Krijg je sinds kort mail terug die je naar een adres op hotmail.com, outlook.com of live.com hebt gestuurd? Je bent niet de enige. Sinds 5 november 2026 melden beheerders en ondernemers dat de consumentendienst van Microsoft mail weigert met deze foutmelding:
550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)
Soms gaat er nog een melding aan vooraf over SPF: 550 5.7.23 … Sender Policy Framework violation. De mail wordt dan niet in de spam gezet, maar helemaal geweigerd. De ontvanger ziet hem dus nooit.
Wat is er veranderd?
Microsoft heeft hier zelf (nog) niets over aangekondigd. Wel staat er sinds april 2025 een officiële regel: wie meer dan 5.000 mails per dag naar Outlook.com stuurt, moet SPF en DKIM laten slagen en een DMARC-record hebben. De nieuwe weigeringen raken ook kleine verzenders die nooit in de buurt van die 5.000 komen.
Op het helpforum van Microsoft zegt een moderator dat de foutmelding gaat over de beveiliging van het domein van de afzender. De ontvanger kan er dus niets aan doen; ook toevoegen aan ‘Veilige afzenders’ helpt niet. Uit de meldingen tot nu toe komt een duidelijk beeld:
- Vaak heeft het domein van de afzender geen DMARC-record. Beheerders op het forum melden dat de mail na het toevoegen ervan weer aankwam.
- Mail die alleen op SPF leunt, gaat mis zodra SPF faalt, bijvoorbeeld omdat een dienst die namens jou mailt niet in je SPF-record staat. Zonder DKIM-handtekening is er dan niets meer dat bewijst dat de mail echt van jou is.
Wat moet je doen?
- Controleer je domein. Vul je domeinnaam in bij onze gratis E-mailcontrole. Die kijkt in één keer naar je MX-, SPF-, DKIM- en DMARC-records.
- Zet DKIM aan. Bij Microsoft 365 moet je DKIM voor je eigen domein apart aanzetten met twee CNAME-records. Doe je dat niet, dan ondertekent Microsoft je mail met je onmicrosoft.com-domein, en dat telt niet mee voor DMARC van je eigen domein. Ook je hostingmail, nieuwsbriefdienst of boekhoudpakket moet met DKIM ondertekenen.
- Maak SPF compleet. Zet alle diensten die namens je domein mailen in één SPF-record. Onze SPF generator helpt je daarbij en telt meteen de DNS-opzoekingen.
- Voeg een DMARC-record toe. Begin met
v=DMARC1; p=none; rua=mailto:jouw-adresop_dmarc.jouwdomein.nl. Dat verandert niets aan hoe andere ontvangers je mail behandelen, maar je laat zien dat je domein DMARC gebruikt, en je krijgt rapporten over wie er namens je domein mailt. Lees meer in DMARC van none naar reject in stappen. - Stuur geweigerde mail opnieuw. Een weigering met een 5xx-code is definitief: de verzendende server probeert het niet nog een keer. Verstuur belangrijke mails opnieuw zodra je records kloppen.
Zo helpen we je
- Gratis controleren met de E-mailcontrole, de DKIM-check en de DMARC-check.
- Laten inrichten. We zetten SPF, DKIM en DMARC goed voor je domein, of je mail nu bij ons of bij Microsoft 365 draait. Lees meer over zakelijke e-mail bij Siengo.
- DMARC blijven volgen met ons BIMI + DMARC-pakket: we verwerken de dagelijkse rapporten, zetten DMARC stap voor stap strenger en houden je domein elke dag in de gaten. Als bonus staat je logo naast je mail.
Komt je mail terug en wil je dat we meekijken? Neem contact op en stuur de foutmelding mee.
Bronnen
- Microsoft Q&A: 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (6 november 2026)
- Microsoft Q&A: Incoming emails being blocked due to lack of SPF/DKIM/DMARC records (6 november 2026)
- Microsoft: Outlook’s New Requirements for High-Volume Senders (april 2025)
- Microsoft Learn: How to use DKIM for email in your custom domain