Microsoft 550 5.7.1: Il messaggio non contiene i record di autenticazione SPF/DKIM/DMARC (AS9031519)

Dal 5 novembre 2026, gli operatori di posta elettronica e gli utenti hanno segnalato che alcuni messaggi inviati alle caselle di posta Microsoft vengono respinti a causa di un errore legato all’autenticazione, comprese le e-mail provenienti da mittenti con un volume di invio ridotto. Alcuni operatori hanno attribuito questi errori alla mancanza di record DMARC, ma le segnalazioni non indicano l’introduzione di una nuova politica generale da parte di Microsoft. 

Nota: Il comportamento segnalato riguarda i servizi di posta elettronica per i consumatori di Microsoft e non è stata ancora stabilita alcuna modifica generale per i destinatari aziendali di Microsoft 365.

Il testo del rigetto recita:

550 5.7.1 Messaggio rifiutato: il messaggio non contiene i record di autenticazione SPF/DKIM/DMARC (AS9031519)

Se hai ricevuto questo messaggio di errore, la prima cosa da fare è verificare se il dominio indicato nel campo "Da" visibile disponga di un record DMARC valido.

Questa guida spiega il significato dell'errore, come analizzarlo e cosa fare se il tuo dominio ha già la configurazione DMARC attiva.

Come risolvere l'errore DMARC 550 5.7.1 di Microsoft

Se ricevi il messaggio di errore AS9031519, segui questi passaggi per la risoluzione dei problemi prima di apportare modifiche alla configurazione esistente dell'autenticazione e-mail.

1. Controlla il record DMARC del tuo dominio

Inizia controllando il dominio presente nell'indirizzo "Da" visibile dell'e-mail respinta. Si tratta del dominio che i destinatari vedono quando ricevono il tuo messaggio.

Utilizza PowerDMARC DMARC Checker per cercare il relativo record DMARC e verificare se il record esiste, se la sintassi è valida e se specifica una politica efficace.

Se non viene individuato alcun record DMARC valido, potrebbe essere necessario pubblicarne uno.

Ricorda che la presenza di un record TXT che inizia con v=DMARC1 non implica automaticamente che la tua configurazione DMARC sia valida. Il record deve inoltre presentare una politica e una sintassi valide.

2. Pubblicare un record DMARC se ne manca uno

Se il tuo dominio non dispone già di una politica DMARC, puoi crearne una utilizzando il Generatore di record DMARC.

Per un punto di partenza dedicato esclusivamente al monitoraggio, utilizzare un record simile a questo:

Host/Nome: _dmarc
Tipo: TXT
Valore: v=DMARC1; p=none; rua=mailto:[email protected]

Ecco il significato di ciascun elemento:

• v=DMARC1 identifica il record come una politica DMARC.
• p=none indica ai server destinatari di non applicare una politica di quarantena o di rifiuto DMARC ai messaggi che non superano il controllo DMARC.
• rua specifica l'indirizzo e-mail a cui vengono inviati i rapporti DMARC aggregati.

Considerazioni importanti relative al DNS:

• Sostituisci example.com e [email protected] con il tuo dominio effettivo e l'indirizzo di segnalazione. La casella di posta di segnalazione deve esistere; in caso contrario, dovrai utilizzare l'indirizzo e le istruzioni di configurazione fornite dal tuo servizio di monitoraggio DMARC.
• Pubblica il record in _dmarc per il dominio in questione. Alcuni provider DNS aggiungono automaticamente il nome del tuo dominio, quindi controlla l'interfaccia prima di inserire il nome host.
• Se esiste già un record DMARC, non sovrascriverlo né pubblicarne un duplicato. Ogni dominio dovrebbe avere un solo record di policy DMARC valido associato al nome DNS corrispondente.

Una volta effettuata la pubblicazione, verificare il risultato del DNS pubblico utilizzando uno strumento di verifica DMARC dopo che le cache DNS si sono aggiornate. Quindi inviare una nuova e-mail di prova al destinatario Microsoft interessato. Potrebbe essere necessario inviare nuovamente i messaggi precedentemente respinti.

