Hotmail weigert mail: "Message lacks SPF/DKIM/DMARC" oplossen

Je stuurt een mail naar iemand met een adres op hotmail.com of outlook.com, en een paar seconden later staat er een bericht "Mail delivery failed" in je inbox. Daarin staat de regel Message lacks SPF/DKIM/DMARC Auth Records. Hotmail weigert je mail, en de ontvanger kan daar niets aan doen.

De oplossing is één DNSKeurigOnline zegtDNSHet Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn.-record. Voeg een TXT-recordKeurigOnline zegtTXT-recordEen TXT-record is een DNS-record waarin je tekst bij een domeinnaam opslaat, vaak voor domeinverificatie en e-mailbeveiliging. toe op _dmarc.jouwdomein.nl met de waarde v=DMARC1; p=none; en verstuur de mail opnieuw. Verderop lees je wat de foutmelding precies betekent, waarom het soms wel en soms niet misgaat, en welke fouten je bij het toevoegen voorkomt.

De foutmelding: "550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)"

De bounce komt binnen als "Mail delivery failed" of "Undeliverable". In de technische details staat de weigerende server en de exacte reden^[1]:

relay=outlook-com.olc.protection.outlook.com
550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)

De server van Microsoft weigert je mail al tijdens de aflevering. Je domein bewijst volgens Microsoft niet genoeg dat jij de echte afzender bent. De code 550 betekent een definitieve weigering: de mail is niet afgeleverd en wordt ook niet later nog eens geprobeerd.

De drie records in de foutmelding, elk in één zin:

• SPF zegt welke servers namens je domein mogen mailen.
• DKIMKeurigOnline zegtDKIMDKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan. zet een digitale handtekening op elke mail, die de ontvanger controleert met een sleutel in je DNS.
• DMARCKeurigOnline zegtDMARCDMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM. vertelt ontvangers wat ze moeten doen als SPF of DKIM niet klopt, en koppelt die controles aan het adres dat de ontvanger ziet.

Wil je de drie records in detail begrijpen, lees dan ons artikel over e-mail DNS-records zoals SPF, DKIM en DMARC.

Hotmail weigert mail, zakelijke Microsoft 365-adressen niet

Het gaat om de consumentenmail van Microsoft: adressen op hotmail.com, outlook.com, live.nl, live.com en msn.com. Die lopen via servers met de naam *.olc.protection.outlook.com. Zakelijke domeinen op Microsoft 365 lopen via *.mail.protection.outlook.com en accepteren dezelfde mail gewoon^[3]. Spamresource verwijderde DMARC bij een testdomein: de mail naar Outlook.com werd geweigerd, dezelfde mail naar een Microsoft 365-bedrijfsdomein kwam aan^[1].

Komt je mail naar collega's op hun bedrijfsadres wel aan en naar een klant met een Hotmail-adres niet? Dan zit je precies in dit probleem.

Hotmail weigert mail sinds 5 november 2026: wat is er veranderd?

De eis voor DMARC was er al, maar alleen voor grote verzenders. Microsoft weigert sinds 5 november ook mail van kleine afzenders zonder DMARC-record. Voor de gewone ondernemer die een paar mails per dag verstuurt is dat nieuw.

Microsoft heeft dit niet aangekondigd. MailRoute zag de eerste weigeringen op 5 november en meldt dat er geen postmasterbericht, blog of melding in de servicestatus is verschenen^[6]. URIports komt tot dezelfde conclusie^[7]. Het is gedrag dat mailbeheerders meten, geen gepubliceerd beleid. De eisen kunnen dus ook weer verschuiven.

Nieuw is DMARC zelf niet. In Nederland staat het sinds 18 mei 2015 op de lijst van verplichte open standaarden voor de overheid, ook voor domeinen die geen mail versturen^[8].

"Gisteren werkte het nog": waarom het niet altijd misgaat

De weigering komt met tussenpozen. Hetzelfde domein komt het ene uur door bij Hotmail en het volgende uur niet. LazyAdmin beschrijft het zo: een mail komt terug, de gebruiker verstuurt hem een kwartier later opnieuw en dan wordt hij wel afgeleverd^[2]. Een ontvanger op Microsoft Q&A schreef dat ongeveer 50% van zijn klanten die hem sinds de dag ervoor mailden de foutmelding kreeg^[9].

Daardoor lijkt het een storing die vanzelf overgaat. Dat is het niet. Zolang je domein geen DMARC-record heeft, blijf je af en toe geweigerd worden, en elke geweigerde mail is weg.

