Errore Outlook 550 5.7.515: causa e soluzione per PMI

Cosa significa il messaggio

Il messaggio di ritorno di Microsoft ha questo aspetto:

550 5.7.515 Access denied, sending domain example.com does not meet the required authentication level.

Tradotto: accesso negato, il dominio mittente non raggiunge il livello di autenticazione richiesto. Il codice 550 indica un errore definitivo. L'e-mail non è stata consegnata e il suo server non riproverà.

Si intende il dominio dell'indirizzo mittente visibile, cioè ciò che segue la @ nel campo «Da». L'errore non dice nulla sul contenuto del messaggio. Significa solo che Microsoft non ha potuto confermare a sufficienza che l'e-mail proviene davvero dal suo dominio.

Tre termini ricorrono sempre:

• SPF: una voce DNS con l'elenco dei server autorizzati a inviare e-mail per il suo dominio.
• DKIM: una firma digitale che il suo sistema di posta aggiunge a ogni e-mail. La chiave corrispondente si trova nel suo DNS.
• DMARC: una voce DNS che collega SPF e DKIM all'indirizzo mittente e stabilisce cosa succede alle e-mail che non superano il controllo.

Chi è interessato

Ad aprile 2025 Microsoft ha annunciato nuove regole per i mittenti con grandi volumi. Valgono da maggio 2025 per i servizi di posta per privati: Outlook.com, Hotmail, Live.com e MSN. In origine Microsoft voleva spostare queste e-mail nella cartella Posta indesiderata. Poco prima dell'avvio ha deciso invece di rifiutarle con il codice 5.7.515.

Nel suo blog Microsoft definisce grandi mittenti i domini che inviano più di 5000 e-mail al giorno. L'articolo di supporto sull'errore parla di 5000 o più messaggi verso i servizi per privati, tutti con lo stesso dominio nell'indirizzo mittente. Conta quindi il suo dominio, non il singolo programma. Newsletter, negozio online e contabilità si sommano se tutti inviano con @example.com.

Molte PMI restano sotto questa soglia. La correzione conviene comunque: Microsoft raccomanda espressamente le stesse impostazioni a tutti i mittenti, e Google pone requisiti simili per Gmail da febbraio 2024.

Cosa chiede esattamente Microsoft

Secondo Microsoft, le e-mail dei grandi mittenti devono soddisfare tutti questi punti:

1. SPF superato: il server di invio è autorizzato nella voce SPF.
2. DKIM superato: l'e-mail porta una firma valida.
3. DMARC pubblicato: almeno con la regola p=none, cioè «solo osservare».
4. DMARC superato: SPF o DKIM, meglio entrambi, sono allineati all'indirizzo mittente.

Allineamento significa che il dominio confermato da SPF o DKIM deve corrispondere al dominio dell'indirizzo mittente. Un sottodominio come news.example.com è accettato. Un esempio: lei invia da info@example.com. Se il suo strumento newsletter firma con d=example.com, DKIM è allineato. Se firma con il proprio dominio, DKIM è superato tecnicamente, ma non aiuta per DMARC.

Importante: p=none basta come regola. Il controllo però deve essere superato. Una voce DMARC da sola non risolve quindi l'errore se SPF o DKIM non sono in ordine.

