# E-mail não chega no Hotmail e no Outlook: o guia completo

> Por que o e-mail não chega no Hotmail e no Outlook, o que diz a regra da Microsoft de maio de 2025 (550 5.7.515), os códigos 5.7.x e como pedir desbloqueio.

Fonte: https://couryo.com/blog/email-nao-chega-no-hotmail-outlook · Publicado em 2026-10-20

O cliente se cadastrou com um endereço `@hotmail.com`, o e-mail de confirmação saiu do seu sistema e nunca apareceu. No Gmail chega; no Hotmail some, cai no Lixo Eletrônico ou volta com um código que ninguém entende. Este guia mostra o que a Microsoft exige hoje, como ler cada recusa e como medir a entrega nos endereços dela, com os links oficiais de cada regra.

## Resposta curta: confira isto primeiro

1. **Leia a resposta do servidor.** Se o e-mail voltou, o código diz o motivo. `550 5.7.515` é falta de autenticação; `S3150` é bloqueio de IP; `421 RP-00x` é excesso de ritmo. A tabela completa está mais abaixo.
2. **SPF, DKIM e DMARC no domínio do `From`.** Os três passando, com o DKIM assinado pelo **seu** domínio (`d=seudominio.com.br`) e DMARC publicado, nem que seja com `p=none`.
3. **Remetente de verdade.** O `From` ou o `Reply-To` precisa ser um endereço do seu domínio que recebe resposta. Nada de `From: voce@gmail.com` saindo de outro servidor.
4. **Lista limpa.** Endereço que voltou com "não existe" sai da lista na hora; quem marcou como lixo eletrônico também.
5. **Meça por provedor.** Separe a taxa de aceite, adiamento e recusa da Microsoft das do Gmail. Problema que só aparece na Microsoft tem causa própria.

## Outlook.com ou Microsoft 365: dois destinos diferentes

A Microsoft tem dois serviços de e-mail, com filtros, códigos e formulários próprios:

| Destino | Quem usa | Exemplos de endereço |
|---|---|---|
| **Outlook.com** (consumidor) | pessoas físicas | `@hotmail.com`, `@outlook.com`, `@live.com`, `@msn.com` e variações por país, como `@hotmail.com.br` |
| **Microsoft 365** (Exchange Online) | empresas com o domínio próprio na Microsoft | `@empresa.com.br`, com MX em `*.mail.protection.outlook.com` |

Saber para qual dos dois o e-mail foi muda o caminho do desbloqueio. Para descobrir se uma empresa usa Microsoft 365, consulte o MX do domínio dela:

```bash title="Terminal"
dig +short MX empresa.com.br
# 0 empresa-com-br.mail.protection.outlook.com.   <- Microsoft 365
```

No Windows, `nslookup -type=MX empresa.com.br` mostra o mesmo.

## A regra de 5 de maio de 2025

Em abril de 2025, a Microsoft [anunciou requisitos para quem envia em volume ao Outlook.com](https://techcommunity.microsoft.com/blog/microsoftdefenderforoffice365blog/strengthening-email-ecosystem-outlook%E2%80%99s-new-requirements-for-high%E2%80%90volume-senders/4399730), valendo a partir de 5 de maio de 2025 para domínios que mandam **mais de 5 mil e-mails por dia**:

| Requisito | O que a Microsoft pede |
|---|---|
| **SPF** | passar para o domínio que envia, com o registro listando os IPs e servidores autorizados |
| **DKIM** | passar, validando a integridade e a origem da mensagem |
| **DMARC** | publicado com pelo menos `p=none` e alinhado com o SPF ou com o DKIM (de preferência os dois) |

O texto da recusa é este:

```text title="Resposta do servidor"
550 5.7.515 Access denied, sending domain [SeuDominio] does not meet the required authentication level.
```

Um detalhe que confunde: a atualização de 29/04/2025 do anúncio diz que as mensagens fora da regra seriam **recusadas** com `550 5.7.515`, mas o mesmo texto e o [site do Postmaster do Outlook.com](https://substrate.office.com/ip-domain-management-snds/Postmaster) ainda falam em mandar primeiro para o **Lixo Eletrônico** (verificado em 20/10/2026). Na prática, conte com os dois resultados: recusa ou lixo eletrônico.

Mais dois pontos do anúncio que pouca gente lê:

- **A lista de remetentes confiáveis não salva ninguém.** Na seção de perguntas, a Microsoft responde que a lista "Safe Senders" não é respeitada para essa exigência.
- **Abaixo de 5 mil por dia também vale.** A exigência começa pelos grandes, mas a recomendação é a mesma para todos, e a autenticação protege a reputação de qualquer domínio.

