Lastige ontvangers: Microsoft en T-Online

Module 6: Bounces en problemen oplossen · Leestijd: 11 minuten

Leerdoel: Na deze les ken je de eigen regels van twee ontvangers die vaak voor vragen zorgen, Microsoft (Outlook.com, Hotmail en Microsoft 365) en T-Online, en weet je wat je als gebruiker en wat de beheerder van een verzendserver kan doen bij een vertraging of blokkade.

Kernbegrippen: Outlook.com en Exchange Online Protection, nieuw IP-adres zonder reputatie, 451 4.7.500 Server busy, 550 5.7.606 banned sending IP, delist-portaal sender.office.com, SNDS, JMRP, map Ongewenste e-mail, veilige afzenders, T-Online, eigen reputatiesysteem, forward-confirmed reverse DNS, contactgegevens op de website van het PTR-domein, geen whitelisting, postmaster.t-online.de

Waarom juist deze twee?

Microsoft ontvangt de mail van Outlook.com, Hotmail en Live.com, en daarnaast van een groot deel van de bedrijven (via Microsoft 365, met Exchange Online Protection als filter). T-Online is de grootste maildienst van Duitsland. Allebei gebruiken ze, naast de gewone standaarden, een eigen reputatiesysteem. Mail die bij Gmail zonder problemen aankomt, kan bij hen vertraagd of geweigerd worden. Wie klanten of contacten in Duitsland heeft, of veel naar Hotmail-adressen mailt, komt dit vroeg of laat tegen.

Microsoft: tijdelijk afgeremd met 4.7.500

De bekendste melding van Microsoft is:

451 4.7.500 Server busy. Please try again later from [203.0.113.25]. (AS843)

De tekst zegt "server druk", maar dat klopt niet: het is een bewuste afremming. Microsoft gebruikt deze reeks codes (4.7.500 tot 4.7.699) als een verzendend IP-adres nog weinig reputatie heeft, of als het gedrag ineens verandert, bijvoorbeeld bij een sterke stijging van het aantal mails. Microsoft beschrijft het zelf als een tijdelijke beperking om verdachte activiteit te beoordelen, die vanzelf wordt opgeheven als de mail in orde blijkt.

Wat betekent dat voor jou?

• Het is een tijdelijke fout (4xx). De verzendende server bewaart de mail en probeert het opnieuw. Meestal komt de mail na een of meer pogingen alsnog aan, soms na uren.
• Krijg je een uitstelbericht, verstuur de mail dan niet opnieuw. Dat maakt het volume groter en de afremming erger.
• Is het voor jou een probleem (bijvoorbeeld bij inlogcodes of facturen die direct moeten aankomen), meld het dan bij je aanbieder met het uitstelbericht erbij.

Wat de beheerder van de verzendserver kan doen:

1. Controleren of de basis klopt: PTR met FCrDNS, geen blocklist, SPF en DKIM voor de domeinen die via de server mailen (les 5.1 en 5.2).
2. Opwarmen: een nieuw IP-adres eerst een kleiner deel van het verkeer laten versturen en stap voor stap meer.
3. Het tempo per ontvanger beperken: minder gelijktijdige verbindingen naar Microsoft en een redelijke wachttijd tussen pogingen, zodat de server niet steeds opnieuw tegen de rem aanloopt.
4. Aanmelden bij SNDS en JMRP (zie hieronder).

Microsoft: geblokkeerd met 5.7.606

Is het IP-adres echt geblokkeerd, dan krijg je een definitieve fout:

550 5.7.606 Access denied, banned sending IP [203.0.113.25]. To request removal from this list please visit https://sender.office.com/ and follow the directions.

Dit komt voor bij mail naar Microsoft 365-omgevingen. De beheerder van het IP-adres kan verwijdering aanvragen via het delist-portaal sender.office.com: e-mailadres en IP-adres invullen, de bevestigingsmail openen en daar "Delist IP" kiezen. Volgens Microsoft kan het daarna tot 24 uur duren voordat de blokkade weg is. Los wel eerst de oorzaak op: een IP-adres dat na verwijdering weer spam verstuurt, staat snel weer op de lijst.

Bij Outlook.com en Hotmail (de consumentenkant) werkt verwijdering via een apart formulier van Microsofts afzenderondersteuning. Een handmatige whitelist bestaat bij Microsoft niet: het blijft een automatisch reputatiesysteem.

Microsoft: SNDS en JMRP

Microsoft biedt twee gratis diensten voor beheerders van een verzendend IP-adres:

• SNDS (Smart Network Data Services): per IP-adres zie je hoeveel mail Microsoft ontving, hoeveel daarvan als spam werd beoordeeld, hoeveel klachten er waren, en of het adres in spamvallen terechtkwam. Een kleurcode (groen, geel, rood) geeft de stand.
• JMRP (Junk Mail Reporting Program): markeert een Outlook.com-gebruiker jouw mail als ongewenst, dan krijg je een kopie. Zo zie je welke mail klachten oplevert.

Beide zijn alleen zinvol voor wie zelf een IP-adres beheert: een eigen server, of de aanbieder van een gedeelde server. Als gewone gebruiker van een hostingpakket of maildienst meld je je hier niet zelf aan.

Microsoft: in de map Ongewenste e-mail

Vaak wordt mail niet geweigerd, maar in de map Ongewenste e-mail gezet, vooral van afzenders die Microsoft nog niet kent. Daar helpen geen foutcodes, want er is geen bounce. Wat werkt:

• SPF, DKIM en DMARC goed (module 4). Ben je bulkverzender, dan eist Microsoft dat SPF én DKIM slagen (les 5.3).
• Vaste contacten vragen je adres toe te voegen aan hun contactpersonen of veilige afzenders, en mail die in Ongewenst stond als "Geen ongewenste e-mail" te markeren. Dat telt mee voor de reputatie.
• Geen nieuwsbrieven via je gewone mailbox (les 7.1).

