Bezpieczeństwo9 lis 2026, 20:52 UTC·2 min czytania

Microsoft blokuje e-maile bez DMARC do Outlooka i Hotmaila

Od 5 listopada Outlook, Hotmail, Live i MSN odrzucają część wiadomości z domen bez rekordu DMARC, choć Microsoft nie ogłosił takiej zmiany.

Email inbox with a rejected message warning, symbolizing Microsoft blocking mail from domains without DMARC records. — Zdjęcie: Numerama

Od 5 listopada 2026 roku wiadomości wysyłane na adresy Outlook, Hotmail, Live i MSN bywają odrzucane, jeśli domena nadawcy nie publikuje rekordu DMARC. Administratorzy poczty zgłaszają błąd o treści „Message rejected: Message lacks SPF/DKIM/DMARC Auth Records”. Microsoft nie zapowiedział tej zmiany oficjalnie.

Reguła dla dużych nadawców, blokady dla małych

Oficjalnie Microsoft wymaga od 5 maja 2025 roku skonfigurowania SPF, DKIM i DMARC od domen wysyłających ponad 5 000 wiadomości dziennie do swoich skrzynek konsumenckich. Obecne blokady wyglądają jednak na dotyczące każdej domeny niestandardowej, niezależnie od wolumenu. Według zgłoszeń sam brak DMARC może wystarczyć do odrzucenia maila, nawet gdy SPF i DKIM działają poprawnie.

Microsoft nie potwierdził publicznie rozszerzenia reguły. Obserwacje firmy MailRoute sugerują więc faktyczne zaostrzenie zasad, które nie zostało jeszcze udokumentowane. Odrzucana jest tylko część wiadomości z danej domeny, a mail odrzucony czasem dociera po ponownej próbie. Użytkownicy Microsoft 365 jako odbiorcy nie wydają się dotknięci problemem.

Trzy mechanizmy uwierzytelniania

Komunikat odnosi się do trzech technik weryfikacji nadawcy. SPF wskazuje serwery uprawnione do wysyłania poczty w imieniu domeny. DKIM dodaje podpis cyfrowy, który potwierdza, że wiadomość nie została zmieniona po drodze. DMARC sprawdza, czy te kontrole zgadzają się z domeną widoczną w adresie nadawcy. Całość utrudnia podszywanie się pod cudze adresy, co ułatwia phishing.

Wiele małych firm ma SPF i DKIM, często skonfigurowane przez hostingodawcę, lecz nigdy nie dodało DMARC.

Jak temu zaradzić

Przede wszystkim należy sprawdzić, czy domena ma rekord DMARC; służą do tego darmowe narzędzia online. Jeśli go brakuje, Microsoft zaleca dodanie w panelu DNS, zwykle u hostingodawcy lub rejestratora domeny, rekordu TXT o nazwie _dmarc i wartości v=DMARC1; p=none. Polityka p=none oznacza jedynie, że domena korzysta z DMARC, i nie każe odbiorcom blokować niezgodnych wiadomości.

DMARC nie zastępuje pozostałych mechanizmów: SPF lub DKIM musi być poprawnie skonfigurowany i zgodny z domeną nadawcy. Nie wiadomo, czy Microsoft utrzyma, złagodzi, czy sformalizuje nowe zasady.