Microsoft 365 "550 5.7.1 RESOLVER.RST.AuthRequired": come risolvere

Cosa significa

Hai inviato un'email a un indirizzo ospitato su Microsoft 365, di solito un gruppo (lista di distribuzione, gruppo Microsoft 365, indirizzo di un team Teams), una cartella pubblica abilitata alla posta o una casella con restrizioni. Quel destinatario è configurato per accettare messaggi solo da mittenti autenticati, cioè persone connesse alla stessa organizzazione. Tu sei esterno, quindi il messaggio è stato rifiutato. Microsoft documenta questo testo per le cartelle pubbliche:

Remote Server returned '<xxxxxxxx> #5.7.1 smtp;550 5.7.1 RESOLVER.RST.AuthRequired; authentication required [Stage: CreateMessage]'

RESOLVER.RST significa "restrizione sul destinatario". I messaggi di errore recenti mostrano spesso un codice più specifico al posto di 5.7.1:

• 5.7.133: mittente non autenticato per un gruppo.
• 5.7.134: mittente non autenticato per una casella.
• 5.7.13 o 5.7.135: mittente non autenticato per una cartella pubblica.
• 5.7.136: mittente non autenticato per un utente di posta.

La parte leggibile del messaggio di solito dice che il gruppo "accetta solo messaggi da persone della sua organizzazione o presenti nell'elenco dei mittenti consentiti".

Perché succede

È un'impostazione, non una decisione antispam. SPF, DKIM e la reputazione del tuo IP non c'entrano. Situazioni tipiche:

• Un'azienda crea sales@ o support@ come gruppo di distribuzione o gruppo Microsoft 365. Per impostazione predefinita questi gruppi accettano solo mittenti interni, quindi le email dei clienti vengono rifiutate.
• L'indirizzo email di un team Teams, o una cartella pubblica usata come casella condivisa, non è mai stato aperto ai mittenti esterni.
• Un amministratore ha limitato di proposito una casella ai mittenti interni.
• Un modulo di contatto del sito invia a un indirizzo di gruppo tramite un servizio esterno, che conta come mittente esterno.

Se invece il messaggio di errore indica 5.7.124 Sender not in allowed-senders list, il gruppo accetta solo un elenco preciso di mittenti; la soluzione è aggiungere il mittente a quell'elenco.

Come verificare

1. Leggi il messaggio di errore: indica il destinatario con restrizioni e, con i codici da 5.7.133 a 5.7.136, il suo tipo.
2. Se sei il mittente, verifica che l'indirizzo appartenga davvero all'organizzazione che vuoi contattare (guarda il suo MX con lo scanner di domini Delivmail), poi contattala in un altro modo e inoltrale il messaggio di errore.
3. Se sei l'amministratore, controlla l'impostazione in Exchange Online PowerShell:

   Get-DistributionGroup sales@yourdomain.com | Format-List RequireSenderAuthenticationEnabled,AcceptMessagesOnlyFromSendersOrMembers
   Get-UnifiedGroup sales@yourdomain.com | Format-List RequireSenderAuthenticationEnabled
   Get-MailPublicFolder support@yourdomain.com | Format-List RequireSenderAuthenticationEnabled
   Get-Mailbox info@yourdomain.com | Format-List RequireSenderAuthenticationEnabled

   True significa che sono accettati solo mittenti interni e autenticati.

Come risolvere

Solo l'amministratore del destinatario (o il proprietario del gruppo) può modificarlo. Decidi prima se le persone esterne devono poter scrivere a quell'indirizzo: consentirlo a tutti significa anche far arrivare spam e phishing a tutti i membri del gruppo.

Gruppo di distribuzione

Nell'interfaccia di amministrazione di Exchange, apri Recipients > Groups, seleziona il gruppo, poi Settings e spunta l'opzione che consente alle persone esterne all'organizzazione di scrivere al gruppo. Oppure:

Set-DistributionGroup sales@yourdomain.com -RequireSenderAuthenticationEnabled $false

Gruppo Microsoft 365 o team Teams

Nell'interfaccia di amministrazione di Microsoft 365, vai su Teams & groups > Active teams & groups, apri il gruppo e nelle sue impostazioni attiva l'opzione che permette alle persone esterne all'organizzazione di inviare email al team. Oppure:

Set-UnifiedGroup sales@yourdomain.com -RequireSenderAuthenticationEnabled $false

Cartella pubblica abilitata alla posta

La procedura di Microsoft: interfaccia di amministrazione di Exchange, Public folders, modifica la cartella, Mail flow settings, poi in Message Delivery Restrictions > Accept messages from deseleziona Require that all senders are authenticated e seleziona All senders. Oppure:

Set-MailPublicFolder support@yourdomain.com -RequireSenderAuthenticationEnabled $false

Casella

Set-Mailbox info@yourdomain.com -RequireSenderAuthenticationEnabled $false

Alternative più sicure

• Per un indirizzo condiviso come support@, usa una casella condivisa (shared mailbox): accetta posta esterna per impostazione predefinita e conserva una sola copia invece di inviarla a ogni membro.
• Per aprire un gruppo a un solo partner, aggiungi il suo indirizzo come contatto di posta e inseriscilo nell'elenco dei mittenti consentiti del gruppo, invece di aprirlo a tutti.
• I gruppi con più di 5.000 membri hanno restrizioni aggiuntive (moderazione); Microsoft le documenta a parte.

Aprire un gruppo ai mittenti esterni non impedisce ai filtri Microsoft di controllare quei messaggi. La posta di mittenti con un'autenticazione debole può comunque finire nella posta indesiderata, come spiegato in le email finiscono nella posta indesiderata di Outlook.

Verifica che sia risolto

• Le modifiche possono richiedere un po' di tempo per propagarsi. Poi invia un test da una casella esterna (per esempio un indirizzo personale) al gruppo o alla cartella.
• Se il mittente originale riceve ancora un messaggio di errore, confronta il codice: un codice diverso (per esempio 5.1.10 destinatario non trovato) indica un altro problema.
• Se sei il mittente e vuoi essere sicuro che la tua configurazione sia corretta, invia un test all'indirizzo indicato nella home page di Delivmail.