Microsoft 365 "550 5.7.750 ... unregistered domains": come risolvere

Cosa significa

Microsoft 365 si è rifiutato di inviare posta perché era inviata From un dominio che la tua organizzazione non ha registrato in Microsoft 365. Il bounce di solito dice:

550 5.7.750 Service unavailable. Client blocked from sending from unregistered domains.

Un dominio "non registrato" (o "unprovisioned") è un dominio che non compare nel tuo elenco di accepted domain, cioè che non hai mai aggiunto e verificato nell'interfaccia di amministrazione di Microsoft 365. Microsoft consente solo una quantità limitata di posta da questi domini; oltre quella soglia, blocca il mittente.

Perché succede

• Un secondo marchio o un vecchio dominio è usato nell'indirizzo From (per esempio shop-yourdomain.com) ma in Microsoft 365 è stato aggiunto solo yourdomain.com.
• Un'applicazione o un server on-premises inoltra tramite un connettore e invia From molti domini diversi, per esempio uno strumento di ticketing che usa il dominio di ogni cliente, o un server che inoltra posta per più aziende.
• Un connettore ibrido o di relay configurato in modo troppo ampio, che accetta posta da qualsiasi mittente e la inoltra tramite Microsoft 365.
• Un malintenzionato ha creato un connettore in ingresso nel tuo tenant per inviare spam From domini casuali. Microsoft lo elenca tra le cause.

Come verificare

1. Guarda il messaggio respinto: quale indirizzo c'è nella riga From, e quel dominio ti appartiene?
2. Elenca gli accepted domain del tuo tenant:

   Get-AcceptedDomain | Format-Table DomainName,DomainType,Default

   Nell'interfaccia di amministrazione lo stesso elenco si trova in Settings > Domains; ogni dominio dovrebbe mostrare uno stato integro.
3. Esegui una traccia messaggi sulla posta in uscita recente e raggruppala per dominio del mittente. Qualsiasi dominio non presente nell'elenco qui sopra è un candidato.
4. Esamina i connettori, soprattutto quelli in ingresso che non riconosci:

   Get-InboundConnector | Format-List Name,ConnectorType,SenderIPAddresses,SenderDomains,TlsSenderCertificateName,WhenCreated

5. Controlla il dominio con lo scanner di dominio di Delivmail per vederne MX, SPF e DMARC. Un dominio il cui SPF non include spf.protection.outlook.com non dovrebbe comunque inviare tramite Microsoft 365.

Come risolvere

Solo un amministratore del tenant che invia può risolvere il problema.

1. Aggiungi e verifica ogni dominio da cui invii

È la soluzione più comune. Nell'interfaccia di amministrazione di Microsoft 365 vai su Settings > Domains > Add domain, poi aggiungi presso il tuo provider DNS il record TXT di verifica mostrato da Microsoft. Per esempio:

Host: shop-yourdomain.com (or @)
Type: TXT
Value: MS=ms12345678

Usa il valore esatto che ti fornisce Microsoft. Una volta verificato il dominio, aggiungi anche SPF e DKIM, come descritto in SPF, DKIM e DMARC per Microsoft 365, così la sua posta non è solo accettata ma anche autenticata. Se invii da un sottodominio vale lo stesso: consulta autenticazione email per i sottodomini.

2. Correggi le applicazioni che usano domini altrui

Microsoft 365 non è un relay per domini che non possiedi. Configura l'applicazione perché invii From uno dei tuoi domini (mettendo se necessario l'indirizzo del cliente nel Reply-To), oppure fai passare quel traffico da un servizio di email transazionali in grado di autenticare correttamente ogni dominio.

3. Restringi i tuoi connettori

Microsoft consiglia un connettore basato su certificato: il connettore in ingresso identifica il tuo server on-premises tramite il suo certificato TLS, e il dominio del certificato deve essere un accepted domain verificato nel tuo tenant. In questo modo la posta inoltrata è legata a un dominio di tua proprietà invece che a "qualsiasi cosa provenga da questo IP".

4. Rimuovi i connettori che non hai creato

Se trovi un connettore sconosciuto, trattalo come un incidente: disattivalo, controlla gli account amministratore e gli accessi, reimposta le credenziali e imponi l'MFA agli amministratori. Grandi ondate di spam tramite un connettore malevolo possono portare anche a un blocco completo del tenant (5.7.705).

5. Chiedi a Microsoft di togliere il blocco

Microsoft indica di contattare il supporto una volta corretta la causa, così il blocco può essere rimosso. Allega un bounce di esempio e l'elenco dei domini che hai aggiunto o dei connettori che hai corretto.

Verifica che sia risolto

• Invia un test dalla stessa applicazione o dallo stesso server, usando il dominio appena aggiunto nell'indirizzo From, all'indirizzo unico nella home page di Delivmail. Il report dovrebbe mostrare SPF e DKIM superati e allineati con quel dominio.
• Poi invia di nuovo un messaggio respinto. Le modifiche DNS per i record di verifica e SPF possono richiedere un po' di tempo per propagarsi.
• Mantieni aggiornato l'elenco degli accepted domain ogni volta che la tua azienda aggiunge un nuovo marchio o dominio.