Firmowe maile z domeny bez rekordu DMARC mogą od 5 listopada 2026 roku częściowo wracać z błędem 550 5.7.1. Dotyczy to wiadomości do klientów z adresami @outlook.com, @hotmail.com, @live.com i @msn.com. Tak opisuje to firma MailRoute, która zobaczyła odrzucenia we własnych logach, a niezależnie potwierdzają to administratorzy poczty na liście Mailop i użytkownicy forum Microsoft Q&A. Microsoft zmiany nie ogłosił. Jeśli SPF albo DKIM już działa, naprawa zajmuje kilka minut w panelu DNS: trzeba dodać wpis DMARC w trybie samego monitorowania. Stan na 9 listopada 2026 roku, godz. 10:30.
Co oznacza błąd 550 5.7.1 z dopiskiem AS9031519
Ten komunikat oznacza, że serwer Outlook.com nie przyjął wiadomości, bo domena nadawcy nie publikuje polityki DMARC w DNS. Pełna treść zwrotki, którą podaje MailRoute i którą użytkowniczka forum Microsoftu wkleiła 8 listopada, brzmi tak:
550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)
Według wpisu MailRoute z 6 listopada pierwszego dnia w komunikacie nie było jeszcze dopisku (AS9031519). Administrator, który prowadzi usługę monitoringu DMARC, wyjaśnił 8 listopada, że sam kod 5.7.1 obejmuje kilka różnych przyczyn odrzucenia. Brak rekordu DMARC wskazuje dopiero oznaczenie AS9031519.
Trzy rzeczy utrudniają diagnozę. Odrzucana jest tylko część wiadomości, więc pojedynczy dostarczony mail niczego nie dowodzi. Ponowna wysyłka tego samego maila może przejść. Według MailRoute odrzucane domeny zwykle miały działający SPF, często też DKIM, a brakowało im wyłącznie DMARC.
Kogo to dotyczy, a kogo nie
Może dotknąć każdego nadawcę z własną domeną bez DMARC, także małego: sklep, gabinet, biuro rachunkowe, szkołę czy wspólnotę mieszkaniową. Ważna jest domena nadawcy. Odbiorca z kontem @outlook.com nie ma na to wpływu.
Tak to ujął moderator forum Microsoft Q&A (oznaczony jako Microsoft External Staff) 6 listopada w odpowiedzi osobie, której znajomi dostawali zwrotki. Napisał, że błąd najpewniej dotyczy domeny nadawcy. Dodanie nadawcy do listy bezpiecznych nadawców nie pomoże, bo wiadomość zostaje odrzucona, zanim trafi do skrzynki.
Skrzynki firmowe w Microsoft 365 wyglądają na nieobjęte. Al Iverson z bloga Spam Resource 7 listopada wysłał testowe wiadomości z domeny bez DMARC. Outlook.com je odrzucił, a domena firmowa obsługiwana przez Microsoft 365 przyjęła. To jeden test, więc traktujemy to jako obserwację, nie regułę.
Czym różni się od reguły dla masowych nadawców z 2025 roku
To nowe zachowanie, inne niż reguła, którą Microsoft ogłosił wiosną 2025 roku. Tamta dotyczy domen, które wysyłają do usług konsumenckich Microsoftu 5 000 lub więcej wiadomości dziennie. Takie domeny muszą mieć przechodzące SPF i DKIM oraz opublikowaną politykę DMARC co najmniej p=none. Wiadomości niespełniające wymagań wracają z innym kodem, opisanym na stronie pomocy Microsoftu:
550 5.7.515 Access denied, sending domain [domena] does not meet the required authentication level.
Zwrotka 5.7.515 wymienia wyniki SPF, DKIM i DMARC. Zwrotka 5.7.1 (AS9031519) mówi tylko, że rekordów brakuje, i trafia też do małych nadawców, których próg 5 000 wiadomości nie obejmował. Kodu AS9031519 nie ma w dokumentacji Microsoftu.
Microsoft nie opublikował komunikatu dla nadawców, wpisu na blogu ani informacji w stanie usług. Na forum Q&A uczestnicy 9 listopada w nocy wciąż pisali, że brak oficjalnego potwierdzenia. Nie wiadomo więc, czy to celowa zmiana, czy błąd filtra.
Jak sprawdzić, czy domena ma rekord DMARC
Rekord DMARC to wpis TXT w DNS pod nazwą _dmarc.twojadomena.pl, który mówi serwerom odbiorców, co robić z wiadomością podszywającą się pod domenę, i dokąd wysyłać raporty. Sprawdzisz go jednym poleceniem w terminalu na Macu albo w Linuksie:
dig +short TXT _dmarc.twojadomena.pl
Pusty wynik oznacza brak rekordu. 9 listopada o 10:17 dla naszej domeny polecenie zwróciło v=DMARC1; p=none; sp=none, czyli rekord w trybie monitorowania. Dla porównania CERT Polska ma p=reject z adresem do raportów. W Windows ten sam odczyt da polecenie nslookup -type=TXT _dmarc.twojadomena.pl. Bez terminala wystarczy dowolne narzędzie do sprawdzania DMARC w przeglądarce (wpisz w wyszukiwarkę dmarc check).
