Entre 5 e 9 de novembro de 2026, empresas de vários portes viram e-mails voltarem ao tentar falar com clientes que usam Outlook.com, Hotmail, Live e MSN. As mensagens recusadas tinham algo em comum: vinham de domínios sem registro DMARC ou com falhas de autenticação, como relatou o Computerworld.
A Microsoft atribuiu o problema a uma mudança nas regras de spam, desfez a alteração e informou em 10 de novembro que o fluxo de mensagens foi restabelecido. O incidente acabou, mas deixou um alerta claro para quem depende de e-mail marketing e de mensagens transacionais, ainda mais às vésperas da Black Friday.
A seguir, o que aconteceu, como identificar se a sua operação foi afetada e o que revisar na autenticação do domínio.
O que aconteceu com os e-mails para Outlook e Hotmail
Os primeiros relatos de rejeição surgiram em 5 de novembro. Segundo o emailexpert, o boletim da Microsoft delimita a degradação entre o fim da tarde de 6 de novembro e a manhã de 9 de novembro, no horário UTC, e o problema foi resolvido com a reversão da mudança. O registro do incidente no centro de administração do Microsoft 365 é o EX1545193.
O comportamento era irregular. Mensagens de um mesmo domínio eram aceitas e outras recusadas, e algumas passavam numa nova tentativa. A dmarcian observou que o efeito apareceu nas caixas de consumidor, enquanto um endereço corporativo do Microsoft 365 aceitou mensagem do mesmo domínio sem DMARC. O provedor britânico Mythic Beasts também alertou clientes sobre as recusas.
Resolvemos um problema que pode ter impedido algumas mensagens de chegar a endereços Outlook.com, Hotmail e Live.
Porta-voz da Microsoft, em declaração ao Computerworld
Os códigos de erro e o que eles indicam
A forma mais rápida de saber se a sua operação foi afetada é procurar os códigos de recusa nos relatórios de rejeição (bounce) do período. A tabela compara o erro do incidente com o erro já previsto nas regras da Microsoft para grandes remetentes.
| Código | Mensagem de retorno | Contexto |
|---|---|---|
| 550 5.7.1 (AS9031519) | Message lacks SPF/DKIM/DMARC Auth Records | Erro do incidente de novembro; não informa qual verificação falhou |
| 550 5.7.23 | Falha de validação de SPF | Também citado em relatos do período, segundo o Computerworld |
| 550 5.7.515 | Falha nos requisitos de autenticação | Regra publicada para quem envia mais de 5 mil mensagens por dia |
Um ponto importante para o CRM: uma recusa com esses códigos indica que a Microsoft rejeitou a mensagem, e não que o endereço deixou de existir. Contatos que voltaram com esses erros no período não devem ser marcados como inválidos nem removidos da base.
Por que o DMARC voltou ao centro da conversa
Desde maio de 2025, a Microsoft exige SPF, DKIM e DMARC de quem envia mais de 5 mil mensagens por dia para as caixas de consumidor, conforme o anúncio oficial no Microsoft Tech Community. O incidente mostrou que remetentes menores, fora dessa regra, também podem ser afetados quando um filtro muda.
Em termos simples, o SPF diz quais servidores podem enviar e-mail pelo seu domínio, o DKIM assina digitalmente a mensagem e o DMARC diz ao provedor o que fazer quando as duas verificações falham, além de enviar relatórios ao dono do domínio. O passo a passo técnico está no nosso guia de entregabilidade de e-mail com SPF, DKIM e DMARC.
Relatos reunidos pela dmarcian e pela EasyDMARC indicam que publicar um registro DMARC, mesmo em modo de monitoramento, fez as recusas pararem em vários casos. A Microsoft, por outro lado, não anunciou nova exigência de DMARC para pequenos remetentes. Vale notar que as duas empresas vendem serviços de DMARC.
Roteiro para revisar a autenticação do domínio
Publicar DMARC é simples, mas endurecer a política cedo demais pode bloquear envios legítimos, como notas fiscais e confirmações de pedido. Por isso, o caminho mais seguro segue uma ordem.
Roteiro de autenticação de e-mail em 5 passos
Sequência para publicar e evoluir o DMARC sem bloquear envios legítimos.
Mapear remetentes
Liste tudo que envia e-mail com o seu domínio: CRM, loja, ERP, suporte e ferramentas de marketing.
Validar SPF e DKIM
Confirme que cada serviço autentica e se alinha ao domínio que aparece no remetente.
Publicar DMARC
Comece com p=none e um endereço para receber os relatórios agregados.
Ler os relatórios
Identifique fontes legítimas que falham e corrija antes de endurecer a política.
Avançar a política
Passe para quarantine e depois reject quando todos os envios legítimos passarem.
O ponto de atenção está no primeiro passo. Lojas virtuais costumam ter mais remetentes do que imaginam, e qualquer serviço esquecido passa a falhar quando a política chega a reject.
O que fazer agora na operação de CRM
- Revise os relatórios de rejeição de 5 a 10 de novembro. Filtre pelos domínios outlook.com, hotmail.com, live.com e msn.com e pelos códigos da tabela.
- Reenvie o que era urgente. Confirmações de pedido, boletos e mensagens de recuperação de senha devem ter prioridade.
- Não descarte contatos por esses erros. Siga as regras de higienização da base e trate essas recusas como bloqueio temporário, não como endereço inválido.
- Publique ou revise o DMARC antes da Black Friday. Use p=none se ainda não tiver registro e acompanhe os relatórios nas semanas de maior volume.
- Monitore entrega por provedor. Separar abertura e entrega por Gmail, Outlook e outros provedores ajuda a detectar bloqueios cedo, junto com o acompanhamento de descadastros.
Uma base bem cuidada reduz o risco de bloqueio e o custo de disparo, como mostramos em por que higienizar a base. Autenticação e qualidade de lista andam juntas.
Perguntas frequentes
Por que meus e-mails para Hotmail voltaram em novembro de 2026?
Entre 5 e 9 de novembro, uma mudança nas regras de spam da Microsoft fez o Outlook.com recusar parte das mensagens de domínios sem DMARC ou com falhas de autenticação. A Microsoft desfez a mudança e informou a normalização em 10 de novembro.
O problema já foi resolvido?
Sim. A Microsoft informou que o fluxo de mensagens para Outlook.com, Hotmail e Live foi restabelecido e que segue monitorando. O incidente está registrado como EX1545193 no centro de administração do Microsoft 365.
Pequenos remetentes agora precisam de DMARC na Microsoft?
A Microsoft não anunciou nova exigência para pequenos remetentes; a regra publicada vale para quem envia mais de 5 mil mensagens por dia. Ainda assim, publicar DMARC em modo de monitoramento reduz o risco de recusas e protege o domínio contra falsificação.
Devo remover da base os contatos que deram erro 550 5.7.1?
Não. Esse erro indica que a Microsoft recusou a mensagem, e não que o endereço deixou de existir. Trate como bloqueio temporário e reenvie depois de revisar a autenticação.
Qual política de DMARC usar no começo?
Comece com p=none, que só monitora e envia relatórios. Depois de corrigir os remetentes legítimos que falham, avance para quarantine e, por fim, reject.
