Outlook.com 开始拒绝来自缺乏 DMARC 记录域名的电子邮件

自 2026 年 11 月 5 日起，微软的消费者邮件服务（涵盖 Outlook.com、Hotmail、Live 和 MSN 地址）开始拒绝来自未发布 DMARC 记录域名的某些电子邮件。这一变化之所以引人注目，是因为它是在没有正式邮局通知、博客文章或服务健康状态更新的情况下实施的，令许多低频次发送者措手不及。

执行范围的转变

此前，微软发布的规则主要针对批量发送者——即每天发送超过 5,000 条消息的发送者——要求他们通过 SPF、DKIM 和 DMARC 验证，否则将面临“550 5.7.515 Access denied”错误。然而，这一新行为涵盖到了低频次发送者，例如来自小型办公室的一行回复。

虽然之前的规则旨在针对营销人员，但这次新的拒绝行为针对任何缺乏 DMARC 记录的域名。提供给发送者的错误信息为“550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records”，这表明即使 SPF 和 DKIM 功能正常，也存在根本性的身份验证失败。

“Outlook.com、Hotmail、Live 和 MSN 现在会拒绝来自没有 DMARC 记录域名的部分邮件。”

— Outlook.com Is Quietly Rejecting Email From Domains Without DMARC | MailRoute

不一致拒绝的机制

这一变化中最具挑战性的方面之一是其不一致性。微软不会拒绝来自受影响域名的所有邮件；相反，它可能会允许一条消息通过而拒绝下一条，或者重新发送的消息可能突然成功。这种随机性可能导致发送者认为只是暂时的网络故障，而非永久的配置要求。

核心问题是缺乏提供“对齐（alignment）”的 DMARC 记录。即使一个域名拥有有效的 SPF 和 DKIM 记录，DMARC 也是确认这些记录确实属于“From”地址中所列域名的协议。如果没有这个链接，Outlook.com 可能会将该邮件视为未经验证。

实际影响与修复方案

对于依赖联系个人地址（如患者、房主或申请人）的企业来说，这一变化可能导致“静默”失败。发票、预约确认和回复可能无法送达，导致沟通中断并被视为缺乏响应能力。

解决方案是添加一条 DNS TXT 记录：`v=DMARC1; p=none`。此记录通过声明该域名使用 DMARC 并要求接收方在失败时采取任何行动，从而建立身份验证的基础标准。虽然这不会改变 Gmail 或 Yahoo 等其他供应商处理邮件的方式，但它满足了 Outlook.com 的新要求。

电子邮件安全的新基准

此举反映了更广泛的行业趋势，即 DMARC 正从推荐的最佳实践转变为强制性的基础标准。通过要求 DMARC，邮箱提供商可以更有效地打击欺诈和网络钓鱼，而这些正是业务电子邮件受损的主要驱动因素。

虽然目前的 `p=none` 设置是确保可送达性的最低要求，但它是迈向 `p=reject` 的第一步。更高水平的强制执行最终会告诉接收方拒绝任何伪造域名的邮件，从而为合法发送者提供更强的品牌保护。