok 29. apríla 2025 aktualizoval: správy, ktoré nesplnia požiadavky na overenie, sa odmietnu s chybou 550 5.7.515, a to od 5. mája 2025, ako bolo pôvodne naplánované (zdroj).

V praxi je to výhoda: odmietnutie uvidíte v záznamoch o odosielaní a v hláseniach o vrátených správach, kým tichý presun do nevyžiadanej pošty môže dlho ostať bez povšimnutia.

Prečo legitímna doména dostane 5.7.515

Zvyčajne za tým nie je nič škodlivé, len medzery v nastavení:

Nástroj na odosielanie bez DKIM pre vašu doménu. Platformy na newslettre, CRM a fakturačné nástroje často podpisujú poštu vlastnou doménou, kým do svojho DNS nepridáte ich záznamy DKIM.

SPF prejde pre doménu dodávateľa, nie pre vašu. Mnohé služby používajú vlastnú návratovú adresu, takže SPF prejde pre bounce.vendor.net. Bez zarovnaného DKIM potom DMARC neprejde.

Chýba záznam DMARC. Microsoft vyžaduje aspoň p=none. Stačí, že chýba záznam _dmarc, a kontrola neprejde.

SPF prekračuje limit vyhľadávaní. SPF povoľuje najviac 10 vyhľadávaní DNS (RFC 7208, časť 4.6.4). Stačí pridať jednu službu navyše a SPF vráti chybu pri každej správe.

Nedávna zmena DNS. Pri presune k novému poskytovateľovi DNS alebo pošty sa vynechal selektor DKIM alebo SPF include pre niektorú službu.

Ako nájsť príčinu

Začnite svojím DNS:

dig +short TXT yourcompany.com | grep spf1
dig +short TXT _dmarc.yourcompany.com
dig +short TXT selector1._domainkey.yourcompany.com

Potom zistite, ktorý systém poslal správu, ktorá sa vrátila. Vrátená správa zvyčajne obsahuje pôvodné hlavičky. Z toho istého systému pošlite test na vlastnú adresu v Outlook.com a pozrite si hlavičku Authentication-Results. Ako ju čítať, vysvetľuje Microsoft v dokumentácii k hlavičkám správ. Mali by ste vidieť toto:

spf=pass smtp.mailfrom=yourcompany.com
dkim=pass header.d=yourcompany.com
dmarc=pass header.from=yourcompany.com

Ak smtp.mailfrom alebo header.d ukazuje doménu dodávateľa namiesto vašej, problémom je zarovnanie. Ak vidíte dkim=none, systém správy vôbec nepodpisuje.

Ako to opraviť

1. Ak záznam DMARC nemáte, zverejnite ho: v=DMARC1; p=none; rua=mailto:dmarc@yourcompany.com.
2. V každom nástroji na odosielanie nastavte DKIM s vlastnou doménou (nástroj vám vygeneruje záznamy CNAME alebo TXT, ktoré pridáte do DNS).
3. Ak nástroj podporuje vlastnú návratovú adresu, nasmerujte ju na svoju subdoménu, aby sa zarovnalo aj SPF.
4. Zlúčte SPF do jedného záznamu, odstráňte služby, ktoré už nepoužívate, a ostaňte pod hranicou 10 vyhľadávaní.
5. Znova pošlite test na Outlook.com a overte, že prejdú všetky 3 kontroly.
6. Keď hlásenia DMARC ukážu, že všetka legitímna pošta prechádza, prejdite na p=quarantine a neskôr na p=reject.

Ďalšiu pomoc ponúka Microsoft na svojom portáli podpory pre odosielateľov Outlooku. Každý záznam podrobnejšie vysvetľuje náš návod SPF, DKIM a DMARC.

Krátky kontrolný zoznam

• SPF prechádza, máte jediný záznam a menej ako 10 vyhľadávaní.
• DKIM podpisuje vašou doménou v každom systéme, ktorý posiela poštu.
• DMARC je zverejnený, aspoň p=none, a zarovnaný so SPF alebo DKIM.
• Po každej zmene DNS alebo poskytovateľa kontrolujete, či sa nevracajú správy s chybou 5.7.515.
• Marketingová pošta má funkčné odhlásenie a čisté zoznamy.

Kde pomáha Datahorses

Datahorses každý deň stráži zvonku vaše záznamy DNS súvisiace s poštou, takže odstránený selektor DKIM, pokazený záznam SPF alebo oslabenú politiku DMARC odhalíme skôr, než sa začnú vracať správy. Každú zmenu posúdi náš špecialista a vášmu vývojárovi pošleme presné záznamy na opravu. Pozrite sa, čo strážime a ako postupujeme pri zistení, alebo si otvorte ukážkový prehľad.