Se alguém da sua equipe recebeu na última semana um aviso de "mensagem não entregue" ao escrever para um cliente com e-mail @hotmail.com ou @outlook.com, o motivo pode ter sido este. O erro dizia, em resumo, que a mensagem não tinha registros de autenticação (SPF, DKIM, DMARC). Vale entender o que foi, porque a parte que sobra depois do susto continua valendo.
O que aconteceu com o e-mail no Outlook e no Hotmail
A partir de 5 de novembro, administradores de e-mail passaram a relatar que o Outlook.com, o Hotmail e o Live recusavam parte das mensagens de domínios sem registro DMARC. O texto da devolução, quando aparecia inteiro, era 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519). Um código 550 é uma recusa definitiva: o servidor não tenta de novo, e quem enviou recebe a mensagem de erro (dmarcian).
Segundo a janela que a Microsoft informou, o problema durou de 6 de novembro, 18h UTC, até 9 de novembro, 11h02 UTC, e o incidente foi encerrado em 10 de novembro (MailRoute).
Foi regra nova ou erro da Microsoft?
Erro, segundo a própria Microsoft. No incidente EX1545193, a empresa disse que "uma atualização recente das regras de antispam fez com que mensagens fossem marcadas e bloqueadas por engano", que a atualização foi totalmente revertida e que vai revisar seus procedimentos para reduzir falsos positivos. O incidente não menciona DMARC.
Uma ressalva de transparência: a página desse incidente só é visível para administradores do Microsoft 365. O que está aqui vem da transcrição feita por duas empresas de segurança de e-mail, a MailRoute e a dmarcian, e não de uma nota pública da Microsoft. Também há divergência sobre o alcance: os relatos falam em domínios sem DMARC de qualquer volume, enquanto a Microsoft fala em "alguns usuários". Nos primeiros dias, parte da imprensa técnica noticiou como uma nova exigência; isso foi superado pela explicação da Microsoft.
O que a Microsoft exige de verdade
A regra formal é de abril de 2025 e vale para quem envia mais de 5.000 e-mails por dia ao Outlook.com: o domínio precisa passar no SPF e no DKIM e publicar um DMARC, no mínimo com a política p=none, alinhado ao SPF ou ao DKIM. Depois de 5 de maio de 2025, mensagens fora do padrão passam a ser encaminhadas à pasta de spam. O texto da própria Microsoft diz que a rejeição definitiva virá "em data a ser anunciada" (Microsoft Tech Community). A página é inconsistente sobre o prazo, então o que se pode afirmar é: avisaram, sem data.
Uma empresa pequena que manda poucos e-mails por dia não está na regra formal. O incidente de novembro mostrou, porém, que um provedor pode errar a mão, e que um domínio com a autenticação em dia tem menos chance de ser barrado quando isso acontece.
Quer saber quando um provedor mudar a regra do seu e-mail?
Um e-mail quando o Google, a Microsoft ou um órgão mudar uma regra que afeta o seu site, o seu e-mail ou o seu sistema: o que mudou, com fonte, e o que fazer. Sem spam, cancele quando quiser.
SPF, DKIM e DMARC em uma frase cada
- SPF: uma lista, publicada no DNS do seu domínio, dos servidores que podem enviar e-mail em nome dele. Só pode existir um registro SPF por domínio.
- DKIM: uma assinatura digital que o seu provedor de e-mail coloca em cada mensagem, conferida por uma chave pública que fica no DNS. A chave é gerada no painel do provedor.
- DMARC: a regra que diz ao destinatário o que fazer quando o SPF e o DKIM falham (nada, quarentena ou rejeitar) e para onde mandar relatórios. Ele só passa se o SPF ou o DKIM passarem e forem do mesmo domínio que aparece no remetente.
Como testar o seu domínio em 2 minutos
No Windows, abra o prompt de comando e troque suaempresa.com.br pelo seu domínio:
nslookup -type=TXT _dmarc.suaempresa.com.brdeve devolver um texto que começa comv=DMARC1. Se disser que não existe, o domínio não tem DMARC.nslookup -type=TXT suaempresa.com.brdeve listar um texto que começa comv=spf1. Dois, ou nenhum, é problema.
Para o DKIM, o caminho é o painel do provedor de e-mail (Google Workspace, Microsoft 365, o e-mail da hospedagem), que mostra se a assinatura está ativa e qual registro publicar. Sem saber o nome do seletor, não dá para consultar de fora.
Se preferir não digitar comando, o Audit-X confere SPF e DMARC do seu domínio de graça, de fora, e explica o que cada achado quer dizer.
Qual é o DMARC mais simples para começar
Um registro do tipo TXT, no nome _dmarc do seu domínio, com este valor:
v=DMARC1; p=none;
O p=none só observa: não bloqueia nem manda nada para o spam, então não derruba e-mail legítimo. Ele serve para o domínio constar como "tem DMARC" e, se você acrescentar rua=mailto:alguem@suaempresa.com.br, receber relatórios de quem está enviando em seu nome. Endurecer para quarentena ou rejeição é um passo posterior, depois de semanas lendo esses relatórios, e não o primeiro.
Atenção: o DMARC sozinho não resolve. Se o SPF e o DKIM não estiverem passando e alinhados com o remetente, o DMARC falha do mesmo jeito.
A causa comum de DMARC quebrado: quem mais envia e-mail em nome da empresa
O e-mail da equipe costuma estar certo. O que quebra a autenticação é o resto: o formulário do site que manda o orçamento, o sistema que dispara pedido e boleto, a ferramenta de newsletter, o CRM. Cada um precisa estar autorizado no SPF ou assinar com DKIM do seu domínio. Quando alguém contrata uma ferramenta nova e cria um segundo registro SPF em vez de editar o que existia, o provedor descarta os dois e trata o domínio como se não tivesse SPF.
Esse é o tipo de coisa que só aparece quando alguém olha com a lista de tudo o que envia e-mail pelo seu nome.
Se o seu e-mail voltou entre 5 e 9 de novembro
Procure, na caixa de saída ou na caixa de entrada, as mensagens de "não entregue" desse período para endereços do Outlook, Hotmail ou Live, e reenvie o que era importante: orçamento, proposta, boleto, resposta a cliente. Como a recusa foi definitiva, a mensagem original provavelmente não chegou ao destinatário (dmarcian).
O Audit-X confere SPF e DMARC de graça. Para corrigir de fato, incluindo o sistema e o formulário do site que mandam e-mail em nome da empresa, a BPSO revisa com você o que está errado, em que ordem corrigir e o que muda na prática.
Como a BPSO trabalha segurança e LGPD →
Quero revisar o e-mail do meu domínio
Fatos conferidos em 12 de novembro de 2026. A explicação do incidente da Microsoft vem de transcrições de terceiros, porque a página original é restrita a administradores; a regra de remetentes em volume foi lida no texto da Microsoft de abril de 2025. Se a Microsoft anunciar data de rejeição, este texto será atualizado.