Nota: La pubblicazione dei dati DMARC può risolvere il problema dei record mancanti individuato in alcuni casi segnalati, ma non garantisce la consegna né risolve tutte le possibili cause di questo rifiuto.

3. Verificare l'autenticazione e l'allineamento SPF e DKIM

La pubblicazione dei record DMARC rappresenta solo una parte del processo di autenticazione delle e-mail. È inoltre necessario assicurarsi che i propri servizi di invio legittimi autenticino correttamente i messaggi.

I requisiti pubblicati da Microsoft per i mittenti con volumi elevati specificano che sia l’SPF che il DKIM devono superare la verifica. Affinché il DMARC superi la verifica, almeno uno di questi meccanismi deve inoltre corrispondere al dominio presente nell’indirizzo “Da” visibile.

Verifica quanto segue:

• SPF: Verificare che l'indirizzo IP mittente sia autorizzato dal record SPF relativo al dominio del mittente della busta. Ai fini dell'allineamento DMARC, tale dominio deve corrispondere al dominio visibile nel campo "Da".
• DKIM: Assicurarsi che i messaggi in uscita siano firmati con una firma DKIM valida. Il dominio di firma (d=) deve corrispondere al dominio visibile nel campo "Da" affinché DKIM contribuisca al superamento del test DMARC.
• Microsoft 365 DKIM: se utilizzi Microsoft 365 con un dominio personalizzato, abilita la firma DKIM per quel dominio, anziché affidarti esclusivamente al dominio di firma predefinito di Microsoft.
• Mittenti di terze parti: controlla tutti i servizi che inviano e-mail per tuo conto, comprese le piattaforme di marketing, i sistemi CRM, i fornitori di e-mail transazionali e altre applicazioni esterne.

Ricorda che la semplice pubblicazione dei record SPF e DKIM non garantisce che i tuoi messaggi superino l'autenticazione. È necessario verificare i risultati effettivi dell'autenticazione per i messaggi inviati tramite ciascun servizio.

4. Monitorare i rapporti DMARC relativi agli errori di autenticazione

Dopo aver pubblicato o convalidato il record DMARC, controlla i report aggregati per capire in che modo le diverse fonti di invio autenticano le tue e-mail.

Questi rapporti ti aiutano a individuare:

• Fonti di invio legittime che superano o non superano i controlli SPF e DKIM.
• Problemi di allineamento che compromettono l'autenticazione DMARC.
• Fonti non autorizzate che tentano di inviare e-mail utilizzando il tuo dominio.
• Problemi di autenticazione che potrebbero compromettere la consegna delle e-mail.

Una piattaforma di monitoraggio DMARC come PowerDMARC è in grado di raggruppare questi report in una dashboard di facile consultazione, facilitando l'analisi degli errori di autenticazione su più domini e servizi di invio.

Una politica di monitoraggio non equivale a protezione

Per i mittenti che riscontrano il rifiuto segnalato da Microsoft, è necessario pubblicare un record DMARC con p=none potrebbe aiutare a risolvere il problema immediato. Tuttavia, considerare questa operazione come la conclusione del processo lascia importanti lacune nella sicurezza del proprio dominio.

A p=none indica ai server di posta in ricezione di monitorare i risultati DMARC senza intraprendere azioni coercitive nei confronti dei messaggi non conformi. Definisce una politica DMARC, ma non impedisce ai messaggi non autenticati di raggiungere i destinatari. Inoltre, a meno che il record non includa un campo rua , potresti avere scarsa visibilità su come viene utilizzato il tuo dominio.

Questa visibilità è fondamentale. Senza esaminare i report DMARC, non è possibile identificare in modo affidabile tutti i servizi che inviano messaggi per conto vostro, individuare errori di autenticazione e di allineamento, né distinguere il traffico legittimo da potenziali abusi del dominio.

