Outlook.com החזיר מיילים של עסקים בלי DMARC במשך ארבעה ימים, ו-Microsoft: זו הייתה תקלה

עסקים רבים גילו בסוף השבוע שעבר שהמיילים שלהם ללקוחות עם כתובת Hotmail או Outlook.com חוזרים. מ-5 בנובמבר דחה השירות של Microsoft חלק מההודעות, בעיקר מדומיינים בלי רשומת DMARC. בהמשך הודתה Microsoft שזו תקלה ולא דרישה חדשה. לפי החברה, זרימת הדואר חזרה לתקינות ב-9 בנובמבר.

איזו שגיאה קיבלו השולחים, ומה הקשר ל-DMARC

ההודעה שחזרה לשולח נראתה כמו בעיית הגדרות רגילה. בפרטים הטכניים הופיע הקוד 550 5.7.1 עם הנימוק Message lacks SPF/DKIM/DMARC Auth Records (AS9031519). כלומר, השרת טען שחסרות לדומיין רשומות אימות.

הבעיה פגעה רק בתיבות הפרטיות של Microsoft: כתובות outlook.com, hotmail.com, live.com ו-msn.com. תיבות עסקיות ב-Exchange Online קיבלו את אותם מיילים כרגיל. השולחים עצמם הגיעו מכל מקום, כולל Microsoft 365, Google ו-Zoho, לפי דיווחים שריכז האתר LazyAdmin.

מה שבלבל את מנהלי המערכות הוא שהדחייה לא הייתה עקבית. מייל חזר, ואותו מייל עבר רבע שעה אחר כך. עובד אחד נחסם, ועמית שלו מאותו דומיין הצליח לשלוח לאותה כתובת. לכן מייל בדיקה אחד שעבר בהצלחה לא הוכיח שהכול בסדר.

מה Microsoft אמרה על התקלה ב-Outlook.com

Microsoft לא פרסמה מראש שום הודעה על כלל חדש. בתחילה היא סיווגה את הדיווחים כ"פגיעה בשירות" שנבדקת. בהמשך פרסמה דוח תקלה במספר EX1545193. לפי הדוח, עדכון שנעשה בכללי האכיפה נגד ספאם גרם לסימון ולחסימה של הודעות תקינות.

החברה ביטלה את העדכון, והדואר חזר לזרום ב-9 בנובמבר בשעה 12:02 לפי שעון מרכז אירופה, כלומר 13:02 בישראל. לפי Microsoft, התקלה התחילה ב-6 בנובמבר בערב, אבל הדיווחים הראשונים הופיעו כבר ב-5 בנובמבר. החברה גם אמרה שתבחן את נהלי העדכון שלה.

למה זה עדיין סימן אזהרה לגבי DMARC

DMARC היא רשומה ב-DNS של הדומיין. היא אומרת לשרתי הדואר מה לעשות במייל שנכשל בבדיקות SPF ו-DKIM, ושולחת לבעל הדומיין דוחות על מי ששולח בשמו. בלי הרשומה הזאת, קל לזייף מייל שמתחזה לעסק שלכם.

הדרישה הרשמית של Microsoft חלה רק על שולחים גדולים, מעל 5,000 הודעות ביום, והיא בתוקף מאז מאי 2025. מי שלא עומד בה מקבל שגיאה אחרת, 550 5.7.515. אבל בפורומים דיווחו מנהלי מערכות רבים שהדחיות פסקו מיד אחרי שהוסיפו רשומת DMARC. מצד שני, נדחו גם דומיינים שהגדירו את שלוש הרשומות לפני שנים. אז DMARC לא מסביר את כל המקרים, אבל הוא הגן על חלק גדול מהשולחים.

Gmail ו-Yahoo כבר דורשות אימות דומה מאז 2024, אצל מי ששולח בכמויות גדולות. התקלה הזאת נותנת טעימה מהעתיד. אם הדרישה תחול יום אחד גם על עסקים קטנים, המיילים פשוט לא יגיעו.

עוד ב-GEEKLIK: Microsoft מזהירה מפישינג שנראה כמייל פנימי: DMARC חלש וניתוב מורכב פותחים פתח

מה הלאה

Microsoft לא הסבירה למה הכלל השגוי פגע בעיקר בדומיינים בלי DMARC. גם לא ברור אם הכלל השגוי ישמש בעתיד בסיס לדרישה אמיתית. ההמלצה הפשוטה נשארת זהה: רשומת DMARC בסיסית לוקחת כמה דקות, ומונעת הפתעות כאלה.