Hotmail weigert mail: waarom de ontvanger het niet kan oplossen

^[10]

Alleen de DNS van het afzenderdomein lost het op. Ben jij de ontvanger en mis je mail van iemand? Stuur dit artikel door naar de afzender, of naar diens websitebouwer of IT-partij.

Komt je mail wel aan, maar belandt hij in de spammap? Dan is dat een ander probleem. Lees daarvoor waarom je mail in de spam komt.

Wat externe tests laten zien

Dmarkoff stuurde op 7 en 8 november testmails naar 16 Outlook- en Hotmail-postvakken: zonder DMARC werden ze alle 16 geweigerd. Met een record op het domein of op het bovenliggende domein, ook met p=none, stopte de weigering^[11].

Veel Nederlandse bedrijven lopen hier tegenaan. FlintLead scande in september 2026 860.344 actieve Nederlandse zakelijke domeinen: 62,2% heeft DMARC, dus ongeveer 38% heeft geen record^[12].

Een DMARC-record lost het niet in elk geval op. Een paar beheerders melden weigeringen ondanks een geldig record^[3]. Heb je al een record en word je toch geweigerd, controleer dan de punten bij de veelgemaakte fouten hieronder.

De oplossing: één DMARC-record toevoegen

Je voegt één TXT-recordKeurigOnline zegtTXT-recordEen TXT-record is een DNS-record waarin je tekst bij een domeinnaam opslaat, vaak voor domeinverificatie en e-mailbeveiliging. toe in de DNS van je domein. Microsoft geeft op de eigen supportpagina hetzelfde record als voorbeeld^[5].

; Naam (host)   Type   Waarde
_dmarc          TXT    "v=DMARC1; p=none;"

p=none betekent: alleen meten, niets blokkeren. Ontvangers behandelen je mail precies zoals ze dat zonder record deden, alleen weet Microsoft nu dat je domein een DMARC-beleid heeft. Dat is genoeg voor Microsoft en het breekt niets aan je eigen mail. Een uitgebreide uitleg per record vind je in hoe je SPF, DKIM en DMARC instelt.

Controleren of het record werkt

Gebruik de mailtest van internet.nl: vul je domeinnaamKeurigOnline zegtDomeinnaamEen domeinnaam is een uniek webadres gekoppeld aan je website en e-mail, zoals voorbeeld.nl, bedrijf.com of startup.ai. in en kijk bij DMARC. Of controleer het via de opdrachtregel:

# Toont het DMARC-record van je domein
nslookup -type=TXT _dmarc.jouwdomein.nl

Zie je v=DMARC1; p=none; terug, dan staat het record goed. Een nieuw record kan even nodig hebben voordat het overal zichtbaar is.

Vervolgstap: strenger beleid met rapportages

Later kun je naar p=quarantine of p=reject gaan, eventueel met rua=-rapportages om te zien wie namens je domein mailt. Dat beschermt je domein tegen misbruik, maar het is een aparte stap en niet nodig om de weigering bij Hotmail op te lossen. Hoe je dat aanpakt, lees je in je domein beschermen tegen phishing.

Veelgemaakte fouten met het DMARC-record

1. Het record op het domein zelf zetten. Een DMARC-record op @ of op jouwdomein.nl doet niets. Het moet op _dmarc.jouwdomein.nl staan.
2. Twee DMARCKeurigOnline zegtDMARCDMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM.-records naast elkaar. Er mag er maar één zijn. Vindt een ontvanger twee records, dan past hij volgens de DMARC-specificatie geen DMARC toe op je mail^[13]. Pas een bestaand record aan in plaats van er een bij te zetten.
3. De domeinnaam dubbel invullen. Veel DNS-panelen vullen de domeinnaam zelf aan. Typ je daar _dmarc.jouwdomein.nl, dan ontstaat _dmarc.jouwdomein.nl.jouwdomein.nl^[6]. Vul alleen _dmarc in.

Heb je één goed DMARC-record en krijg je de fout toch? Controleer dan of SPF of DKIM aligned is: het domein dat SPF of DKIM goedkeurt, moet hetzelfde zijn als het domein in het afzenderadres. Mail je via een externe dienst, zoals een nieuwsbriefprogramma of webshop, dan moet die dienst ook goed in je SPF of DKIM staan. Loop daarvoor onze checklist voor e-mailauthenticatie na.

Wat je zelf moet doen

Het DMARC-record hoort bij de partij waar de DNS van je domein staat. Daar voeg je het toe, of laat je het toevoegen.

Twijfel je of je record goed staat, of komt je mail na het toevoegen nog steeds terug? Mail ons de domeinnaam en de volledige foutmelding, dan kijken we met je mee.

Veelgestelde vragen