E-mails in Outlook-spam: waarom en hoe los je het op?

"Outlook" bestaat uit drie verschillende filters. De oplossing hangt af van welk filter je e-mail naar Junk heeft verplaatst. Er is Outlook.com, de consumentenmaildienst van Microsoft, die ook adressen van hotmail.com, live.com en msn.com verwerkt. Er is Microsoft 365, met de zakelijke mailboxen waarvoor bedrijven betalen en waarbij een beheerder van het bedrijf van de ontvanger het spambeleid instelt. En er is de Outlook-app op iemands computer, die boven op de beslissing van de server een eigen Junk-filter kan uitvoeren. De regels voor afzenders die Microsoft in 2025 aankondigde, gelden alleen voor de eerste variant.

Dus voordat ik ook maar één DNS-record wijzig, kijk ik naar het adres van de ontvanger. Een adres van hotmail.com of outlook.com betekent dat de onderstaande consumentenregels gelden. Bij een adres van een bedrijf dat zijn e-mail via Microsoft laat lopen, geldt het tenantbeleid dat door het IT-team van dat bedrijf is opgesteld.

01Outlook.com en de regels van mei 2025

In april 2025 kondigde Microsoft vereisten aan voor domeinen die meer dan 5.000 e-mails per dag naar zijn consumentendienst sturen. Op de pagina met Postmaster-beleid staat 5 mei 2025 als de datum waarop ze van kracht werden. Boven dat volume gelden de volgende eisen:

• SPF moet slagen voor het verzendende domein.
• DKIM moet slagen.
• DMARC moet worden gepubliceerd met "at least p=none" en moet overeenkomen met SPF of DKIM, "preferably both". Op de beleidspagina staat daarnaast dat p=reject wordt aanbevolen.

Het supportartikel over de bounce formuleert dit iets anders. Het gaat om 5.000 of meer berichten naar consumentendiensten van Microsoft die allemaal hetzelfde domein in het From-adres gebruiken. Volgens het artikel moeten zowel de SPF- als de DKIM-controle slagen. Zodra een domein die grens bereikt, verwacht Microsoft dat "all messages from senders in the domain" aan de regels voldoen, niet alleen de nieuwsbrief waardoor het domein de grens overschreed. Het DMARC-voorbeeld is ongeveer zo klein als een record kan zijn:

Hostname:   _dmarc
TXT value:  v=DMARC1; p=none

Ik zou er een rapportageadres aan toevoegen, rua=mailto:dmarc@example.com of een ander adres waarop je daadwerkelijk e-mail leest. Outlook.com verstuurt geaggregeerde rapporten. Volgens de FAQ van Microsoft verstuurt het RUA en zijn er geen plannen om RUF te versturen. De DMARC-checker laat zien of het opgegeven adres deze rapporten kan ontvangen.

Google trok in februari 2024 voor Gmail dezelfde grens van 5.000 berichten per dag en begon in november 2025 de handhaving op te voeren, inclusief weigeringen. Yahoo handhaaft een vergelijkbare lijst met eisen zonder een drempel te noemen.

De manier waarop de regel wordt gehandhaafd, veranderde terwijl de aankondiging nog recent was. In het oorspronkelijke bericht stond dat e-mail die niet aan de regels voldoet eerst in Junk terecht zou komen en later mogelijk zou worden geweigerd. In een update van 29 april staat dat Microsoft besloot zulke e-mail direct te weigeren. Toch bevat hetzelfde bericht verderop nog steeds de oudere alinea waarin Junk als eerste stap wordt genoemd. De voorzichtige interpretatie is nu dat e-mail die niet aan de regels voldoet sinds 5 mei 2025 in Junk terechtkomt en dat Outlook.com deze inmiddels ook weigert met de volgende melding:

Ik heb geen gepubliceerde datum gevonden voor de overstap naar weigering. Het supportartikel beschrijft dit simpelweg in de tegenwoordige tijd.

02Wat de bouncecode je vertelt

Een bounce van Outlook.com is nuttiger dan een bericht dat stilletjes in de map Ongewenste e-mail belandt, omdat de bounce een reden vermeldt. De pagina voor probleemoplossing van Microsoft bevat een tabel met de codes. Dit zijn de codes waarmee gewone afzenders te maken krijgen:

Een gewone 550 5.7.1 zonder de eigen codes van Microsoft is een ander soort weigering. Er is een aparte pagina over hoe je die code leest.

03Externe verzenders en de SPF-vereiste

Veel domeinen verzenden via meerdere diensten tegelijk: een nieuwsbriefplatform, een CRM, een helpdesk en een facturatiesysteem. Elke dienst verzendt met jouw domein in de From-regel en moet door jouw records worden gedekt. Op de vraag of de regels nog steeds gelden wanneer een provider namens jou verzendt, antwoordt Microsoft in de FAQ: "Ja. Zelfs als je het verzenden uitbesteedt, is authenticatie gekoppeld aan jouw domein." Het supportartikel legt uit wat je moet controleren: dat DKIM ondertekent met jouw domein en dat jouw SPF-record "het IP-adres of de include-waarden bevat die de dienst vereist".