Przy okazji sprawdź też SPF (rekord TXT samej domeny, zaczyna się od v=spf1) oraz to, czy usługa wysyłkowa podpisuje maile DKIM. Jak działają te wpisy w DNS, tłumaczymy w tekście o serwerach DNS.
Jak dodać rekord DMARC krok po kroku
Wpis dodajesz tam, gdzie zarządzasz strefą DNS domeny: u rejestratora, w panelu hostingu albo w Cloudflare.
- Zaloguj się do panelu, w którym edytujesz strefę DNS domeny. W OVHcloud według dokumentacji to ścieżka Web Cloud > Domeny > wybrana domena > zakładka Strefa DNS.
- Dodaj nowy rekord typu TXT. Jako nazwę (host) wpisz
_dmarc. Panel zwykle sam dopisuje resztę domeny. - Jako wartość wpisz
v=DMARC1; p=none. Jeśli chcesz dostawać raporty, dopisz adres:v=DMARC1; p=none; rua=mailto:dmarc@twojadomena.pl. - Zapisz zmiany i po kilkudziesięciu minutach sprawdź rekord poleceniem
digz poprzedniej sekcji. Zmiany w DNS mogą rozchodzić się do 48 godzin.
Domena może mieć tylko jeden taki wpis. Jeśli rekord _dmarc już istnieje, popraw go zamiast dodawać drugi.
Polityka p=none znaczy: niczego nie blokuj, tylko raportuj. Właśnie dlatego nadaje się na start. DMARC przechodzi tylko wtedy, gdy SPF albo DKIM jest zgodny z domeną widoczną w polu Od. Google w instrukcji dla Workspace zaleca najpierw włączyć SPF lub DKIM, odczekać 48 godzin i dopiero wtedy dodać DMARC. Raporty Google radzi kierować na osobną skrzynkę, bo potrafi ich przychodzić dużo.
Dlaczego nie zaczynać od p=reject
Polityka p=reject każe odbiorcom odrzucać każdą wiadomość, która nie przejdzie DMARC, a to może odciąć Twoją własną pocztę. Typowa firma wysyła maile z kilku miejsc naraz: ze skrzynki, ze sklepu internetowego, z programu do faktur i z systemu do newslettera. Jeśli któryś z nich nie ma zgodnego SPF ani DKIM, jego wiadomości przestaną dochodzić.
Bezpieczna kolejność zaczyna się od p=none z raportami, aż pokażą wszystkie źródła wysyłki. Potem poprawki w SPF i DKIM dla każdego z nich, następnie p=quarantine (do spamu), a na końcu p=reject. Starsze poradniki radzą stopniowanie tagiem pct=. Nowy standard DMARC, RFC 9989 z maja 2026 roku, usunął ten tag, więc w nowych rekordach go nie dopisuj.
Jak DMARC chroni przed podszywaniem się pod firmę, opisujemy szerzej przy zabezpieczaniu poczty w Microsoft 365 przed phishingiem.
FAQ
Mam adres @outlook.com i ludzie dostają zwrotki, gdy do mnie piszą. Co mogę zrobić?
Po swojej stronie nic nie ustawisz, bo rekordy DNS dla outlook.com prowadzi Microsoft. Problem leży w domenie nadawcy. Poproś tę osobę o dodanie wpisu _dmarc w DNS albo o przesłanie pełnej zwrotki, a jeśli błąd dotyczy nadawców z poprawnym DMARC, zgłoś go przez pomoc Outlook.com.
Czy rekord DMARC z p=none zmieni coś w dostarczaniu moich maili?
Sam rekord z p=none nie każe nikomu blokować Twoich wiadomości. Jeśli SPF albo DKIM przechodzi weryfikację i jest zgodny z domeną w polu Od, dodanie takiego wpisu powinno usunąć przyczynę błędu AS9031519. Gdy żaden z tych mechanizmów nie działa, sam rekord nie wystarczy i trzeba najpierw poprawić SPF lub DKIM.
{ dla firm }Co możemy zrobić dla Twojej firmy?
Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.
Podsumowanie
Od 5 listopada 2026 roku Outlook.com, Hotmail, Live i MSN odrzucają część poczty z domen bez rekordu DMARC z komunikatem 550 5.7.1 z dopiskiem AS9031519. Tak relacjonują MailRoute, administratorzy na liście Mailop i autor bloga Spam Resource. Microsoft zmiany nie ogłosił ani nie skomentował, a według testu Spam Resource skrzynki firmowe w Microsoft 365 przyjmują takie wiadomości. Zjawisko różni się od reguły z 2025 roku dla nadawców powyżej 5 000 wiadomości dziennie, która daje kod 5.7.515. Sprawdź swoją domenę poleceniem dig +short TXT _dmarc.twojadomena.pl. Przy pustym wyniku i działającym SPF albo DKIM dodaj rekord TXT _dmarc o treści v=DMARC1; p=none, a zaostrzanie polityki zostaw na czas, gdy raporty pokażą, że wszystkie Twoje systemy wysyłkowe przechodzą SPF albo DKIM.
