Outlook.com, DMARC kaydı olmayan alan adlarından gelen postaları sessizce reddediyor

Sessiz redler 5 Kasım'da başladı

5 Kasım 2026'dan bu yana Microsoft'un tüketici e-posta platformları — Outlook.com, Hotmail, Live ve MSN — DMARC kaydı yayımlamayan alan adlarından gelen gelen postaların bir kısmını reddediyor. Bu değişikliği ilk belgeleyen, geri dönen e-postaları kendi giden trafik günlüklerinde tespit eden e-posta filtreleme sağlayıcısı MailRoute oldu; konuyla ilgili yazı Hacker News ana sayfasında öne çıktı.

Engellenen göndericiler "550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records" şeklinde bir geri dönüş alıyor; bazı iletilerde bu metnin ardından AS9031519 kodu geliyor. MailRoute'a göre bu ifade sorunu olduğundan büyük gösteriyor: incelediği etkilenen alan adlarının çoğunda çalışan bir SPF vardı ve birçoğunda ayrıca DKIM imzası bulunuyordu. Hepsinin ortak noktası, bu mekanizmaları görünür From adresine bağlayan bir DMARC kaydının yokluğuydu.\n

Bu davranış Microsoft'un yayımladığı kurallardan nasıl farklılaşıyor

Microsoft toplu göndericiler için zaten kimlik doğrulamayı zorunlu tutuyor. Mayıs 2025'ten bu yana Outlook.com'a günde 5.000'den fazla ileti teslim eden alan adlarının SPF, DKIM ve DMARC'tan geçmesi gerekiyor; aksi halde 550 5.7.515 reddiyle karşılaşılıyor. Bu kural yüksek hacimli pazarlama trafiğini hedefliyordu ve küçük göndericiler genel olarak bunun kendilerine uygulanmadığını varsaydı.

MailRoute yeni davranışın bu politikadan üç yönde ayrıldığını belirtiyor. Düşük hacimli göndericileri de etkiliyor; yani küçük bir ofisten gönderilen kısa bir yanıt bile geri dönebiliyor. Hiç duyurulmadı — 6 Kasım itibarıyla şirketin belirttiğine göre Microsoft bu konuda hiçbir postmaster bildirimi, blog yazısı veya servis durumu kaydı yayımlamamış. Ayrıca geri dönüş mesajı hangi denetimin başarısız olduğunu söylemiyor; oysa 5.7.515 reddi SPF, DKIM ve DMARC sonuçlarını tek tek listeliyor.

Kısmi engelleme sorunu fark etmeyi zorlaştırıyor

Rapora göre Microsoft, etkilenen bir alan adından gelen postaların yalnızca bir kısmını reddediyor: bir Hotmail adresine giden bir ileti teslim edilirken bir sonraki geri dönerken, yeniden gönderim de başarılı olabilir. Sorunu sinsi kılan tam da bu aralıklı davranış. Gönderici kısaltmalarla dolu bir geri dönüş görür, bunu bir aksaklık sanır ve yoluna devam eder; alıcı ise kendisine bir ileti gönderildiğinden hiç haberdar olmaz.

Kişisel adreslere ulaşan kuruluşlar — hastalar, başvuru sahipleri, müşteriler, veliler, üyeler — için kayıplar görünmezdir: hiç varmayan faturalar, kaybolan randevu onayları, yanıtsız kalmış gibi görünen cevaplar.

Çözüm tek bir DNS kaydı

Bir alan adının risk altında olup olmadığını kontrol etmek saniyeler sürüyor: dig +short TXT _dmarc.example.com komutunu çalıştırın ve bir yanıt dönüp dönmediğine bakın. Çıktı yoksa DMARC kaydı yok demektir; bu reddin hedeflediği durum da tam olarak budur.

Çözüm, _dmarc adında ve v=DMARC1; p=none değerinde bir TXT kaydı. p=none politikası, alıcılara kimlik doğrulama hatalarında harekete geçmemeyi ve toplu raporlar göndermeyi söyler; dolayısıyla bunu yayımlamak Gmail, Yahoo ya da başka bir sağlayıcının o alan adının postasına yaklaşımını değiştirmez.

Tek bir koşul var. DMARC yalnızca SPF veya DKIM, From başlığındaki alan adıyla uyumluysa geçerli sayılır. MailRoute, Microsoft 365'i yaygın bir tuzak olarak gösteriyor: servis, göndericinin kendi alan adı için DKIM etkinleştirilene dek postaları kendi onmicrosoft.com alan adıyla imzalıyor ve bu varsayılan imza DMARC hesabına katılmıyor.

Neden önemli

Büyük e-posta sağlayıcılarının her birinin izlediği örüntü bu: kimlik doğrulama gereksinimleri önce toplu göndericilerle başlıyor, duyurulan bir son tarihle geliyor, sonra herkes için sessizce temel standart halini alıyor. p=none düzeyinde DMARC artık Microsoft'un tüketici posta kutularına ulaşmak için fiilen alt sınır; bir "iyi uygulama" değil. Bu değişimin bir güvenlik getirisi de var — sahtecilik yapılan alan adları birçok oltalama ve iş e-postası dolandırıcılığının (BEC) başlangıç noktası ve kimlik doğrulayan bir alan adını taklit etmek çok daha zor. Postası outlook.com, hotmail.com, live.com veya msn.com adreslerine ulaşan her operatör DMARC kaydı var mı diye kontrol etmeli ve hemen bir kayıt yayımlamalı; çünkü başarısızlık sessiz ve çözüm dakikalar sürüyor.