O anúncio também lista boas práticas que contam para a reputação: endereço de remetente válido e que recebe resposta, link de descadastro fácil de achar, remoção regular de endereços inválidos e assuntos que não enganam.

## Checklist de autenticação para a Microsoft

Para cada serviço que envia com o seu domínio (sistema, loja, CRM, e-mail da empresa):

- [ ] **SPF passa** no domínio do envelope (o "return path"), e esse domínio é o seu ou um subdomínio dele.
- [ ] **DKIM passa** com `d=` igual ao seu domínio (ou subdomínio). Assinatura só com o domínio do serviço não alinha.
- [ ] **DMARC publicado** em `_dmarc.seudominio.com.br`, um registro só, com `rua=` para receber os relatórios.
- [ ] **SPF com até 10 consultas de DNS.** A própria Microsoft lembra, no anúncio, que passar de 10 faz o SPF falhar.
- [ ] **`From` real**, de um endereço que recebe resposta.

Se você ainda não tem os registros, o passo a passo está em [Como configurar SPF, DKIM e DMARC](https://couryo.com/guias/spf-dkim-dmarc.md).

Para conferir o que a Microsoft viu, mande um e-mail para uma conta `@outlook.com` ou `@hotmail.com`, abra a mensagem e mostre o código-fonte (no menu de três pontos da mensagem, opção de exibir o código-fonte; o nome muda com o idioma). Procure a linha `Authentication-Results`:

```text title="Cabeçalho da mensagem"
Authentication-Results: spf=pass (sender IP is 203.0.113.10) smtp.mailfrom=bounces.seudominio.com.br;
 dkim=pass (signature was verified) header.d=seudominio.com.br;
 dmarc=pass action=none header.from=seudominio.com.br; compauth=pass reason=100
```

`compauth` é a [autenticação composta da Microsoft](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-about#composite-authentication), que junta SPF, DKIM, DMARC e outros sinais. Se aparecer `dmarc=fail` ou `compauth=fail`, o problema é de autenticação e nenhuma outra correção resolve antes dela.

## Os códigos da Microsoft e o que fazer com cada um

Os códigos do Outlook.com estão na [página de solução de problemas do Postmaster](https://substrate.office.com/ip-domain-management-snds/Postmaster/Troubleshooting); os do Microsoft 365, na [lista de NDRs do Exchange Online](https://learn.microsoft.com/en-us/troubleshoot/exchange/email-delivery/ndr/non-delivery-reports-in-exchange-online).

| Código | Destino | O que quer dizer | O que fazer |
|---|---|---|---|
| `550 5.7.515` | Outlook.com | domínio com volume alto sem SPF, DKIM e DMARC alinhados | corrigir a autenticação e reenviar |
| `550 5.7.509` | Microsoft 365 | o `From` não passa no DMARC e o domínio publica `p=reject` | alinhar SPF ou DKIM do serviço que enviou |
| `550 5.7.23` | Microsoft 365 | violação de SPF | conferir o SPF do domínio do envelope |
| `421 RP-001`, `RP-002`, `RP-003` | Outlook.com | limite de ritmo ou de conexões por causa da reputação do IP ou do domínio | é temporário: reduzir o ritmo e deixar o servidor tentar de novo |
| `550 SC-001`, `OU-002` | Outlook.com | conteúdo com cara de spam ou reputação do IP ou do domínio | rever lista e conteúdo antes de pedir revisão |
| `550 SC-002` | Outlook.com | o IP fez "namespace mining" (testar endereços sem enviar) | parar ferramentas que validam endereços por SMTP |
| `550 SC-004` | Outlook.com | bloqueio por reclamações | entrar no JMRP e tirar quem reclama |
| `550 5.7.1 ... (S3150)` | Outlook.com | IP ou faixa de IPs na lista de bloqueio da Microsoft | corrigir a causa e usar o formulário de suporte |
| `550 5.7.606` a `5.7.649` | Microsoft 365 | IP banido | pedir a retirada no [portal de delist](https://sender.office.com) |
| `550 5.7.511` | Microsoft 365 | remetente banido, sem autoatendimento | escrever para `delist@microsoft.com` com o NDR completo |

Os códigos com `S` e número (como `S3140` e `S3150`) não estão na tabela oficial do Postmaster, mas aparecem com frequência nas recusas do Outlook.com e nos [pedidos de remoção feitos à Microsoft](https://learn.microsoft.com/en-sg/answers/questions/5777377/how-can-i-remove-from-s3150-block-list). Para outros códigos SMTP, veja [Códigos de devolução SMTP explicados](https://couryo.com/guias/codigos-de-erro-smtp.md).