Ecco cosa rischiano di trascurare le organizzazioni quando si fermano a p=none:

• Mittenti non identificati: Potresti non sapere quali piattaforme, applicazioni o servizi di terze parti stiano utilizzando il tuo dominio per inviare e-mail.
• Esposizione continua allo spoofing: Una politica di solo monitoraggio non impone ai destinatari di mettere in quarantena o rifiutare i messaggi che non superano il controllo DMARC.
• Lacune nell'autenticazione: La presenza di record SPF e DKIM non garantisce automaticamente il superamento del controllo DMARC. Almeno uno dei due meccanismi deve superare il controllo ed essere allineato con il dominio visibile nell'indirizzo "Da".
• Nessun progresso verso l'applicazione delle misure: Senza esaminare i rapporti e correggere i problemi legittimi relativi alle fonti di invio, non vi è una base chiara per passare a una politica DMARC più rigorosa.

L'approccio pratico consiste nell'utilizzare p=none come fase di monitoraggio. Esaminare i risultati, autorizzare le fonti di invio legittime e risolvere eventuali problemi di allineamento, quindi passare a p=quarantena o p=reject.

L'obiettivo non dovrebbe essere semplicemente quello di pubblicare un report che soddisfi i criteri di verifica della consegna riportati. Dovrebbe invece essere quello di comprendere, gestire e proteggere ogni servizio che invia e-mail a nome del proprio dominio.

E se il tuo dominio avesse già un record DMARC?

La mancanza di un record DMARC non è la causa di tutti i casi di rifiuto segnalati con il codice AS9031519. Nelle discussioni della sezione Domande e risposte di Microsoft sono presenti segnalazioni di errori intermittenti, compresi casi in cui i mittenti affermano che SPF, DKIM e DMARC sono già configurati correttamente.

Se il tuo dominio dispone già di DMARC, verifica il motivo del rifiuto totale piuttosto che pubblicare un altro record o modificare la politica esistente.

Verifica quanto segue:

1. Esamina il messaggio di bounce completo: verifica la diagnostica completa, inclusi il codice AS9031519, l'host destinatario e il timestamp.
2. Verifica il record DNS pubblico: assicurati che il record DMARC sia valido e pubblicato con il nome DNS corretto. Controlla inoltre che non vi siano record duplicati o errori di sintassi.
3. Identificare la fonte di provenienza: stabilire se l'e-mail respinta provenga da Microsoft 365, Google Workspace, una piattaforma di marketing, un CRM o un altro servizio.
4. Verificare i risultati effettivi dell'autenticazione: controllare i risultati SPF, DKIM e DMARC relativi ai messaggi inviati tramite il servizio interessato. Verificare che almeno un meccanismo di autenticazione superi il controllo e corrisponda al dominio "Da" visibile.
5. Confronta attentamente i tentativi andati a buon fine con quelli respinti: un messaggio di confronto inviato con successo può aiutarti a verificare la tua configurazione, ma le sue intestazioni non consentono di stabilire cosa sia successo a un messaggio respinto separatamente.

Se il problema persiste, contatta il tuo provider di servizi di posta elettronica o l'assistenza per i mittenti di Microsoft. Includi la diagnostica completa, il timestamp UTC, l'host di destinazione e i log di invio pertinenti. Occultare le informazioni sensibili prima di condividere i log pubblicamente.

Le segnalazioni di rifiuto intermittenti suggeriscono che il problema potrebbe non limitarsi alla mancanza di record DMARC. È bene evitare di dare per scontato che ogni episodio abbia la stessa causa alla base.

Perché Microsoft respinge alcune e-mail prive di DMARC?

I rapporti del novembre 2026 hanno richiamato l'attenzione su un possibile cambiamento nel modo in cui l'infrastruttura di posta elettronica per i consumatori di Microsoft valuta i record di autenticazione.

Per comprendere la differenza, è importante distinguere il comportamento dell’AS9031519, segnalato di recente, dai requisiti relativi ai mittenti con volumi elevati pubblicati in precedenza da Microsoft.