Hier wordt de eis dat zowel SPF als DKIM nodig zijn verwarrend. Veel platforms gebruiken voor het bounce-adres hun eigen domein, en SPF controleert in werkelijkheid die Return-Path. SPF slaagt dan voor het platform, waarmee aan het onderdeel "moet slagen" is voldaan. De DMARC-uitlijning moet dan komen van een DKIM-handtekening met jouw domein. Als het platform in plaats daarvan met zijn eigen domein ondertekent, slagen beide controles maar is er geen uitlijning. De daaropvolgende DMARC fail is precies waar 5.7.515 over gaat. Het supportartikel vraagt je ook te controleren of het Return-Path-domein is uitgelijnd met het From-domein.twee geslaagde controles, geen uitlijning: het hele verhaal achter 5.7.515

Elke dienst die je aan SPF toevoegt, kost ook DNS-lookups. Microsoft verwoordt het in de FAQ als volgt: "Als je meer dan 10 DNS-lookups gebruikt, kan jouw SPF-controle mislukken." De SPF-checker telt ze voor je. Als je er te veel hebt, lees je hier hoe je weer onder de tien komt. De DKIM-checker voert voor de selector van elk platform de bijbehorende controle uit.

04Microsoft 365 wordt gefilterd volgens het beleid van iemand anders

Een Microsoft 365-organisatie heeft antispambeleid dat de beheerders configureren. Standaard gaan spam, spam met hoge waarschijnlijkheid en bulkmail naar de map Ongewenste e-mail, terwijl phishing in quarantaine wordt geplaatst en phishing met hoge waarschijnlijkheid altijd in quarantaine terechtkomt. Vanuit het perspectief van de afzender is quarantaine de schadelijkste uitkomst, omdat de ontvanger het bericht in geen enkele map vindt, tenzij die er specifiek naar zoekt. Het standaardbeleid bewaart het bericht daar 15 dagen, de vooraf ingestelde beleidsregels Standard en Strict 30 dagen.

Bulkmail heeft een eigen maatstaf, het Bulk Complaint Level. Een BCL van 1 tot en met 3 duidt op een bulkafzender met weinig klachten, 8 of 9 op een afzender met veel klachten. Het standaardbeleid stuurt bulkmail vanaf BCL 7 naar Ongewenste e-mail, de vooraf ingestelde beleidsregel Standard vanaf 6 en Strict vanaf 5. Sinds juli 2026 is er bovendien een nieuwere laag: bulkmail met een promotioneel karakter krijgt ongeacht de BCL een Promotions-label. Als een beheerder "Bulk moves enabled" heeft ingeschakeld, komt deze mail in een Promotions-map terecht. Dat is geen spam, maar ook niet de Inbox. De functie wordt nog steeds uitgerold.

De twee Microsoft-systemen staan niet los van elkaar. Volgens Microsoft leert de spamfiltering van Microsoft 365 "van bekende spam- en phishingbedreigingen en feedback van gebruikers van ons consumentenplatform Outlook.com". Wat lezers van hotmail.com rapporteren, wordt dus meegenomen in het filter dat zakelijke inboxen gebruiken.

Beheerders kunnen een afzender ook op een lijst met toegestane afzenders zetten. Daarmee wordt de meeste beveiliging omzeild, behalve bescherming tegen malware en phishing met hoge waarschijnlijkheid. Als een partnerbedrijf jouw facturen steeds in Ongewenste e-mail ontvangt, kan het IT-team van dat bedrijf het daadwerkelijke oordeel bekijken.

05Het oordeel in de headers lezen

Als je het bericht kunt bekijken zoals het door een Microsoft 365-mailbox is ontvangen, staat de beslissing rechtstreeks in de antispamheaders. X-Forefront-Antispam-Report bevat enkele velden die je moet kennen:

• SFV:SPM betekent dat het spamfilter het bericht als spam heeft gemarkeerd, SFV:NSPM als geen spam en SFV:SFE dat filtering is overgeslagen omdat de afzender op de Safe Senders-lijst van de gebruiker staat.
• CAT geeft de toegepaste beleidscategorie aan: SPM, HSPM (spam met hoge zekerheid), BULK, PHSH, SPOOF.
• SCL is een getal, -1 of 0 tot en met 9. Oudere handleidingen behandelen dit als het oordeel. Op de huidige SCL-pagina van Microsoft staat dat de waarde "niet bepaalt of spamfiltering een bericht identificeert als Spam of High confidence spam", dus lees eerst CAT.

De headers bevatten ook compauth, het samengestelde oordeel van Microsoft op basis van SPF, DKIM, DMARC en andere onderdelen van het bericht. Redencode 001 betekent dat impliciete authenticatie is mislukt, meestal omdat voor het verzendende domein geen authenticatierecords waren gepubliceerd of alleen een zwak beleid was ingesteld.