## SNDS e JMRP: o que são e quando servem

São as duas ferramentas gratuitas da Microsoft para quem envia ao Outlook.com. Elas ficam no [portal novo do SNDS](https://substrate.office.com/ip-domain-management-snds/snds), que substitui o endereço antigo (`sendersupport.olc.protection.outlook.com/snds`), segundo o aviso do próprio portal atualizado em 22/09/2026.

**SNDS (Smart Network Data Services)** mostra dados **por IP**: volume, resultado do filtro e taxa de reclamação. Segundo o [FAQ do SNDS](https://substrate.office.com/ip-domain-management-snds/SNDS/FAQ):

- o resultado do filtro aparece em cores: **verde** com menos de 10% das mensagens marcadas como spam, **amarelo** entre 10% e 90% e **vermelho** acima de 90%;
- a taxa de reclamação é o número de reclamações dividido pelos destinatários, e a Microsoft cita menos de 0,3% como uma boa meta;
- IPs que mandaram menos de 100 mensagens no dia podem não ter dados;
- o acesso exige provar que você controla o IP (por DNS reverso, registro do IP ou ASN), e vence 10 meses depois da aprovação, quando é preciso confirmar de novo.

**JMRP (Junk Mail Reporting Program)** manda para você uma cópia de cada mensagem que um usuário do Outlook.com marcou como lixo eletrônico. Segundo a [página de serviços do Postmaster](https://substrate.office.com/ip-domain-management-snds/Postmaster/Services), os relatórios começam a chegar em até 72 horas depois da inscrição. Use para tirar da lista, na hora, quem reclamou.

**Quando você não consegue usar:** os dois funcionam por IP. Se você envia por um serviço com IPs compartilhados, os IPs não são seus e quem se inscreve é o serviço. Pergunte ao seu provedor se ele recebe o retorno de reclamações da Microsoft e se suprime esses endereços automaticamente.

## Formulário de suporte e pedido de desbloqueio

Pedir desbloqueio antes de corrigir a causa costuma terminar em novo bloqueio. A ordem certa:

1. **Corrija a causa:** autenticação, lista, ritmo ou conteúdo, conforme o código.
2. **Escolha o canal certo:**
   - **Outlook.com (consumidor):** o [formulário de suporte ao remetente](https://support.microsoft.com/supportrequestform/8ad563e3-288e-2a61-8122-3ba03d6b8d75), indicado pela própria Microsoft. Ele pede login com uma conta Microsoft. Informe o IP de envio, o código completo da recusa, a data e o que você corrigiu.
   - **Microsoft 365 com `5.7.606` a `5.7.649`:** o [portal de delist](https://sender.office.com). Segundo a [documentação](https://learn.microsoft.com/en-us/defender-office-365/external-senders-use-the-delist-portal-to-unblock-yourself), ele aceita um e-mail e um IP por vez, manda um link de confirmação e a retirada pode levar 24 horas ou mais.
   - **Microsoft 365 com `5.7.511`:** e-mail para `delist@microsoft.com` com o NDR completo e o IP. A Microsoft diz que responde em até 48 horas.
3. **Volte devagar.** Depois da liberação, retome com os destinatários mais engajados e aumente o volume aos poucos.

Se o IP é do seu serviço de envio, quem pede a retirada é ele. Mande o código completo para o suporte do serviço.

## Como medir a entrega por provedor

"Enviado" não quer dizer "chegou". Para saber como está a Microsoft, separe os números por destino:

- **Agrupe pelo MX, não só pelo domínio do endereço.** `@hotmail.com` e `@outlook.com` são fáceis de reconhecer; os clientes corporativos no Microsoft 365 só aparecem quando você olha o MX (o `mail.protection.outlook.com` do exemplo acima).
- **Conte três números por provedor:** aceitos (resposta `250`), adiados (`4xx`) e recusados (`5xx`). Adiamento alto na Microsoft e baixo no Gmail aponta para ritmo ou reputação; recusa com `5.7.515` aponta para autenticação.
- **Caixa de entrada ou lixo eletrônico, nenhum provedor informa.** O servidor só diz que aceitou. Para saber onde caiu, mande para caixas de teste suas no Outlook.com e no Hotmail e confira a pasta, sempre com o mesmo conteúdo do envio real.
- **Leia os relatórios DMARC.** A Microsoft confirma, no anúncio, que manda os relatórios agregados (`rua`) para o endereço do seu DMARC. Eles mostram quais servidores enviaram com o seu domínio e se passaram.

