Ninguém divulgou. Nenhum aviso no Postmaster, nenhuma entrada de status, nenhuma publicação no blog da Microsoft. Desde 5 de novembro, porém, os servidores de consumo do Outlook estão rejeitando e-mails de domínios que não publicam um registro DMARC no DNS — e o estranho é que o impacto não se limita aos grandes remetentes. Uma única mensagem de um escritório pequeno pode bicar pela falha.
O que acontece é isso: se seu domínio não tem um registro DNS do tipo TXT com a política DMARC configurada, parte dos seus e-mails enviados para outlook.com, hotmail.com, live.com e msn.com começa a voltar com o erro
550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS91519)
O código AS91519 muda de mensagem para mensagem — é um identificador interno do servidor Microsoft que processou a rejeição — mas a mensagem de erro em si é consistente e direta. No primeiro dia, alguns remetentes receberam o mesmo aviso sem o código entre parênteses; a ausência do identificador fazia a mensagem parecer ainda mais genérica e, de certa forma, mais alarmante, como se algo estivesse gravemente quebrado em vez de apenas faltando uma configuração.
O ponto que mais preocupa os administradores de e-mail não é que o bloqueio existe, mas que ele é inconsistente. O Outlook não rejeita todos os e-mails de um domínio sem DMARC — rejeita alguns. Um e-mail vai, o outro bica, uma reenviada pode funcionar. Para quem não monitora logs de transporte, isso significa que clientes, fornecedores ou candidatos podem estar tentando entrar em contato e nem sabem que o e-mail nunca chegou. A pessoa do outro lado nunca fica sabendo que uma mensagem foi enviada.
Para domínios com SPF, DMARC e DKIM válidos, também estamos vendo rejeições. Acontece apenas com uma pequena porcentagem dos e-mails (provavelmente depende do servidor Microsoft para o qual sua mensagem é roteada), escreveu um usuário nos fóruns da Microsoft, citado pelo Windows Latest. Outro relatou que metade dos clientes que o haviam contactado desde 5 de novembro recebeu uma mensagem de rejeição.
A situação é especialmente desconcertante porque muitos desses domínios têm SPF e DKIM configurados corretamente. O que falta, na grande maioria dos casos, é o registro DMARC que liga esses dois mecanismos à identidade do remetente. Sem ele, mesmo que o e-mail passe pela verificação de IP autorizado (SPF) e tenha uma assinatura criptográfica válida (DKIM), o Outlook não consegue mais confirmar que a mensagem realmente pertence ao domínio declarado no campo "De".
O registro que resolve o problema é uma única linha no DNS do domínio:
Name: _dmarc Value: v=DMARC1; p=none
A política p=none é o ponto de partida seguro. Ela declara que o domínio utiliza DMARC e solicita aos receptores que enviem relatórios, mas diz para eles não tomarem nenhuma ação contra mensagens que falhem na verificação. Nada sobre como Gmail, Yahoo ou qualquer outro provedor trata seu e-mail muda. O registro pode ser adicionado em minutos pela maioria dos registradores.
Mas o que a Microsoft realmente mudou?
A resposta curta é: ninguém sabe ao certo. Até 6 de novembro, não havia nenhum anúncio oficial. O que se sabe é que as regras publicadas da Microsoft sempre exigiram SPF, DKIM e DMARC para remetentes que enviam mais de 5.000 mensagens por dia para os serviços de consumo — a chamada regra de "bulk sender". Essa regra, atualizada em maio de 2025, era claramente direcionada a departamentos de marketing e fornecedores de e-mail em massa. A maioria das pequenas empresas assumia, com razão, que não se aplicava a elas.
O que mudou agora é que a exigência parece ter caído sobre todos os remetentes, independentemente do volume. Administradores na lista Mailop, Fastmail e MailRoute reportaram rejeições para clientes com SPF e DKIM válidos e alinhados ao domínio "From", mas sem DMARC. O Spam Resource testou o cenário em 7 de novembro: e-mails para outlook.com foram rejeitados com o código 550 5.7.1, enquanto o mesmo e-mail enviado para um domínio corporativo Microsoft 365 foi aceito sem problemas.
Isso confirma que a mudança não afeta o Microsoft 365 (o serviço empresarial), apenas os domínios de consumo — os que usuários comuns usam para e-mail pessoal. O filtro está rodando em uma camada diferente do sistema, o que explica por que domínios com configuração empresarial adequada não sofrem, mas um e-mail de um domínio pequeno para um Hotmail individual é barrado.
Por que tantos domínios ainda não têm DMARC?
A resposta é que DMARC sempre foi visto como algo para remetentes grandes. Se você não envia 5.000 e-mails por dia, não precisava se preocupar. O resultado é que centenas de milhares de domínios — muitos deles pequenos negócios, sites pessoais, instituições de caridade e órgãos públicos — nunca configuraram a política. Um levantamento feito pelo DmarcDkim.com sobre 982 expositores da feira it's.BB (alema de TI) mostrou que apenas 364 deixam os receptores rejeitar falsificações do seu endereço de remetente — isso significa que cerca de 63% dos expositores não tinham proteção DMARC, mesmo sendo empresas que lidam com tecnologia.
A história da evolução do DMARC nos principais provedores mostra que a mudança da Microsoft não é isolada. Em maio de 2025, o Outlook.com começou a exigir autenticação completa para remetentes de alto volume. Em novembro de 2025, o Gmail anunciou que estava "fortalecendo a aplicação" com rejeições temporárias e permanentes. Agora, em novembro de 2026, o Outlook estende o requisito a todos os remetentes.
Cada provedor segue o mesmo padrão: primeiro o filtro para spam, depois a exigência para alto volume, depois a exigência universal. O DMARC com p=none, que hoje é o piso para receber e-mail no Outlook, também é o primeiro passo para p=reject — que diz aos receptores para recusarem mensagens que forjem o domínio. Quando isso acontecer, a situação será ainda mais dramática, porque muitos domínios que hoje estão em p=none não estão preparados para p=reject.
O que isso significa para a infraestrutura de e-mail
O e-mail é o protocolo mais antigo da internet que ainda funciona com a mesma simplicidade de 1982. Mas a simplicidade foi sua ruína: sem autenticação nativa, o e-mail foi o primeiro serviço digital a ser amplamente explorado por golpistas, e o DMARC foi a primeira solução prática para o problema. O que a Microsoft fez hoje é tornar a autenticação obrigatória em pelo menos um dos maiores provedores de e-mail do mundo — e, o mais importante, sem aviso prévio.
A ausência de anúncio pode parecer apenas uma falha de comunicação corporativa, mas o efeito prático é um teste em escala real: quantos domínios quebram quando o DMARC vira obrigação, não recomendação? A resposta vai dizer ao mundo se a infraestrutura de e-mail global está pronta para uma era sem spoofing.
Os administradores que já configuraram DMARC provavelmente não sentiram nada além de um alívio — o filtro já estava no lugar. Para os demais, a curva de aprendizado é curta: adicionar um registro TXT, verificar que SPF e DKIM passam para o domínio "From", e acompanhar os relatórios que começam a chegar. A diferença é que, dessa vez, a Microsoft não vai esperar.
A pergunta que fica é quantos outros e-mails perdidos existem hoje em domínios que achavam que tinham o básico configurado — e quantos mais vão ser rejeitados antes que o DMARC deixe de ser o piso e passe a ser a parede.
Fontes: MailRoute, Spam Resource, Windows Latest
✓ Fontes independentes cruzadas e verificadas antes da publicação