La soluzione passo per passo

1. Leggere il messaggio di ritorno: annoti da quale sistema proveniva l'e-mail rifiutata, per esempio strumento newsletter, negozio o contabilità. Alcuni messaggi indicano anche i risultati dei controlli, come Spf=Fail o Dkim=Fail.
2. Verificare il dominio: inserisca il suo dominio nella verifica gratuita. Vede a colpo d'occhio se SPF, DKIM e DMARC esistono e sono validi.
3. Completare SPF: deve esistere una sola voce TXT con v=spf1, e deve contenere tutti i canali di invio. Esempio per Microsoft 365 più uno strumento newsletter: v=spf1 include:spf.protection.outlook.com include:[valore del suo strumento newsletter] -all. Attenzione al limite di dieci interrogazioni DNS: Errore SPF «too many DNS lookups»: perché il limite di dieci interrogazioni va rispettato.
4. Attivare DKIM in ogni sistema: in Microsoft 365 inserisca due record CNAME come selector1._domainkey.example.com e poi attivi la firma. La guida: Microsoft 365: le e-mail finiscono nello spam, DKIM spesso non è attivato. Negli strumenti newsletter e nei negozi online la funzione si chiama spesso «autenticare il proprio dominio». Il servizio le indica le voci DNS.
5. Impostare DMARC: crei una voce TXT con il nome _dmarc, per esempio con il valore v=DMARC1; p=none; rua=mailto:rapporti-dmarc@example.com. L'indirizzo dopo rua= riceve i rapporti dei destinatari. Deve esistere una sola voce di questo tipo.
6. Verificare l'effetto: da ogni sistema invii un'e-mail a una sua casella Outlook.com. Lì visualizzi l'origine del messaggio o le intestazioni. Nella riga Authentication-Results dovrebbero comparire spf=pass, dkim=pass e dmarc=pass, oltre a header.d=example.com.
7. Rinviare le e-mail rifiutate: Microsoft non le consegna in seguito. Attenda che la modifica DNS sia attiva. A seconda dell'impostazione ci vogliono da pochi minuti a qualche ora.

Errori tipici

• Nessuna voce DMARC: SPF e DKIM sono in ordine, ma _dmarc manca. Per Microsoft non basta.
• DMARC nel posto sbagliato: alcuni editor DNS aggiungono il dominio automaticamente. Se inserisce _dmarc.example.com, ottiene _dmarc.example.com.example.com. Inserisca solo _dmarc.
• Due voci SPF o due voci DMARC: in entrambi i casi il controllo non è valido. Le unisca in una sola.
• Strumento newsletter senza dominio proprio: lo strumento firma con il suo dominio. DKIM è superato ma non allineato, e anche SPF controlla allora il dominio dello strumento.
• Nuovo sistema dimenticato: un nuovo CRM o sistema di ticket invia con il suo indirizzo, ma non figura in SPF e non ha DKIM.
• Inoltri: quando un'e-mail viene inoltrata da un altro server, SPF spesso fallisce. DKIM di solito supera l'inoltro. Un motivo in più per attivare DKIM ovunque.

Da non confondere con altri errori

• 550 5.7.26 con Gmail: Gmail rifiuta perché né SPF né DKIM sono superati. Causa e soluzione sono simili: Errore 550 5.7.26 «unauthenticated email»: significato e soluzione.
• 550 5.7.509 con Microsoft: l'e-mail non supera DMARC e la sua voce indica p=reject. A bloccare è la sua stessa regola, non quella per i grandi mittenti: «Rejected due to DMARC policy»: il proprio dominio blocca le proprie e-mail.
• Messaggi con indirizzo IP e lista nera: si tratta allora della reputazione del server di invio, non delle voci del suo dominio.
• L'e-mail arriva, ma nella Posta indesiderata: non è un messaggio di ritorno. La causa è di solito la reputazione, il contenuto o la mancanza di un link di disiscrizione.

Quando SPF, DKIM e DMARC sono stabili, potrà rendere DMARC più severo. Come procedere: DMARC da p=none a quarantine e reject: quando è sicuro?.

Cosa fa DomainRadar contro l'errore 5.7.515

DomainRadar controlla costantemente SPF, DKIM e DMARC del suo dominio e riceve i rapporti DMARC tramite un proprio indirizzo per i rapporti. Anche Outlook.com invia questi rapporti. Lei vede per ogni sistema di invio se supera il controllo ed è allineato, e riceve un allarme se la quota di e-mail conformi crolla o se compare una fonte sconosciuta. Può provare DomainRadar gratuitamente per 14 giorni.

Decodificatore di rifiuti