注意你的邮件突然发不进 Outlook 了：微软在悄悄拒收没有 DMARC 的域名

运维和后端的兄弟注意，11 月 5 日起有件事微软没发任何公告：Outlook.com / Hotmail / Live / MSN 开始拒收一部分来自没有 DMARC 记录的域名的邮件，退信代码 550 5.7.1，提示 “Message lacks SPF/DKIM/DMARC Auth Records”。MailRoute 的管理员是在自己的出站日志里最先发现的，同期其他管理员也开始在公开渠道报同样的事，微软那边到 11 月 6 日为止：postmaster 通知没有、官方博客没有、服务健康面板上也没有。

这个坑阴在哪

第一，别拿微软的老规定套。2025 年 5 月起，日发 5000 封以上的域名才强制 SPF/DKIM/DMARC，那是管营销邮件的，很多小公司看一眼就认定跟自己无关。这次的拒收没有量的门槛，小公司发一封普通回复都能中招，撞上的是完全没配 DMARC 的域名。而且被弹的域名大多 SPF 是配了的，不少 DKIM 也有，缺的就是把两者跟 From 地址绑在一起的 DMARC。

第二，它只拒一部分。同一域名，一封进了 Hotmail 收件箱，下一封被弹，重发可能又成功了。发件人看到一屏缩写报错，以为是抽风，重发完就翻篇；真正的问题是对面那个人永远不知道你发过邮件。发票没到、预约确认没送到、回复石沉大海，这种损失是悄无声息的。

查和修都不贵

先花十秒确认自己是不是圈内人，终端里跑（换成你的域名）：

dig +short TXT _dmarc.example.com

有 v=DMARC1 开头的输出就是配了，没输出就是没有。没有的话去 DNS 服务商加一条 TXT 记录：主机记录填 _dmarc，值填 v=DMARC1; p=none。p=none 是安全起点，只向收件方声明"这个域名用了 DMARC、请把报告发给我"，对验证失败不做任何动作，也不会改变 Gmail、Yahoo 对你的处理方式。

两个前提要自查，不然加了白加。一是 DMARC 要过，SPF 或 DKIM 至少一个得对齐 From 地址的域名，这是大多数配错的根因；二是用微软 365 发信的注意，默认签名用的是它自己的 onmicrosoft.com 域名，不算数，得去后台把自己的域名 DKIM 打开。

这事的方向没什么悬念：Gmail 和 Yahoo 2024 年就给批量发件人上了同类要求，微软 2025 年扩到日均 5000 封，现在是悄悄铺到所有人。DMARC 配置的意义也不只是收件率——伪造你域名发钓鱼邮件的成本会高很多，p=none 走顺了以后随时可以升 p=reject。自建邮件服务的，建议今天就查。