Outlook.com respinge le email: errore AS9031519

Articolo aggiornato all’11 novembre 2026. La situazione è ancora in evoluzione: lo aggiornerò se Microsoft pubblica nuove informazioni sull’incidente.

Dal 5-6 novembre stanno arrivando segnalazioni di email respinte quando il destinatario ha un indirizzo personale @outlook.com, @hotmail.com o @live.com. Chi invia riceve un rapporto di mancato recapito con “550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)”, a volte preceduto da “550 5.7.23 The message was rejected because of Sender Policy Framework violation”.

Il messaggio fa pensare a un errore di configurazione del vostro dominio, ma non è sempre così: sui forum di Microsoft Q&A un moderatore di Microsoft ha confermato il 9 novembre un problema in corso sul servizio Exchange che riguarda proprio Outlook.com, Hotmail e Live, classificato come degrado del servizio. Il blocco ha colpito anche domini con SPF, DKIM e DMARC corretti, inviati da Microsoft 365, Google Workspace, altri provider ed Exchange on-premises.

Detto questo, l’episodio è un ottimo pretesto per fare quello che molte PMI rimandano da anni: mettere in ordine l’autenticazione della posta. Ed è anche il modo più rapido per ridurre i rifiuti mentre la situazione non è chiara.

Chi è coinvolto

• Chi invia posta verso caselle consumer di Microsoft (Outlook.com, Hotmail, Live), indipendentemente dal proprio provider.
• Non risultano coinvolte le caselle aziendali Exchange Online come destinatari: il problema riguarda i server che gestiscono la posta consumer.
• Più esposti i domini senza record DMARC: diversi amministratori riportano che, pubblicandone uno, i rifiuti si sono fermati.

Perché succede

Microsoft non ha annunciato nessun nuovo obbligo DMARC per chi invia pochi messaggi. Le regole del 2025 per i mittenti con oltre 5.000 messaggi al giorno restano quelle, e il loro codice di rifiuto è 550 5.7.515, non AS9031519, che tra l’altro non è documentato. Alcune fonti riportano che l’incidente, identificato come EX1545193, sia stato causato da un aggiornamento delle regole antispam e risolto il 9 novembre annullando la modifica; altre lo davano ancora aperto. Il numero EX1540236 che circola in rete, invece, non trova riscontro in fonti Microsoft.

In pratica: se avete avuto rifiuti in questi giorni, con buona probabilità non avete sbagliato nulla. Ma se il vostro dominio non ha DMARC, o ha SPF e DKIM zoppicanti, prima o poi qualcuno ve li respingerà comunque.

Prima di iniziare

• Esportate la zona DNS del dominio o fate uno screenshot dei record attuali: se toccate SPF e qualcosa smette di funzionare, dovete poter tornare indietro in un minuto.
• Fatevi un elenco di tutto quello che invia posta a nome del dominio: Microsoft 365, gestionale, newsletter, stampanti multifunzione.
• Tenete da parte un rapporto di mancato recapito completo: vi serve l’intestazione per capire cosa ha visto il server ricevente.

Verificare SPF, DKIM e DMARC

1. Controllate i record pubblicati. Da Windows io uso PowerShell, che restituisce un output più pulito di nslookup:

Resolve-DnsName -Type TXT example.com | Where-Object { $_.Strings -match "v=spf1" }
Resolve-DnsName -Type TXT _dmarc.example.com
Resolve-DnsName -Type CNAME selector1._domainkey.example.com

2. Verificate che esista un solo record SPF e che includa tutti i servizi che inviano per voi. Per un dominio solo su Microsoft 365 il minimo è v=spf1 include:spf.protection.outlook.com -all. Attenzione: due record v=spf1 sullo stesso dominio invalidano entrambi.
3. Su Microsoft 365 controllate che la firma DKIM sia attiva. Da Exchange Online PowerShell:

Connect-ExchangeOnline -UserPrincipalName [email protected]
Get-DkimSigningConfig -Identity example.com | Format-List Domain,Enabled,Selector1CNAME,Selector2CNAME

4. Se Enabled è False, pubblicate nel DNS i due CNAME indicati in Selector1CNAME e Selector2CNAME, aspettate la propagazione e attivate la firma da Microsoft Defender → Email e collaborazione → Criteri e regole → Criteri di minaccia → Impostazioni di autenticazione e-mail → DKIM, oppure con Set-DkimSigningConfig -Identity example.com -Enabled $true.
5. Se manca il record DMARC, pubblicate un TXT su _dmarc.example.com in sola osservazione:

v=DMARC1; p=none; rua=mailto:[email protected]

Con p=none non chiedete a nessuno di bloccare niente: dichiarate solo che il dominio ha una politica e ricevete i rapporti aggregati all’indirizzo indicato. È un passo reversibile e senza effetti collaterali, per questo lo consiglio anche a chi non ha avuto problemi. Io preferisco usare una casella dedicata ai rapporti, perché arrivano ogni giorno e intasano quella dell’amministratore.

Attenzione: non saltate subito a p=quarantine o p=reject. Lasciate p=none per qualche settimana, leggete i rapporti e scoprirete quasi sempre un servizio dimenticato (la multifunzione che scansiona verso l’email, il gestionale che manda le fatture) che non è allineato. Solo dopo averlo sistemato ha senso stringere la politica.

Controllare lo stato dell’incidente

Se usate Microsoft 365, aprite l’interfaccia di amministrazione → Integrità → Integrità del servizio e cercate gli avvisi su Exchange Online relativi a Outlook.com. Tenete presente che diversi amministratori non hanno trovato nulla in quella sezione nei primi giorni, quindi non prendete l’assenza di avvisi come prova che il problema sia vostro. Dopo aver sistemato i record, rimandate i messaggi respinti: un rifiuto 550 è definitivo e il vostro server non li ritenterà da solo.

Se il problema persiste

• Aprite le intestazioni di un messaggio di prova inviato a una casella Outlook.com funzionante e cercate Authentication-Results: se vedete spf=pass, dkim=pass e dmarc=pass il vostro dominio è a posto e il rifiuto dipende da Microsoft.
• Se avete un server di posta in casa, controllate anche il record PTR dell’IP pubblico: ne ho parlato in Reverse DNS (PTR) su IP statico: cos’è e come richiederlo.
• Se usate Microsoft 365, aprite una richiesta di supporto allegando il rapporto di mancato recapito completo e il file .eml del messaggio; altrimenti usate il modulo di supporto per i mittenti di Outlook.com.

Vi è capitato di avere email respinte da Outlook.com o Hotmail in questi giorni? Raccontate nei commenti che provider usate e se il record DMARC ha risolto: possono essere utili ad altri.