E-mails geweigerd door Outlook: een bug die zich als nieuwe regel gedroeg

Of: wat er gebeurt als de portier een weekend lang de regels van de groten op iedereen toepast

Tussen vrijdagavond 6 en maandagmiddag 9 november kwamen heel wat e-mails niet aan bij wie een adres van Outlook.com, Hotmail of Live heeft. De afzenders kregen een foutmelding die zei dat hun domein niet goed beveiligd was. Beheerders begonnen hun instellingen na te kijken, forums liepen vol, en de conclusie lag voor de hand: Microsoft had de regels verstrengd. Dat had het niet. Het was een bug. Al heeft die bug in drie dagen misschien meer gedaan voor de veiligheid van e-mail dan jaren goede raad.

Outlook weigerde mails zonder DMARC: wat er gebeurde

Een portier die plots bij iedereen een identiteitskaart vraagt

Wie naar een Outlook-adres mailde, kreeg soms een melding terug met de code 550 5.7.1 en de uitleg dat het bericht geen SPF-, DKIM- of DMARC-gegevens had. Het trof vooral domeinen zonder DMARC-record, ook als ze maar een handvol mails per dag verstuurden. De Franse vakwebsite IT-Connect vatte het samen in vier woorden: geen DMARC, mail geweigerd.

Microsoft bevestigde intussen dat het een fout was. In het statusoverzicht van Microsoft 365 staat een incident over gebruikers die af en toe geen mail konden sturen naar adressen van Outlook.com, Hotmail.com en Live.com. De oorzaak volgens Microsoft: een recente update van de antispamregels markeerde en blokkeerde ten onrechte sommige mails. Microsoft draaide de update terug. Het probleem duurde van 6 november om 19 uur tot 9 november om 12.02 uur, Belgische tijd.

Vergelijk het met de portier van een fuif die al jaren alleen bij grote groepen een identiteitskaart vraagt. Op een vrijdagavond vraagt hij ze door een misverstand aan iedereen. Wie er geen bij heeft, mag naar huis. Maandag beseft de organisatie het en zet ze de oude regel terug. Alleen staat wie vrijdag werd weggestuurd, maandag niet vanzelf terug aan de deur.

De regel bestaat wel, maar voor de groten

Het misverstand lag voor de hand, want er bestaat wel een regel. Sinds 5 mei 2025 eist Microsoft van verzenders die meer dan 5.000 mails per dag naar zijn gratis mailadressen sturen, dat ze SPF en DKIM doorstaan en een DMARC-record publiceren.¹ Veel beheerders dachten dat die regel nu voor iedereen gold. Dat is niet zo: het bericht van Microsoft over het incident vermeldt DMARC niet eens. Voor een kmo die een paar honderd mails per dag verstuurt, verandert er officieel niets.

Wat betekenen die drie afkortingen? Het zijn drie regels in de DNS-instellingen van je domein, en in de taal van de fuif zien ze er zo uit.

• SPF is de gastenlijst: welke servers mogen mailen namens jouw domein.
• DKIM is een zegel op de envelop: een digitale handtekening die toont dat de mail echt van jouw domein komt en onderweg niet veranderd is.
• DMARC is de brief van de organisator aan de portier: wat doe je met iemand die zegt van ons te komen, maar niet op de lijst staat en geen zegel heeft? En stuur ons een verslag.

Een DMARC-record met de instelling p=none verandert niets aan de bezorging. Het zegt alleen: hier is een beleid, en stuur me verslagen. Precies dat ontbrak bij de domeinen die vorige week aan de deur bleven staan.

Een foutcode die je de verkeerde kant op stuurt

Wie zelf via Microsoft 365 mailde, kreeg een andere melding terug: 550 5.7.23, een code die over een overtreding van SPF gaat. Veel beheerders keken dus hun SPF-record na, dat meestal gewoon klopte. De echte reden stond volgens IT-Connect verderop in de melding. Het is het soort foutmelding dat je pas begrijpt als je ze tot het einde leest, wat bij foutmeldingen zelden gebeurt.

Wat niet vanzelf goedkomt

De mailstroom werkt weer, maar de geweigerde mails blijven geweigerd. Een foutcode die met een 5 begint, is een definitieve weigering: de verzendende server probeert het niet opnieuw.² Wat tussen 6 en 9 november werd tegengehouden, komt nooit aan als je het niet zelf opnieuw verstuurt. Een offerte, een factuur, een antwoord op een sollicitatie: de ontvanger weet niet eens dat er iets onderweg was.

Kmo-Kristof: Een klant met een Hotmail-adres zegt dat ze mijn factuur van zaterdag nooit kreeg.

Security-Sofie: Dan kreeg jij een foutmelding terug. Ergens in je inbox.

Kmo-Kristof: Gevonden. Maar het was een bug van Microsoft, lees ik. Dan hoef ik toch niets te doen?

Security-Sofie: De factuur opnieuw sturen. En een DMARC-record aanmaken.

Kmo-Kristof: Dat is toch alleen verplicht voor de groten?

Security-Sofie: Officieel wel. Vorige week, drie dagen lang, in de praktijk niet.

Wat kun je nu doen?

1. Zoek je foutmeldingen op. Kijk in je inbox naar teruggestuurde mails tussen 6 en 9 november, gericht aan adressen op outlook.com, hotmail.com of live.com, en stuur ze opnieuw. Facturen eerst.
2. Kijk of je domein een DMARC-record heeft. Typ in een terminal op Windows, macOS of Linux nslookup -type=TXT _dmarc.jouwdomein.be. Staat er in het antwoord geen regel die met v=DMARC1 begint, dan heb je geen DMARC.
3. Publiceer een minimaal record. Voeg bij je hostingbedrijf of domeinregistrar een TXT-record toe op de naam _dmarc, bijvoorbeeld v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.be. De bezorging verandert niet, maar je krijgt verslagen over wie er namens jouw domein mailt.
4. Lees de verslagen, en verstreng daarna. Staan al je echte verzenders erin (je mailbox, je facturatieprogramma, je nieuwsbrieftool) en doorstaan ze SPF of DKIM, dan kun je overstappen naar een strenger beleid. Dan helpt DMARC ook tegen phishing uit naam van jouw bedrijf.³
5. Lees een foutmelding tot het einde. De eerste code vertelde deze keer niet het hele verhaal.

De bug is hersteld, en officieel geldt de regel weer alleen voor de groten. Maar drie dagen lang zagen we hoe e-mail werkt als de portier wél bij iedereen een identiteitskaart vraagt. Beschouw het als een generale repetitie. Het record aanmaken duurt korter dan het lezen van dit artikel.