550 5.7.509 'does not pass DMARC': o bounce da Microsoft

550 5.7.509 Access denied, sending domain example.com does not pass DMARC verification and has a DMARC policy of reject significa que o Microsoft 365 checou o domínio do seu endereço From, viu que a mensagem falhou no DMARC, viu que o domínio publica p=reject e recusou a mensagem. O problema não é o endereço do destinatário. É a sua autenticação. No cold email, a causa comum é uma ferramenta de envio que não assina DKIM com o seu domínio e usa o próprio domínio de bounce, então nem o SPF nem o DKIM ficam alinhados com o seu endereço From. Corrija o alinhamento nessa ferramenta e o bounce para.

Como ler o bounce

A referência de NDR do Exchange Online da Microsoft (atualizada em 24 de agosto de 2026) descreve assim:

Código	Texto	Causa
5.7.509	Access denied, sending domain [$SenderDomain] does not pass DMARC verification and has a DMARC policy of reject.	The sender's domain in the 5322.From address doesn't pass DMARC. (o domínio do remetente no endereço 5322.From não passa no DMARC)

5322.From é o cabeçalho From que o seu destinatário vê. É esse domínio que o DMARC protege. Se o seu domínio publica p=reject, você disse aos receptores para recusar e-mails que falham no DMARC, e a Microsoft está fazendo exatamente isso.

O guia de DMARC da Microsoft (atualizado em 3 de julho de 2026) também mostra o resultado como uma recusa genérica 550 5.7.1 no resumo de como trata o p=reject, então você pode ver qualquer um dos dois códigos. O cabeçalho Authentication-Results vai mostrar dmarc=fail action=oreject nos dois casos.

Como o DMARC passa e falha

Do mesmo guia da Microsoft (tradução livre): "uma mensagem passa no DMARC se uma ou ambas as checagens de SPF ou DKIM descritas passarem. Uma mensagem falha no DMARC se as duas checagens de SPF e DKIM falharem." As checagens são:

• Alinhamento do SPF: o SPF passa para o domínio do MAIL FROM (envelope, return-path), e esse domínio é igual ao domínio do From.
• Alinhamento do DKIM: uma assinatura DKIM é validada, e o domínio de assinatura dela (d=) é igual ao domínio do From.

"Igual" depende do modo de alinhamento no seu registro DMARC. Relaxed (relaxado, r, o padrão) aceita subdomínios do mesmo domínio organizacional. Strict (estrito, s) exige exatamente o mesmo nome.

Endereço From	MAIL FROM ou DKIM d=	Relaxado	Estrito
you@example.com	example.com	Passa	Passa
you@example.com	bounces.example.com	Passa	Falha
you@example.com	sendingtool.net	Falha	Falha

Essa terceira linha é o problema do cold email resumido.

Por que configurações de cold email caem nisso

Causa	Como aparece	Correção
A ferramenta de envio assina DKIM com o próprio domínio	dkim=pass header.d=sendingtool.net, dmarc=fail	Configure DKIM personalizado na ferramenta com o seu domínio
Domínio de bounce da ferramenta no MAIL FROM	spf=pass smtp.mailfrom=bounce.sendingtool.net	Configure um return-path personalizado no seu domínio ou num subdomínio, se a ferramenta permitir
Novo domínio de envio secundário sem DKIM	Funciona no domínio principal e falha no novo	Publique DKIM para cada domínio de envio
Alinhamento estrito com um subdomínio	aspf=s ou adkim=s, MAIL FROM num subdomínio	Use alinhamento relaxado, ou faça bater exatamente com o From
Encaminhamento ou gateway que altera a mensagem	O DKIM quebra depois de um intermediário	Normalmente fica do lado do receptor; ali o ARC ajuda
Alguém falsificando o seu domínio	Falhas vindas de IPs que você não usa	Nada a corrigir. O DMARC está funcionando

Uma configuração que passa no Gmail ainda pode falhar na Microsoft se a mensagem fez outro caminho, então teste cada ferramenta e cada domínio.

