Outlook.com 开始拒收未配置 DMARC 域名的邮件
- Outlook.com、Hotmail、Live 和 MSN 现在会拒收部分来自没有 DMARC 记录的域名的邮件。
- 受影响的不仅是微软公开规则针对的大批量发件方，普通的小流量发件人也会中招。
- 只有部分邮件会被退回，所以"我的邮件能发出去"并不代表你的域名是安全的。
- 修复只需添加一条 TXT 记录：
v=DMARC1; p=none，这不会改变其他邮件服务商对你邮件的任何处理方式。
退信长什么样
发件方会收到类似下面这样的退信，末尾的方括号服务器名和 ID 每封邮件各不相同：550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)
(AS9031519) 这个代码：
550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records
变化了什么
微软确实有公开发布的发件方规则。自 2025 年 5 月起，每天向 Outlook.com 发送超过 5,000 封邮件的域名必须通过 SPF、DKIM 和 DMARC 验证，否则会收到550 5.7.515 Access denied。这条规则针对的是营销方和大批量发件方，大多数小企业理所当然地认为它与自己无关。
而这次的新拒收在几个关键点上都不一样：
- 波及小流量发件方。小办公室发出的一封简短回复也可能被退回。
- 没有任何公告。截至 11 月 6 日，微软对此只字未提：没有 postmaster 通知，没有博客文章，也没有服务健康状态记录。
- 报错信息没有说明具体失败原因。5.7.515 退信码会列出 SPF、DKIM 和 DMARC 的检测结果，而这里只提示记录缺失，缺乏详细细节。
我们在 11 月 5 日的发件日志中首次发现此类退信，同日其他管理员也开始公开报告类似情况。
为什么容易忽视
微软只会拒收受影响域名发来的部分邮件。发给 Hotmail 地址的邮件，第一封可能成功送达，第二封却被退回，重发时又可能成功。这种不一致性正是危险所在：发件人看到满是缩略语的退信提示，往往误以为是系统故障，便不再深究；而收件人则完全不知道有邮件曾试图送达。
如果你的业务依赖于触达个人邮箱用户（如患者、房主、申请者、家长、会员），损失往往是静默发生的：发票未送达、预约确认信息石沉大海、回复邮件让人感觉你已忽略了对方。
你的域名受影响吗？
如果域名没有配置 DMARC 记录，则存在风险。你可以在任何终端中几秒钟内完成检查。将 example.com 替换为你的域名：
dig +short TXT _dmarc.example.com
若输出以 "v=DMARC1 开头的行，说明你已配置记录；若无任何输出，则表示缺失。正是这种缺失情况会被此次拒收机制拦截。
修复只需一条 DNS 记录
在你的 DNS 服务商处添加一条 TXT 记录：
- 名称：
_dmarc - 值：
v=DMARC1; p=none
p=none 是安全的起步设置。它声明你的域名使用 DMARC 并请求接收方发送报告，但指示对方在验证失败时不采取任何处置措施。这不会改变 Gmail、Yahoo 或其他任何收件方处理你邮件的方式。
这里有一个前提条件。只有当 SPF 或 DKIM 在 From 地址对应的域名 上验证通过时，DMARC 才能通过。如果两者均未对齐，单靠 DMARC 记录无法解决问题。我们在 SPF、DKIM 和 DMARC 不再是可选项 一文中，详细解释了机制对齐原理及多数配置出错的原因。
包含对这三条记录全面检查的分步操作指南，请参阅我们的 Outlook.com 5.7.1 错误处理指南。
如果你的邮件通过 MailRoute 发送
通过 MailRoute 外发中继发送的邮件，本身就能通过 DMARC 所要求的两项检查：
- SPF。 你的邮件保持自己的域名作为信封发件人，并从
include:spf.mailroute.net所授权的服务器发出。 - DKIM。 我们会以你的域名对每封外发邮件签名，使用的密钥由你的
mr01、mr02和mr03CNAME 记录指定。请把这三条记录全部发布，这样我们在轮换密钥时，你的签名也不会失效。
对 MailRoute 用户来说，发布 DMARC 记录就是完整的解决方案。配置好之后，Outlook.com 就能看到你的域名通过了验证，DMARC 至少在一项检查上通过。我们的为 MailRoute 外发中继发布 DMARC 指南会带你从 p=none 逐步走向严格模式，等你准备好即可。
如果你的邮件不经过 MailRoute
解决办法仍然是发布 DMARC 记录，但前提是替你发邮件的服务必须以你的域名通过 SPF 或 DKIM 验证。比如 Microsoft 365，在你为自己的域名启用 DKIM 之前，它只用自家的 onmicrosoft.com 域名签名，而这个签名对 DMARC 无效。我们的兄弟公司 mxio 有一份面向所有发件方的错误指南，页面上的检测工具可以直接测试你的域名。
趋势如何发展
所有主流邮箱服务商都在走这条路：要求先针对大批量发件方，公布时附带期限，然后悄悄变成对所有人的基本门槛。如今 p=none 级别的 DMARC 是底线，而不是最佳实践。
这并不是坏事。如今大量的钓鱼攻击和商业邮件诈骗（BEC）都是从伪造域名开始的，而通过了验证的域名要难伪造得多。今天让邮件顺利进入 Outlook.com 收件箱的 p=none 记录，也是迈向 p=reject 的第一步——后者会指示收件方拒收所有伪造你域名的邮件。
如果您希望中继服务从一开始就能正确签署外发邮件，我们的设置文档会一步步指导您配置 SPF、DKIM 和 DMARC。准备好之后，您可以随时申请试用。今天就把记录添加好，只需几分钟，就能少一个让邮件石沉大海的理由。