Requisiti di autenticazione per l'invio di grandi volumi di e-mail pubblicati da Microsoft

Il 2 aprile 2025, Microsoft ha annunciato requisiti più rigorosi requisiti di autenticazione delle e-mail per i mittenti con volumi elevati che utilizzano i suoi servizi di posta elettronica destinati ai consumatori.

I requisiti sono entrati in vigore il 5 maggio 2025 e si applicano ai domini che inviano più di 5.000 e-mail al giorno a Outlook.com, Hotmail, Live.com e agli indirizzi dei consumatori ad essi correlati. La documentazione di supporto di Microsoft descrive la soglia come pari a 5.000 o più messaggi che utilizzano lo stesso dominio nell'indirizzo "Da" visibile.

In base a tali requisiti pubblicati, i mittenti che inviano grandi volumi di posta devono:

• Pubblica record SPF e DKIM validi, in modo che entrambi i controlli di autenticazione abbiano esito positivo.
• Pubblica un record DMARC valido, che inizialmente può utilizzare un p=none .
• Assicurarsi che almeno un meccanismo di convalida, SPF o DKIM, corrisponda al dominio “Da” visibile, in modo che DMARC venga superato.

I mittenti che non soddisfano tali requisiti possono ricevere un messaggio di rifiuto separato:

550 5.7.515 Accesso negato: il dominio mittente non soddisfa il livello di autenticazione richiesto.

Questo caso è diverso da AS9031519. Il primo è correlato ai requisiti per i mittenti ad alto volume pubblicati da Microsoft, mentre il secondo riguarda il rifiuto legato all’autenticazione segnalato dagli operatori nel novembre 2026.

Cosa ci rivelano i rapporti del novembre 2026?

I rapporti più recenti segnalano casi di rifiuto che interessano alcuni mittenti al di fuori della soglia di volume elevato precedentemente pubblicata.

I ricercatori specializzati nella consegna delle e-mail hanno documentato il codice diagnostico AS9031519 nelle proprie osservazioni sulla posta in uscita il 6 novembre 2026. Tra i casi esaminati figuravano domini privi di record DMARC, anche laddove SPF e DKIM fossero già stati configurati. È stato inoltre segnalato che il rifiuto era intermittente, con alcuni messaggi provenienti dallo stesso dominio che venivano accettati.

Anche singoli utenti e amministratori di posta elettronica hanno segnalato il problema nelle discussioni su Microsoft Q&A. Tra questi figurano casi in cui mittenti di Microsoft 365 inviano e-mail a destinatari di Outlook.com o Hotmail, nonché segnalazioni relative al rifiuto intermittente dei messaggi.

I rapporti disponibili indicano che:

• Alcuni mittenti con un volume ridotto di messaggi hanno riscontrato il rifiuto dei propri messaggi.
• In diversi casi oggetto di indagine sono stati individuati record DMARC mancanti.
• Alcuni domini interessati avevano già configurato SPF e DKIM.
• A quanto pare, la pubblicazione di un record DMARC valido ha risolto alcuni casi.
• Non tutti i messaggi vengono respinti e sono stati segnalati anche casi di malfunzionamenti intermittenti.

Microsoft non ha confermato pubblicamente un’estensione generale dei propri requisiti DMARC a tutti i mittenti. I rapporti di novembre dovrebbero quindi essere considerati come un comportamento osservato, non come prova di una nuova politica annunciata che si applichi a tutti i mittenti con volumi ridotti.

Per le organizzazioni, la soluzione pratica consiste nel verificare la propria configurazione di autenticazione, analizzare a fondo il messaggio di errore e monitorare gli ulteriori sviluppi, anziché dare per scontato che ogni rifiuto abbia la stessa causa.

Cosa significa in realtà l'errore 550 5.7.1?

