Pools de entrega de saída

Dica

Sabia que pode experimentar as funcionalidades no Microsoft Defender para Office 365 Plano 2 gratuitamente? Utilize a versão de avaliação do Defender para Office 365 de 90 dias no hub de avaliações do portal do Microsoft Defender. Saiba mais sobre quem pode inscrever-se e os termos de avaliação em Experimentar Microsoft Defender para Office 365.

Os servidores de email nos datacenters da Microsoft 365 podem ser temporariamente considerados responsáveis por enviar spam. Por exemplo, um ataque de software maligno ou spam malicioso numa organização de e-mail no local que envia correio de saída através do Microsoft 365 ou comprometeu as contas do Microsoft 365. Os atacantes também tentam evitar a deteção ao reencaminhar mensagens através do reencaminhamento do Microsoft 365.

Estes cenários podem resultar na apresentação do endereço IP dos servidores de datacenter do Microsoft 365 afetados em listas de bloqueio que não sejam da Microsoft. As organizações de e-mail de destino que utilizam estas listas de bloqueio rejeitarão o e-mail dessas origens de mensagens do Microsoft 365.

Grupo de entrega de alto risco

Para impedir que os nossos endereços IP sejam bloqueados, todas as mensagens de saída dos servidores de datacenter do Microsoft 365 que são determinados como spam são enviadas através do conjunto de entrega de alto risco.

O pool de entrega de alto risco é um pool separado de endereços IP para e-mails de saída que é usado apenas para enviar mensagens de "baixa qualidade" (por exemplo, spam e backscatter). O uso do pool de entrega de alto risco ajuda a impedir que o pool normal de endereços IP usado para e-mails de saída envie spam. O conjunto de endereços IP normal para e-mail de saída mantém a reputação de enviar mensagens de "alta qualidade", o que reduz a probabilidade de estes endereços IP aparecerem em listas de bloqueio de IP.

A possibilidade de os endereços IP no conjunto de entrega de alto risco serem colocados em listas de bloqueios de IP permanece, mas este comportamento é predefinido. A entrega aos destinatários pretendidos não é garantida porque muitas organizações de e-mail não aceitam mensagens do conjunto de entrega de alto risco.

Para obter mais informações, veja Controlar o spam de saída e Resolver problemas de limites de envio de saída no Exchange Online.

Observação

As mensagens cujo domínio de e-mail de origem não tem registro A nem registro MX definido no DNS público são sempre encaminhadas pelo pool de entrega de alto risco, independentemente da classificação de spam ou do status do limite de envio.

As mensagens que excedem os seguintes limites são bloqueadas, pelo que não são enviadas através do conjunto de entrega de alto risco:

• Os limites de envio do serviço.
• Políticas de spam de saída em que os remetentes estão impedidos de enviar correio.

Mensagens de rejeição

O pool de entrega de alto risco de saída gerencia a entrega de todos os relatórios de não entrega (também conhecidos como NDRs ou mensagens de erro). As causas possíveis para um aumento de NDRs incluem:

• Uma campanha de spoofing que afeta um dos clientes que usam o serviço.
• Um ataque de coleta de diretório.
• Um ataque de spam.
• Um servidor de e-mail não autorizado.

Qualquer um destes problemas pode resultar num aumento repentino do número de NDRs a serem processados pelo serviço. Muitas vezes, estes NDRs parecem ser spam para outros servidores e serviços de e-mail (também conhecidos como backscatter).

Pool de retransmissão

Em determinados cenários, as mensagens encaminhadas ou retransmitidas pelo Microsoft 365 são enviadas usando um pool de retransmissão especial, porque o destino não deve identificar o Microsoft 365 como o remetente real. É importante para nós isolar esse tráfego de e-mail, porque há cenários legítimos e ilegítimos para encaminhamento automático ou retransmissão de e-mails para fora do Microsoft 365. Semelhante ao conjunto de entrega de alto risco, é utilizado um conjunto de endereços IP separado para correio reencaminhado. Este conjunto de endereços não é publicado porque pode ser alterado frequentemente e não faz parte do registo SPF publicado para o Microsoft 365.

O Microsoft 365 tem de verificar se o remetente original é legítimo para podermos entregar a mensagem reencaminhada com confiança.

Para evitar o uso do pool de retransmissão, uma mensagem encaminhada ou retransmitida deve atender a pelo menos um dos seguintes critérios quando chegar ao Microsoft 365:

• O remetente de saída está em um domínio aceito da organização.
• O SPF passa para o domínio de envio quando a mensagem chega ao Microsoft 365.

Nos casos em que podemos autenticar o remetente, utilizamos o Esquema de Reescrita do Remetente (SRS) para ajudar o sistema de e-mail do destinatário a saber que a mensagem reencaminhada provém de uma origem fidedigna. Você pode ler mais sobre como isso funciona e o que você pode fazer para garantir que o domínio remetente passe pela autenticação em Esquema de reescrita do remetente (SRS) no Office 365.

Para melhorar a autenticação de email encaminhado, verifique se o DKIM está habilitado para o domínio de envio. Por exemplo, se fabrikam.com faz parte do contoso.com e é definido nos domínios aceitos da organização e o remetente é sender@fabrikam.comhabilitar o DKIM para fabrikam.com. Essa melhoria ajuda a autenticação, mas por si só não impede o roteamento pelo pool de retransmissão, conforme descrito nos critérios acima. Para habilitar o DKIM, consulte Configurar o DKIM para assinar emails do seu domínio de nuvem.

Para adicionar um domínio personalizado, siga os passos em Adicionar um domínio ao Microsoft 365.

Se o registo MX do seu domínio apontar para um serviço não Microsoft ou para um servidor de e-mail no local, deve utilizar a Filtragem Avançada para Conectores. A Filtragem Avançada garante que a validação do SPF está correta para o correio de entrada e evita o envio de e-mails através do conjunto de reencaminhamento.

Descubra qual pool de saída foi usado

Como Administrador de Serviço do Exchange ou Administrador Global^*, talvez queira descobrir qual pool de saída foi usado para enviar uma mensagem do Microsoft 365 para um destinatário externo.

Importante

^* A Microsoft defende fortemente o princípio do menor privilégio. Atribuir apenas as permissões mínimas necessárias para realizar as respetivas tarefas ajuda a reduzir os riscos de segurança e reforça a proteção geral da sua organização. O Administrador Global é uma função altamente privilegiada que deve limitar a cenários de emergência ou quando não pode utilizar uma função diferente.

Para isso, você pode usar o Rastreamento de Mensagens e procurar a propriedade OutboundIpPoolName na saída. Esta propriedade contém um valor de nome amigável para o pool de saída que foi usado.