Referência: 550 5.7.708 na wiki de códigos de erro
Nesta página
Se você está recebendo este bounce de um destinatário do Microsoft 365, é um bicho bem diferente do clássico S3140 do Outlook.com:
550 5.7.708 Service unavailable. Access denied, traffic not accepted from this IP.
For more information please go to http://go.microsoft.com/fwlink/?LinkID=526654
O 5.7.708 é emitido pelo Exchange Online Protection (EOP), o filtro que fica na frente de todo tenant do Microsoft 365. É uma rejeição no nível do IP, mas o sinal de reputação é calculado separadamente dos dados do SNDS do Outlook.com.
O que dispara o 5.7.708
O EOP retorna 5.7.708 quando o IP de envio está na sua própria lista interna de bloqueio por reputação. Causas comuns:
- Pool de envio compartilhado com um vizinho ruim. O seu ESP colocou você num IP que outro cliente usou para abuso. É a causa número 1 para remetentes em infraestrutura compartilhada.
- Pico repentino de volume a partir de um IP que antes enviava pouco.
- Autenticação falhando de forma constante: divergências de SPF / DKIM em escala.
- Listagem numa DNSBL importante que a Microsoft consulta (Spamhaus SBL/PBL).
- Denúncias de spam confirmadas por administradores do Microsoft 365 (o suplemento "Report message").
Ao contrário do S3140, não há formulário público de delisting para o 5.7.708. O caminho da correção é outro: a página da própria Microsoft sobre o 5.7.708 manda você para o suporte da Microsoft.
Como confirmar que é um bloqueio real (e não throttling)
O Microsoft 365 às vezes retorna 4.7.500 / 4.7.501 (adiamento temporário), que parece parecido mas é recuperável. O 5.7.708 é permanente, e a sua fila de novas tentativas não vai resolvê-lo.
Confira:
- Classe do bounce:
550permanente vs421/450temporário. - Alcance do volume: todos os destinatários do Microsoft 365 estão dando bounce, ou só um tenant? Se for só um, é um bloqueio no nível do tenant, não do IP.
- Outros provedores: Gmail, Yahoo e os outros continuam aceitando? Se sim, o problema é específico da Microsoft (o que o 5.7.708 sempre é).
Etapa 1: abra um pedido de delisting pelo portal da Microsoft
Não existe formulário automático. Você abre um chamado de suporte por um destes caminhos:
- Para remetentes com infraestrutura própria: fale com o administrador do Microsoft 365 de um tenant destinatário afetado e peça que ele abra um escalonamento interno. Ele tem um canal diferente do que os remetentes públicos têm.
- Para remetentes hospedados num ESP: o seu ESP precisa abrir o chamado. Fale com a equipe de entregabilidade deles e envie a mensagem de bounce exata, mais um cabeçalho de mensagem de exemplo.
Nos dois casos, o pedido solicita:
- O(s) IP(s) bloqueado(s).
- Uma descrição das práticas de envio.
- A configuração de autenticação (SPF/DKIM/DMARC).
- O volume e o método de captação dos destinatários.
Prazo de resolução: 3 a 7 dias úteis é o normal.
Etapa 2: corrija o motivo de fundo
Enquanto o chamado está aberto:
- Rode o Domain Health em todos os domínios de envio. SPF, DKIM e DMARC todos verdes e alinhados.
- Confirme que o IP não está na Spamhaus nem em outras DNSBLs com o verificador de blacklist. Se estiver, faça o delisting lá primeiro, porque o 5.7.708 muitas vezes some sozinho quando as listagens externas caem.
- Se você está num pool compartilhado, peça ao seu ESP o histórico de reputação do IP. Se ele está ruim há semanas, peça outro pool ou migre para um IP dedicado.
- Freie o volume agressivo. O throttling do Microsoft 365 aparece primeiro como 4.7.500 e escala para 5.7.708 se você continua insistindo.
Etapa 3: depois do desbloqueio
Retome o envio devagar. O EOP reavalia a reputação numa janela móvel. Voltar ao volume anterior já no primeiro dia depois do desbloqueio é o caminho mais rápido para um segundo bloqueio.
Aumento recomendado:
| Dia | % do volume normal |
|---|---|
| 1 a 2 | 10% |
| 3 a 4 | 25% |
| 5 a 7 | 50% |
| 8 a 10 | 75% |
| 11+ | 100% |
5.7.708 vs S3140: referência rápida
| Sintoma | 5.7.708 | S3140 |
|---|---|---|
| Filtro | EOP (Microsoft 365) | Filtro do Outlook.com |
| Destinatários afetados | Tenants do M365 | Outlook.com / Hotmail / Live |
| Formulário público de delisting? | Não | Sim (formulário de suporte a remetentes do Outlook.com) |
| Caminho da correção | Chamado de suporte via tenant ou ESP | Formulário de delisting do Outlook.com |
| Resolução típica | 3 a 7 dias úteis | 24 a 48 horas |
Perguntas frequentes
Um mesmo remetente pode ser bloqueado pelo EOP e não pelo Outlook.com? Sim. Os dois sistemas compartilham sinais, mas pontuam de forma independente. É comum estar limpo no S3140 e bloqueado com 5.7.708, principalmente num pool de IPs compartilhado.
Trocar de IP resolve o 5.7.708? Sim, na hora, se o IP novo tiver reputação limpa no EOP. Mas, se você não corrigir a causa de fundo, o IP novo vai ganhar um 5.7.708 em poucas semanas.
Uma política DMARC ativa ajuda?
Bastante. O EOP trata e-mails alinhados com DMARC de forma bem mais favorável do que com p=none. Se você está em p=none, passe para p=quarantine com o gerador de DMARC.
Relacionados
- Como corrigir o erro 550 5.7.1 da Microsoft
- 421 4.7.500: o throttling da Microsoft decifrado
- A filtragem do Exchange Online Protection explicada
Fontes
- Fix NDR error codes 550 5.7.703, 5.7.705, 5.7.708 and 5.7.750 (Microsoft Learn), a Microsoft atribui o 5.7.708 "traffic not accepted from this IP" a um IP de baixa reputação e indica o suporte da Microsoft.
- Email nondelivery reports and SMTP errors in Exchange Online (Microsoft Learn), a restrição temporária 4.7.500-699 ao lado dos banimentos de tenant e de IP 5.7.705/5.7.708.
- Use the delist portal to remove yourself from the blocked senders list (Microsoft Learn), o sender.office.com cuida dos bloqueios do Microsoft 365 (5.7.606-649), com um formulário separado para o Outlook.com.
- Built-in security features for all cloud mailboxes (Microsoft Learn), o que o Exchange Online Protection filtra em toda caixa de e-mail na nuvem.