Il codice di stato SMTP 550 5.7.1 è un codice di rifiuto generico che indica che un messaggio è stato respinto a causa di un problema legato all'autorizzazione o alle politiche di sicurezza. Le cause possono essere diverse, tra cui record SPF incompleti, configurazioni errate dei connettori o politiche di sicurezza del server di ricezione.

In questo caso specifico, il messaggio di diagnostica indica un rifiuto legato all'autenticazione:

Il messaggio non contiene i record di autenticazione SPF/DKIM/DMARC (AS9031519)

La diagnosi è più specifica rispetto al codice di stato SMTP generico. Indica un problema di autenticazione segnalato dall’infrastruttura di posta elettronica consumer di Microsoft, sebbene i rapporti disponibili non dimostrino che la mancanza di un record DMARC sia la causa di tutti i casi riscontrati.

Questa distinzione è importante perché cercare di risolvere un problema relativo a un meccanismo di autenticazione errato può comportare una perdita di tempo e lasciare irrisolto il problema di fondo relativo alla distribuzione.

Domande frequenti

1. È sufficiente impostare p=none, oppure devo impostare p=reject?

Una politica "p=none" rappresenta un punto di partenza accettabile quando si implementa DMARC per la prima volta. Tuttavia, limitarsi a una politica di solo monitoraggio espone il proprio dominio al rischio di spoofing e di usurpazione d'identità. L'applicazione di DMARC è l'unico modo per impedire agli aggressori di inviare e-mail dal proprio dominio. 

Assicurati di aggiornare la tua politica impostando p=quarantine e, infine, p=reject una volta verificate tutte le fonti di invio legittime e risolti i problemi di allineamento.

2. Come posso verificare che il mio nuovo record DMARC sia visibile?

Utilizza uno strumento di ricerca DMARC per interrogare i record DNS pubblici del tuo dominio.

Verificare che il record compaia con il nome host _dmarc corretto e che la sua sintassi e la sua politica siano valide. Una volta aggiornate le cache DNS, inviare una nuova e-mail di prova al destinatario Microsoft interessato per verificare se la consegna è migliorata.

3. Il destinatario può risolvere questo errore da solo?

In genere, no. Il DMARC viene configurato nel DNS del dominio mittente, quindi spetta al proprietario del dominio o all’amministratore della posta elettronica indagare e apportare le modifiche necessarie.

Se hai ricevuto un messaggio respinto, contatta il mittente e inviagli il messaggio di errore completo. L'amministratore del suo servizio di posta elettronica potrà così verificare i record di autenticazione del dominio di invio e indagare sul motivo del rifiuto.

Se il mittente conferma che la propria autenticazione è configurata correttamente ma il problema persiste, potrebbe essere necessario che il problema venga esaminato dal proprio provider di posta elettronica o da Microsoft.

In che modo PowerDMARC ti aiuta ad analizzare i casi di rifiuto delle e-mail da parte di Microsoft

La gestione dell'autenticazione delle e-mail su più domini e servizi di invio richiede un monitoraggio costante. PowerDMARC aiuta le organizzazioni a verificare le proprie configurazioni di autenticazione, a indagare sui malfunzionamenti e a monitorare i progressi compiuti nell'applicazione dello standard DMARC.

Con PowerDMARC è possibile:

• Verifica dell'autenticazione delle e-mail: verifica i record DMARC e monitora i risultati dell'autenticazione SPF, DKIM e DMARC su tutti i tuoi domini.
• Indagare sugli errori di autenticazione: utilizzare report consolidati e analisi dei dati di autenticazione per identificare le fonti di invio problematiche, gli errori di allineamento e le attività non autorizzate.
• Monitorare i progressi nell'applicazione delle politiche: tieni traccia della tua politica DMARC, esamina i report aggregati e passa alle impostazioni "p=quarantine" o "p=reject" con una maggiore visibilità sul tuo ecosistema di posta elettronica.

Inizia la tua prova gratuita di 15 giorni di PowerDMARC e ottieni una maggiore visibilità sull'autenticazione delle tue e-mail, sulla sicurezza del dominio e sulla deliverability.