## Autenticação certa e ainda no Lixo Eletrônico?

Quando o cabeçalho mostra `spf=pass`, `dkim=pass` e `dmarc=pass` e o e-mail ainda cai no Lixo Eletrônico, o peso está na reputação e no conteúdo:

- **Reclamações.** A [página de solução de problemas](https://substrate.office.com/ip-domain-management-snds/Postmaster/Troubleshooting) diz que a taxa de reclamação está entre os principais fatores que derrubam a reputação.
- **IP ou domínio novo.** A mesma página explica que IP sem histórico tem mais problemas no começo e costuma ganhar ritmo em algumas semanas, se a lista for boa e as reclamações ficarem baixas.
- **Validação de endereços por SMTP.** Ferramentas que "testam" se o endereço existe conectando no servidor da Microsoft sem enviar podem render o bloqueio `SC-002`.
- **Conteúdo.** Encurtadores de link, links para IPs, só imagem e assunto enganoso pesam contra. O guia [E-mail caindo no spam](https://couryo.com/guias/email-caindo-no-spam.md) detalha cada um.
- **Transacional misturado com marketing.** Uma campanha com muita reclamação derruba também o e-mail de senha. Separe os fluxos.

## Onde o Couryo entra

No Couryo, o domínio sai verificado com DKIM do seu domínio (seletores `couryo1` e `couryo2`), return path num subdomínio seu e DMARC, o trio que a Microsoft exige, e com a Cloudflare conectada os registros são criados sozinhos. Cada e-mail tem uma linha do tempo com a resposta original do servidor da Microsoft e a explicação em português do que fazer. A entrega aparece separada por provedor de destino, e bloqueios por política (`5.7.x`) não suprimem o destinatário nem entram na sua taxa de devolução. O agente de entregabilidade acompanha devoluções e reclamações por provedor e avisa quando a Microsoft destoa; nos planos pagos, o teste de caixa de entrada mostra se a mensagem caiu na caixa de entrada ou no Lixo Eletrônico do Outlook e do Hotmail. Veja [Agente de entregabilidade](https://couryo.com/docs/deliverability.md) e [Eventos e linha do tempo](https://couryo.com/docs/events.md).

## Perguntas frequentes

### Por que o e-mail chega no Gmail e não no Hotmail?

Cada provedor tem filtro e regras próprios. O caso mais comum é DMARC ausente ou DKIM assinado com o domínio do serviço, e não com o seu: o Gmail ainda pode aceitar, enquanto a Microsoft recusa com `550 5.7.515` (acima de 5 mil por dia) ou manda para o Lixo Eletrônico. O segundo caso mais comum é reputação de IP, que aparece como `S3150` ou `RP-00x`.

### Envio menos de 5 mil por dia. A regra da Microsoft vale para mim?

A exigência formal começa em 5 mil por dia, mas a própria Microsoft recomenda SPF, DKIM e DMARC para todos os remetentes. Abaixo do limite, a falta de autenticação não gera o `5.7.515`, mas pesa no filtro e aumenta a chance de cair no Lixo Eletrônico.

### Pedir para o cliente adicionar o remetente aos contatos resolve?

Ajuda aquele cliente, mas não resolve o problema. A Microsoft diz que a lista de remetentes confiáveis não é respeitada para a exigência de autenticação, e o próximo cliente vai ter o mesmo problema. Corrija a autenticação e a lista.

### Quanto tempo leva para sair de um bloqueio da Microsoft?

Depende do canal. No portal de delist do Microsoft 365, a documentação fala em até 24 horas ou mais depois da confirmação; para `5.7.511`, resposta em até 48 horas. No Outlook.com, o formulário de suporte não tem prazo publicado. Em qualquer caso, sem corrigir a causa, o bloqueio volta.

### Preciso me inscrever no SNDS e no JMRP?

Se os IPs de envio são seus, sim: são gratuitos e mostram reputação e reclamações do Outlook.com. Se você envia por um serviço com IPs compartilhados, quem se inscreve é o serviço; confirme com ele que as reclamações da Microsoft chegam e suprimem o destinatário.