550 5.7.708 “Access denied, traffic not accepted from this IP”: ontcijferd

Krijg je deze bounce van een ontvanger op Microsoft 365, dan heb je met iets anders te maken dan de klassieke S3140 van Outlook.com:

550 5.7.708 Service unavailable. Access denied, traffic not accepted from this IP.
For more information please go to http://go.microsoft.com/fwlink/?LinkID=526654

5.7.708 komt van Exchange Online Protection (EOP), het filter dat vóór elke tenant van Microsoft 365 zit. Het is een weigering op IP-niveau, maar het reputatiesignaal wordt los van de SNDS-gegevens van Outlook.com berekend.

Wat 5.7.708 veroorzaakt

EOP geeft 5.7.708 als het verzend-IP op zijn eigen interne blocklist voor reputatie staat. Veelvoorkomende oorzaken:

• Een gedeelde verzendpool met een slechte buur. Je ESP heeft je op een IP gezet dat een andere klant heeft misbruikt. Voor verzenders op gedeelde infrastructuur is dit oorzaak nummer 1.
• Een plotselinge piek in volume vanaf een IP dat eerder weinig verstuurde.
• Authenticatie die steeds faalt: SPF / DKIM die op grote schaal niet kloppen.
• Een listing op een grote DNSBL die Microsoft gebruikt (Spamhaus SBL/PBL).
• Bevestigde spammeldingen van beheerders van Microsoft 365 (de invoegtoepassing "Report message").

Anders dan bij S3140 is er voor 5.7.708 geen openbaar delistingformulier. De weg naar herstel is anders: de eigen pagina van Microsoft over 5.7.708 stuurt je naar Microsoft Support.

Zo bevestig je dat het een echte blokkade is (geen throttling)

Microsoft 365 geeft soms 4.7.500 / 4.7.501 terug (tijdelijk uitstel), wat erop lijkt maar wel herstelbaar is. 5.7.708 is permanent, en je retry-wachtrij lost het niet op.

Controleer:

1. Klasse van de bounce: 550 permanent tegenover 421/450 tijdelijk.
2. Omvang: bouncet elke ontvanger op Microsoft 365, of maar één tenant? Is het er maar één, dan is het een blokkade op tenantniveau, geen IP-blokkade.
3. Andere providers: accepteren Gmail, Yahoo enzovoort nog wel? Zo ja, dan zit het probleem specifiek bij Microsoft (en dat is bij 5.7.708 altijd zo).

Stap 1: open een verzoek om delisting via het portaal van Microsoft

Er is geen geautomatiseerd formulier. Je opent een supportcase via:

• Voor verzenders op eigen infrastructuur: neem contact op met de beheerder van Microsoft 365 bij een getroffen ontvangende tenant en vraag die een interne escalatie in te dienen. Beheerders hebben een ander kanaal dan openbare verzenders.
• Voor verzenders via een ESP: je ESP moet de case indienen. Neem contact op met hun deliverabilityteam en geef ze de bouncemelding letterlijk plus een header van een voorbeeldbericht.

In beide gevallen vraagt het verzoek om:

• Het of de geblokkeerde IP's.
• Een beschrijving van hoe je verzendt.
• Je authenticatie-instellingen (SPF/DKIM/DMARC).
• Je volume en hoe je aan je ontvangers komt.

Doorlooptijd: 3 tot 7 werkdagen is gebruikelijk.

Stap 2: los de onderliggende oorzaak op

Terwijl de case loopt:

• Draai Domain Health op elk verzenddomein. SPF, DKIM en DMARC moeten allemaal groen en in alignment zijn.
• Controleer met de blacklist checker of het IP niet op Spamhaus of andere DNSBL's staat. Staat het er wel op, laat het daar dan eerst delisten, want 5.7.708 verdwijnt vaak vanzelf zodra de listings verderop vervallen.
• Zit je in een gedeelde pool, vraag je ESP dan om de reputatiegeschiedenis van het IP. Is het al weken slecht, vraag dan om een andere pool of stap over op een dedicated IP.
• Rem agressief volume af. Throttling bij Microsoft 365 begint als 4.7.500 en schaalt op naar 5.7.708 als je blijft doordrukken.

Stap 3: na de deblokkering

Begin langzaam weer met verzenden. EOP beoordeelt reputatie opnieuw binnen een voortschrijdend venster. Op de eerste dag na de deblokkering meteen je oude volume halen is de snelste weg naar een tweede blokkade.

Aanbevolen opbouw:

Dag	% van het normale volume
1 tot 2	10%
3 tot 4	25%
5 tot 7	50%
8 tot 10	75%
11+	100%

5.7.708 vs S3140: snel overzicht

Symptoom	5.7.708	S3140
Filter	EOP (Microsoft 365)	Filter van Outlook.com
Getroffen ontvangers	Tenants van M365	Outlook.com / Hotmail / Live
Openbaar delistingformulier?	Nee	Ja (formulier van Outlook.com voor support aan verzenders)
Weg naar herstel	Supportcase via tenant of ESP	Delistingformulier van Outlook.com
Gebruikelijke doorlooptijd	3 tot 7 werkdagen	24 tot 48 uur

Veelgestelde vragen

Kan één verzender door EOP geblokkeerd zijn maar niet door Outlook.com? Ja. De twee systemen delen signalen, maar geven los van elkaar een score. Het komt vaak voor dat je schoon bent voor S3140 maar geblokkeerd met 5.7.708, vooral in een gedeelde IP-pool.

Lost overstappen op een ander IP 5.7.708 op? Ja, meteen, als het nieuwe IP een schone reputatie bij EOP heeft. Maar los je de onderliggende oorzaak niet op, dan krijgt het nieuwe IP binnen een paar weken ook 5.7.708.

Helpt een handhavende DMARC-policy? Aanzienlijk. EOP beoordeelt mail met DMARC-alignment veel gunstiger dan p=none. Sta je op p=none, ga dan naar p=quarantine met de DMARC-generator.

Gerelateerd

• De 550 5.7.1-fout van Microsoft oplossen
• Throttling 421 4.7.500 bij Microsoft ontcijferd
• De filtering van Exchange Online Protection uitgelegd

Bronnen

• Fix NDR error codes 550 5.7.703, 5.7.705, 5.7.708 and 5.7.750 (Microsoft Learn), Microsoft schrijft 5.7.708 "traffic not accepted from this IP" toe aan een IP met een lage reputatie en verwijst naar Microsoft Support.
• Email nondelivery reports and SMTP errors in Exchange Online (Microsoft Learn), de tijdelijke beperking 4.7.500-699 naast de verbanningen 5.7.705/5.7.708 op tenant en IP.
• Use the delist portal to remove yourself from the blocked senders list (Microsoft Learn), sender.office.com behandelt blokkades in Microsoft 365 (5.7.606-649), met een apart formulier voor Outlook.com.
• Built-in security features for all cloud mailboxes (Microsoft Learn), waarop Exchange Online Protection elke cloudmailbox filtert.