Похоже, что почтовые фильтры Microsoft, предназначенные для защиты пользователей от вредоносных сообщений, начали отклонять и легитимные письма.
В последние несколько дней некоторые письма, отправленные на потребительские адреса Microsoft, возвращаются с ошибкой, если отправитель не опубликовал запись DMARC (Domain-based Message Authentication, Reporting, and Conformance). Это касается сообщений, отправляемых на Outlook, Hotmail, Live и MSN.
Отказы начались 5 ноября и продолжаются на момент публикации. Microsoft не объявляла об изменении политики и не публиковала никаких уведомлений для почтовых администраторов, записей о состоянии службы или других сообщений в блоге.
Проблема может указывать на одновременное изменение политики и наличие ошибки, отметил Фрэнк Диксон из Dickson Research.
«Требование, чтобы каждый отправляющий домен доказывал, что он является тем, кем себя выдает, делает электронную почту безопаснее», — подчеркнул он. «Делать это без предупреждения, с сообщением об ошибке, указывающим на неверную проблему, создает беспорядок».
Периодические проблемы с отправкой
DMARC предназначен для защиты от спуфинга, фишинга и компрометации деловой электронной почты. Microsoft с мая 2025 года применяет правило, требующее DMARC, но только для доменов, отправляющих более 5000 сообщений в день на потребительские почтовые ящики.
Однако с 5 ноября письма от мелких, обычных отправителей, а не от массовых рассылок, стали отклоняться из-за отсутствия DMARC, SPF (Sender Policy Framework) или DKIM (DomainKeys Identified Mail). Отправители получают отчеты о недоставке (NDR), ссылающиеся на ошибки 550 5.7.1 или 550 5.7.23, но делают это непоследовательно: некоторые сообщения проходят, а другие отклоняются.
Например, один пользователь сообщил о следующем сообщении об ошибке на форуме сообщества Microsoft:
Ваше сообщение для <redacted>@hotmail.com не могло быть доставлено.
hotmail.com не смог подтвердить, что ваше сообщение было отправлено из доверенного источника.
Другой пользователь сообщил о той же проблеме, добавив: «Некоторые письма работают нормально, а другие возвращают ошибки SPF failed». К путанице добавляет то, что некоторые отклоненные домены, как сообщалось, имели работающие SPF, DKIM и DMARC.
Внешний модератор Microsoft назвал это «снижением качества обслуживания», которое в настоящее время активно расследуется.
По данным компании по безопасности электронной почты MailRoute, предприятия могут определить, затронут ли их домен, с помощью этой команды в любом терминале (заменив example.com на свой домен): dig +short TXT _dmarc.example.com. Ответ, начинающийся с v=DMARC1, означает наличие записи DMARC; отсутствие ответа означает ее отсутствие, сообщила MailRoute.
Решение — одна запись TXT: v=DMARC1; p=none. Это объявляет, что домен использует DMARC и просит получателей отправлять отчеты, но предписывает им не предпринимать никаких действий при сбоях, пояснила MailRoute.
DMARC призван затруднить выдачу себя за другое лицо
DMARC опирается на два фундаментальных инструмента аутентификации электронной почты, которые должны быть активны в домене: SPF и DKIM.
SPF проверяет, разрешено ли IP-адресу отправляющего сервера отправлять электронную почту от имени домена, в то время как DKIM добавляет криптографическую подпись к сообщению, чтобы доказать, что оно не было изменено по пути и действительно принадлежит домену, с которого оно якобы отправлено.
DMARC проверяет эти два параметра, определяя, соответствует ли домен, указанный в адресе «отправителя», проверенным доменам. Он связывает эти проверки с именем, которое видит читатель, и указывает получателям, что делать с подделками, пояснил Диксон.
«Без этого выдать себя за ваш домен очень легко», — сказал он. «Именно с этого начинается большая часть фишинга и компрометации деловой электронной почты».
Но поскольку Microsoft, по крайней мере до сих пор, требовала DMARC только от крупных отправителей, это не является стандартным требованием для всех; многие мелкие отправители обоснованно заключили, что это их не касается, отметил Диксон. Это включает малый и средний бизнес, некоммерческие организации, школы и профессиональные практики, такие как юридические фирмы, бухгалтеры и врачебные кабинеты, работающие на доменах, которые «кто-то настроил много лет назад, и с тех пор никто не трогал».
Более крупные организации упускают DMARC на вторичных доменах, региональных доменах и поддоменах, с которых их маркетинговые и биллинговые платформы отправляют сообщения по обычным причинам. Никто не владеет системой доменных имен (DNS), и «люди боятся нарушить легитимную отправку почты третьими сторонами», сказал Диксон.
Тихий, непоследовательный сбой
Как отметила MailRoute, опасность этого конкретного сбоя заключается в его непоследовательности: отправитель сообщения видит отказ «полный акронимов, предполагает сбой и двигается дальше». Тем временем клиент так и не узнает, что сообщение было отправлено.
Он выходит из строя незаметно, что является «бичом существования email-маркетолога», сказал Диксон. Клиенты, пациенты, соискатели работы и другие используют Hotmail, Outlook, Live и MSN, и когда счета, подтверждения сброса пароля, подтверждения встреч и письма с предложениями пропадают, клиент думает, что его игнорируют, а не обязательно, что сообщение не доходит.
Хорошая новость в том, что сбои можно найти, отметил он. Каждый отказ генерировал отскок, и отскоки регистрируются. Предприятия должны искать в логах почты, отчетах об отскоках почтовых платформ и заявках в службу поддержки записи, ссылающиеся на «Message lacks SPF/DKIM/DMARC» с 5 ноября.
Затем, переотправьте то, что имеет значение, в первую очередь срочные транзакционные письма.
Оттуда устраните причину, убедившись, что каждый домен, отправляющий почту от вашего имени, публикует запись DMARC, посоветовал Диксон. Если запись отсутствует, базовая запись мониторинга (p=none) остановит эти отказы, не изменяя того, как кто-либо еще обрабатывает вашу почту, при условии, что SPF или DKIM совпадают с доменом From.
Клиентам Microsoft 365, которые никогда не включали DKIM для своих доменов, следует сделать это сейчас, посоветовал он. «Не переписывайте SPF только потому, что отказ в нем винит», — сказал он. Если ваши записи в порядке, а почта все равно отклоняется, отправьте полный отчет об отказе в Microsoft, чтобы он попал в расследование.
Однако запись p=none — это «первая база, а не домашняя пластинка», сказал он. Цель — p=reject, которая предписывает получателям отклонять любого, кто подделывает ваше имя.
Составьте список всех служб, которые отправляют электронную почту от вашего имени, посоветовал Диксон: CRM, биллинговая система, HR-платформа и маркетинговые инструменты. «Большинство организаций не могут предоставить этот список», — отметил он. «Вы не можете защитить домен, когда не знаете, кто говорит от его имени».
Сигнал о грядущем
Хотя еще предстоит выяснить, что вызывает этот сбой, предприятия не должны ошибаться относительно того, куда все движется, сказал Диксон: DMARC будет применяться ко всем отправителям. Google и Yahoo начали требовать его от массовых отправителей в феврале 2024 года; Microsoft последовала их примеру в мае 2025 года.
«Требования начинаются с крупных отправителей, а затем становятся минимумом для всех», — сказал он. «Развертывание было провальным, но направление не вызывает сомнений». Но хотя Microsoft выбрала правильное направление, «никто не должен узнавать о новом правиле из сообщения об отказе».
Эта статья первоначально была опубликована на Computerworld.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Taryn Plumb