T-Online: een eigen systeem

T-Online (de maildienst van Deutsche Telekom, met adressen op @t-online.de en @magenta.de) is bekend om zijn strenge eigen regels. Op de postmasterpagina postmaster.t-online.de staan de eisen voor verzendende servers. De belangrijkste:

1. De internetstandaarden volgen, waaronder de RFC's voor SMTP en voor de opbouw van berichten, en forward-confirmed reverse DNS (les 5.1).
2. De naam in de reverse DNS moet leiden naar een domein met een website waarop staat hoe je de beheerder rechtstreeks kunt bereiken. T-Online verwijst daarbij naar de Europese richtlijn voor elektronische handel (richtlijn 2000/31/EG, artikel 5) over de verplichte gegevens van een dienstverlener. In Duitsland heet zo'n pagina het Impressum.
3. Geen mail rechtstreeks vanaf dynamische adressen, inbelaansluitingen of "anonieme" cloudservers: die horen via een relay van een geschikte aanbieder te versturen.
4. Het aantal gelijktijdige verbindingen beperken. Bij te veel krijg je 421 Maximum parallel connections for your IP-Address reached.
5. Geen open relay, uitgaande mail filteren op spam en virussen, en bij TLS een geldig certificaat.

Een blokkade van een IP-adres ziet er bij T-Online bijvoorbeeld zo uit:

554 IP=203.0.113.25 - A problem occurred. (Ask your postmaster for help or to contact tosa@rx.t-online.de to clarify.)

In de praktijk kom je ook varianten tegen met een verwijzing naar een slechte of ontbrekende reputatie. De boodschap is steeds: dit IP-adres mag op dit moment niet afleveren.

T-Online: wat kun je doen?

T-Online zegt uitdrukkelijk dat het geen whitelisting aanbiedt. Wel kan een geblokkeerd adres worden vrijgegeven als de oorzaak weg is. De weg daarnaartoe:

• Als gewone gebruiker (je mailt via een hostingpakket of maildienst): stuur de volledige bounce naar je aanbieder. Alleen de beheerder van de verzendserver kan contact opnemen met T-Online; jij kunt het IP-adres niet zelf laten vrijgeven.
• Als beheerder van de verzendserver: controleer eerst de eisen hierboven (PTR, FCrDNS, een bereikbare website met contactgegevens op het domein uit de PTR, geen blocklist), en neem daarna contact op via het adres dat in de foutmelding staat of via het contactformulier op postmaster.t-online.de. Bij steeds terugkerende tijdelijke blokkades zonder bekende oorzaak noemt T-Online het postmasteradres. Reken niet op een ontvangstbevestiging.
• Op korte termijn: mail aan een belangrijke T-Online-ontvanger kan tijdelijk via een andere route (een andere aanbieder of verzenddienst), of je spreekt een ander adres af.

En de rest?

Ook andere grote Duitse diensten, zoals GMX en Web.de, en veel bedrijfsfilters hebben eigen reputatiesystemen. Het patroon is overal hetzelfde: een verzendserver met kloppende PTR, goede authenticatie, een rustig en regelmatig verzendpatroon en weinig klachten komt bijna overal binnen. Bij een probleem lees je de bounce, zoek je de code op bij de partij die hem gaf, en laat je de beheerder van de verzendserver handelen.

Samenvatting

• 451 4.7.500 Server busy van Microsoft is een bewuste, tijdelijke afremming van het IP-adres, vaak bij weinig reputatie of een sterke stijging. Niet opnieuw versturen.
• 550 5.7.606 betekent een geblokkeerd IP-adres; de beheerder vraagt verwijdering aan via sender.office.com, na het oplossen van de oorzaak.
• SNDS en JMRP geven beheerders van een IP-adres inzicht in hun reputatie bij Microsoft.
• T-Online eist onder meer FCrDNS en een website met contactgegevens op het domein uit de PTR, en biedt geen whitelisting.
• Als gebruiker los je dit niet zelf op: geef de volledige bounce aan je aanbieder.

Quiz

Opdracht

Opdracht O6.4: Een blokkade bij een grote ontvanger uitzoeken. Je krijgt een casus: een vereniging verstuurt sinds een week haar mail via een nieuwe eigen server; mail naar Hotmail-adressen komt uren later aan en mail naar T-Online-adressen komt terug met een IP-blokkade. Beantwoord: (1) wat betekenen de twee meldingen, (2) wie moet wat doen, (3) welke vijf dingen controleer je aan de server, en (4) wat kan de vereniging op korte termijn doen? Daarna zie je het modelantwoord.

Verder lezen

De stappen in deze artikelen gelden voor de panelen van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Mijn e-mail komt niet aan of belandt in de spam: zo zoek je het uit
• Mail versturen vanaf je VPS en reverse DNS instellen
• DirectAdmin handleiding 9.4: Mijn mail komt bij de ontvanger in de spam
• Microsoft, Email nondelivery reports and SMTP errors in Exchange Online: https://learn.microsoft.com/en-us/troubleshoot/exchange/email-delivery/ndr/non-delivery-reports-in-exchange-online
• Microsoft, Office 365 Anti-Spam IP Delist Portal: https://sender.office.com/
• Microsoft, SNDS en JMRP: https://sendersupport.olc.protection.outlook.com/snds/
• T-Online Postmaster (eisen en contact): https://postmaster.t-online.de/