Passo 1: leia os cabeçalhos

Envie um teste da ferramenta que falha para uma caixa do Microsoft 365 que você consiga ler (sua ou de um colega) e abra os cabeçalhos da mensagem. Se der bounce, o NDR muitas vezes inclui os cabeçalhos originais. Ache Authentication-Results. O guia da Microsoft dá este exemplo de SPF e DKIM passando enquanto o DMARC falha:

Authentication-Results: spf=pass (sender IP is 198.51.100.10)
  smtp.mailfrom=bounces.adatum.com; dkim=pass (signature was verified)
  header.d=adatum.com; dmarc=fail action=oreject
  header.from=contoso.com;compauth=fail reason=000

Compare três valores:

• smtp.mailfrom= (o domínio do SPF)
• header.d= (o domínio de assinatura do DKIM)
• header.from= (o seu domínio do From)

Se nenhum dos dois primeiros for igual ao terceiro, o seu problema é alinhamento. O nosso post de cabeçalhos de e-mail explicados percorre o resto do cabeçalho, e o verificador de alinhamento DMARC faz a comparação para você a partir de um cabeçalho colado.

Passo 2: corrija o alinhamento na ferramenta de envio

O guia da Microsoft sugere duas perguntas, nesta ordem:

1. A ferramenta consegue usar o seu domínio no MAIL FROM (um return-path ou domínio de bounce personalizado)? Se sim, configure e o SPF fica alinhado.
2. A ferramenta consegue assinar DKIM com o seu domínio (d=yourdomain.com)? Se sim, publique o registro DKIM que ela fornece e o DKIM fica alinhado.

Você só precisa de uma checagem alinhada que passe. Vale mais a pena corrigir o DKIM, porque ele sobrevive ao encaminhamento e não depende do return-path.

Se você envia por caixas do Google Workspace ou do Microsoft 365 conectadas a um sequenciador, o que conta é o DKIM do provedor da caixa. Garanta que ele esteja ativado com o seu domínio:

• Configuração do DKIM no Google Workspace
• Configuração do DKIM no Microsoft 365

Descubra quais seletores um domínio já publica com o localizador de seletores DKIM.

Passo 3: confira todas as fontes, não só uma

Muitos domínios enviam de mais de um lugar: caixas de e-mail, um sequenciador, um CRM, uma ferramenta de cobrança. Qualquer um deles pode falhar no DMARC.

1. Garanta que o seu registro DMARC tenha um endereço rua= para os receptores enviarem relatórios agregados.
2. Leia os relatórios com o analisador de relatórios DMARC. O guia da Microsoft aponta o padrão a procurar: SPF ou DKIM passando, mas sem alinhamento, para um IP de envio conhecido.
3. Corrija cada fonte legítima. Falhas de IPs que você não reconhece provavelmente são falsificação, e o seu p=reject está bloqueando como deveria.

Confira o domínio inteiro de uma vez com o verificador de saúde do domínio de e-mail. O nosso post sobre SPF, DKIM e DMARC explicados cobre os três registros desde o começo.

E se eu baixar a política?

Trocar p=reject por p=none para esse bounce porque os receptores deixam de agir sobre falhas de DMARC. Isso também faz com que parem de bloquear quem falsifica o seu domínio. O Gmail e o Yahoo exigem que remetentes em massa tenham uma política DMARC e passem no DMARC, então um domínio que falha no alinhamento também tem problema lá, seja qual for a política.

Se precisar usar isso como paliativo enquanto o DKIM de uma ferramenta é configurado, faça por dias, não meses, e volte a subir em etapas. Os nossos guias de DMARC de none para reject e de exemplos de registro DMARC cobrem uma implantação segura.

5.7.509 x outros bounces de autenticação da Microsoft

Código	Onde	Significado
550 5.7.509	Microsoft 365	O DMARC falhou e o domínio do From tem p=reject
550 5.7.515	Outlook.com para consumidores	Remetente de alto volume sem cumprir os requisitos de SPF, DKIM ou DMARC. Veja 550 5.7.515
550 5.7.606-649	Microsoft 365	O seu IP está bloqueado. Veja 550 5.7.606

Os requisitos próprios do Outlook.com para remetentes estão em requisitos do Microsoft Outlook para remetentes em massa. A página curta deste código de bounce é 550 5.7.509.

Onde o SimpleVerifier entra

Esse bounce diz respeito ao seu domínio, não à sua lista, então verificar endereços não muda nada. As ferramentas grátis do SimpleVerifier ajudam do lado do domínio: o verificador de alinhamento DMARC, o analisador de relatórios DMARC e o verificador de saúde do domínio de e-mail não exigem conta. O monitoramento de domínios em todos os planos (um domínio de envio no Starter, dez no Pro) checa SPF, DKIM, DMARC, MX e blocklists todos os dias, então um registro quebrado é pego antes de uma campanha.

Depois que a autenticação passar, a lista volta a importar. As primeiras 100 checagens são grátis com login do Google na página de verificação. Veja os preços.