Tóm tắt nhanh
- Từ ngày 5/11/2026, một số thư gửi tới Outlook.com, Hotmail, Live và MSN bị trả lại với lỗi 550 5.7.1 về SPF/DKIM/DMARC.
- Các trường hợp được ghi nhận thường thiếu bản ghi DMARC, ngay cả khi SPF và DKIM đã có.
- Quản trị viên tên miền có thể kiểm tra DNS và tạo một bản ghi TXT tại tên _dmarc; bắt đầu với chính sách p=none.
- Người dùng hộp thư cá nhân @outlook.com không thể sửa DNS của Microsoft; cần báo cho bên đang gửi thư.
Một số email gửi tới Outlook.com, Hotmail, Live và MSN bắt đầu bị trả về từ ngày 5/11/2026 với mã 550 5.7.1 “Message rejected: Message lacks SPF/DKIM/DMARC Auth Records”. Dù thông báo liệt kê cả ba chuẩn, những trường hợp được các dịch vụ email ghi nhận thường có cùng vấn đề: tên miền gửi chưa công bố DMARC.
Lỗi nêu ba chuẩn nhưng điểm thiếu thường là DMARC
SPF xác nhận máy chủ gửi được phép gửi thư thay mặt cho tên miền trong địa chỉ phong bì; DKIM dùng chữ ký để kiểm tra thư có bị sửa trên đường truyền hay không. DMARC kết hợp kết quả SPF hoặc DKIM với tên miền hiển thị ở trường From. Muốn DMARC đạt, ít nhất một trong hai chuẩn SPF hoặc DKIM phải qua và khớp tên miền From.
Vì vậy, dòng lỗi không phải lúc nào cũng có nghĩa cả SPF lẫn DKIM đều hỏng. Microsoft Learn mô tả 550 5.7.1 nói chung là thư bị từ chối do không được ủy quyền, với nhiều nguyên nhân có thể gồm SPF chưa hoàn chỉnh, cấu hình connector hoặc chính sách máy chủ nhận. Riêng đợt trả thư mới, các trường hợp được toSend và MailRoute công bố tập trung vào domain không có bản ghi DMARC, kể cả một số domain đã thiết lập SPF và DKIM.
Việc thư lúc gửi được, lúc bị trả lại cũng không đủ để kết luận cấu hình đã ổn. Nếu bạn vận hành tên miền, hãy kiểm tra bản ghi công khai và tiêu đề thư bị lỗi trước khi thay đổi SPF hoặc DKIM hàng loạt.
Thêm DMARC ở DNS của tên miền gửi, không phải Outlook cá nhân
Quản trị viên có thể kiểm tra DNS tại nơi đang quản lý tên miền. Nếu chưa có DMARC, tạo một bản ghi TXT với tên _dmarc và giá trị v=DMARC1; p=none;. Một số giao diện DNS tự nối tên miền vào trường Name; khi đó chỉ nhập _dmarc để tránh tạo nhầm tên đầy đủ hai lần.
Trước khi thêm, tìm xem domain đã có bản ghi DMARC chưa. Mỗi domain chỉ nên có một bản ghi; nếu đã có thì cần rà soát và cập nhật bản ghi hiện hữu, không tạo bản ghi thứ hai. Chính sách p=none yêu cầu bên nhận không cách ly hay từ chối thư chỉ vì DMARC thất bại; đây là điểm khởi đầu để công bố chính sách mà chưa áp dụng chế độ chặn. Không nên chuyển thẳng sang p=reject nếu chưa xác minh mọi dịch vụ gửi thư hợp lệ, vì những hệ thống chưa được cấu hình đúng có thể khiến thư của chính domain bị từ chối.
Sau khi lưu DNS, thay đổi cần thời gian lan truyền theo TTL. Các thư đã bị trả lại thường phải gửi lại sau khi bản ghi có hiệu lực. Nếu vẫn gặp lỗi, kiểm tra SPF có cho phép đúng dịch vụ gửi thư hay không, DKIM có ký bằng domain phù hợp không, và SPF hoặc DKIM có căn chỉnh với địa chỉ From hay không. Các hệ thống gửi thay mặt như CRM, nền tảng tiếp thị hoặc dịch vụ relay có thể cần cấu hình riêng.
Người nhận Outlook không tự sửa được lỗi ở phía người gửi
Nếu bạn chỉ dùng địa chỉ cá nhân kết thúc bằng @outlook.com, @hotmail.com, @live.com hoặc @msn.com để nhận thư, bạn không quản lý DNS của các domain đó và không cần tự thêm SPF, DKIM hay DMARC. Lỗi trong trường hợp này thuộc về domain hoặc dịch vụ đang gửi thư đến bạn. Hãy chuyển nguyên văn thông báo trả thư cho bộ phận IT hoặc nhà cung cấp email của bên gửi.
Đợt từ chối này cũng khác với yêu cầu Microsoft công bố cho người gửi khối lượng lớn: theo tài liệu được MailRoute dẫn lại, quy định áp dụng từ tháng 5/2025 nhắm tới domain gửi trên 5.000 email mỗi ngày và có mã lỗi 550 5.7.515. Các trường hợp 550 5.7.1 được ghi nhận trong tháng 11/2026 ảnh hưởng cả domain gửi ít thư, nên doanh nghiệp nhỏ và người gửi qua domain riêng cũng nên kiểm tra cấu hình.
Microsoft Learn khuyến nghị đọc kết quả xác thực trong header của thư để phân biệt lỗi SPF, DKIM, DMARC và căn chỉnh domain. Đây là cách tránh sửa nhầm một bản ghi đang hoạt động khi nguyên nhân thực tế nằm ở dịch vụ gửi hoặc chính sách DMARC.
Nguồn tham khảo: Microsoft Learn; toSend; MailRoute
