Microsoft 365 "550 5.4.1 Recipient address rejected: Access denied. AS(201806281)": cosa significa e come risolvere

Cosa significa

L'organizzazione del destinatario usa Microsoft 365. I suoi server hanno controllato l'indirizzo a cui hai scritto e hanno scoperto che non esiste nella loro directory, quindi hanno rifiutato l'email prima ancora di accettarla. Il messaggio di errore di solito è simile a questo:

550 5.4.1 Recipient address rejected: Access denied. AS(201806281)
[DB5EUR03FT012.eop-EUR03.prod.protection.outlook.com]

Il nome del server tra parentesi cambia. Nonostante le parole "Access denied", non riguarda la tua reputazione, il tuo IP o la tua autenticazione. Significa "questo indirizzo qui non è conosciuto".

Perché succede

Microsoft 365 usa una funzione chiamata Directory-Based Edge Blocking: rifiuta qualsiasi email per un indirizzo che non compare nella directory dell'organizzazione. Motivi frequenti:

• Un errore di battitura nell'indirizzo, oppure il vecchio indirizzo di qualcuno che ha lasciato l'azienda.
• La casella, l'alias o il gruppo sono stati eliminati o non sono mai stati creati.
• Una nuova casella non è ancora pronta, oppure un utente creato in una directory locale (on-premises) non è ancora stato sincronizzato con Microsoft 365.
• Il dominio è configurato male nel tenant del destinatario: in una configurazione ibrida, o quando alcune caselle sono ospitate altrove, il dominio deve essere impostato come "Internal relay" e non come "Authoritative".
• L'MX del dominio punta ancora a Microsoft 365 dopo che l'azienda ha spostato la posta presso un altro provider.

Come verificare

Se sei il mittente

• Controlla l'ortografia dell'indirizzo, lettera per lettera, e confrontala con un'email recente di quella persona.
• Guarda il dominio su /domain-scanner: i record MX mostrano dove il dominio riceve la posta. Se puntano a Microsoft 365 ma l'azienda dice di usare un altro provider, il suo DNS non è aggiornato.
• Assicurati che la tua configurazione sia a posto inviando un test all'indirizzo unico che trovi nella home page di Delivmail (/). Se arriva e il report è pulito, il problema è dal lato del destinatario.

Se amministri l'organizzazione che riceve

• Cerca l'indirizzo nell'interfaccia di amministrazione di Microsoft 365, compresi alias (proxy address), gruppi e caselle condivise.
• Controlla il tipo di dominio accettato nell'interfaccia di amministrazione di Exchange.
• Controlla la sincronizzazione della directory se usi un Active Directory locale.

Come risolvere

1. Mittente: correggi l'indirizzo, oppure chiedi alla persona il suo indirizzo attuale per telefono o tramite un altro canale. Se l'indirizzo non esiste, non puoi risolvere dal tuo lato.
2. Amministratore del destinatario: crea l'indirizzo mancante come casella, alias, gruppo o contatto di posta, a seconda di chi deve ricevere.
3. Correggi la sincronizzazione in modo che l'utente compaia in Microsoft 365, poi aspetta la sincronizzazione successiva.
4. Imposta il dominio come Internal relay se alcuni indirizzi del dominio sono ospitati su un altro sistema, e configura il connettore in uscita corrispondente.
5. Aggiorna i record MX se il dominio non usa più Microsoft 365 per la posta.

Verifica che sia risolto

Quando l'indirizzo è stato creato o corretto, aspetta un po' (le modifiche alla directory possono richiedere fino a un'ora, quelle DNS qualche ora), poi invia di nuovo l'email. Se viene ancora rifiutata con lo stesso codice, chiedi al reparto IT del destinatario di controllare l'indirizzo direttamente nella sua interfaccia di amministrazione.