06SNDS en JMRP, nu op de Postmaster-site

Smart Network Data Services, of SNDS, staat nu op de nieuwe Postmaster-site en vervangt de oude site op sendersupport.olc.protection.outlook.com. De rapportage is per IP-adres, dus je moet aantonen dat je eigenaar bent van een IP-bereik voordat je gegevens te zien krijgt. De gegevens omvatten het volume, het klachtenpercentage en een kleur die aangeeft welk deel van je verkeer door het filter als spam is beoordeeld: groen onder 10%, geel tussen 10% en 90%, rood boven 90%. De toegang verloopt nu 10 maanden na goedkeuring of migratie en moet daarna worden verlengd.

Voor een kleine afzender toont SNDS mogelijk helemaal niets, omdat een IP-adres kan worden overgeslagen als het op een bepaalde dag minder dan 100 berichten heeft verzonden. En als je via de gedeelde IP-adressen van een platform verzendt, ben je niet de eigenaar van die adressen en kun je ze niet registreren.

JMRP, het Junk Mail Reporting Program, is de feedbacklus. Meld je aan via SNDS. Microsoft stuurt je dan geselecteerde headers van berichten die gebruikers van Outlook.com als ongewenst hebben gemarkeerd. Dit begint doorgaans binnen 72 uur. Voeg nieuwe IP-adressen toe wanneer je ze in gebruik neemt.

Microsoft noemt het percentage spamklachten "een van de belangrijkste factoren" voor de reputatie van een afzender. De SNDS-FAQ noemt een klachtenpercentage onder 0,3% "een goede norm om naar te streven". Nieuwe IP-adressen hebben tijd nodig. Microsoft zegt dat je kunt verwachten dat een nieuw IP-adres "binnen een paar weken of eerder volledig is opgewarmd, afhankelijk van het volume en de nauwkeurigheid van de lijst". En nee, er is geen lijst waarop je een plek kunt kopen. Op de pagina voor probleemoplossing stelt Microsoft de vraag of Outlook.com een toelatingslijst heeft waarop een afzender kan worden geplaatst. Het antwoord is "Nee".

07Wat de persoon aan de andere kant kan aanpassen

Een deel hiervan ligt bij de ontvanger, en je kunt een lezer gerust vragen om te helpen. In Outlook.com (Settings, daarna Mail, daarna Junk email) kan een gebruiker een bericht markeren als Not junk of de afzender toevoegen aan Safe senders and domains. Die lijst kan maximaal 10.000 vermeldingen bevatten. Microsoft merkt op dat links en afbeeldingen van afzenders op deze lijst doorgaans standaard worden ingeschakeld. Een strenge gebruiker kan ook de modus "exclusive" inschakelen, waarmee alleen e-mail van Contacts en Safe Senders wordt geaccepteerd.

De knop Junk werkt andersom. Microsoft gebruikt die meldingen om te bepalen of toekomstige e-mail van dezelfde afzender moet worden geblokkeerd. Daarnaast vraagt Microsoft in zijn aanbevelingen voor afzenders om een afmeldlink die "clearly visible" is. In de tekst van Microsoft staan de List-Unsubscribe-headers voor afmelden met één klik, die Gmail en Yahoo vereisen, niet vermeld. Maar omdat dezelfde campagne naar alle drie gaat, zou ik ze overal toevoegen (de twee headers).

De desktopapp heeft een eigen Junk Email Filter. Deze staat standaard op "No Automatic Filtering", met daarboven Low, High en "Safe Lists Only". Bij die laatste optie wordt alles van buiten de veilige lijsten van de gebruiker als ongewenste e-mail behandeld. De lijsten met veilige en geblokkeerde afzenders worden met de server gesynchroniseerd en daar ook gebruikt.

Dan is er nog Focused Inbox, waarmee het Postvak IN wordt verdeeld in Focused en Other en dat, in de woorden van Microsoft, "filters out noisy sources like automatically generated or bulk email". Other is een tabblad van het Postvak IN. Volgens mij is een nieuwsbrief die daar terechtkomt al door de spamfilter gekomen.

08Testen vóór de echte verzending

Op de eigen pagina voor probleemoplossing zegt Microsoft dat het "sterk aanraadt om e-mails te testen voordat je echte communicatie verstuurt". Dat is de stap waarvoor Email Spam Tester bedoeld is. Je stuurt het daadwerkelijke bericht naar een adres dat de pagina genereert, vanaf de server of het platform dat je echt zou gebruiken. Het rapport toont 42 controles: SPF, DKIM en DMARC met alignment, reverse DNS, het verzendende IP op 21 blokkeerlijsten (waarom die belangrijk zijn), de uitschrijfheaders en de inhoud. Bij mislukte controles krijg je een herstelplan en DNS-records die je kunt kopiëren. Hoeveel punten elke oplossing oplevert, komt uit de scoretabel.

Voeg de inboxplaatsingstest toe en hetzelfde bericht wordt ook naar inboxen bij Gmail, Outlook, Yahoo en andere providers gestuurd. Het rapport toont voor elke provider waar het bericht terechtkwam, rechtstreeks uit de mailbox gelezen, inclusief Focused of Other als de provider berichten op die manier sorteert. Het is gratis en je hoeft je niet aan te melden. De documentatie legt elke controle uit en hoeveel punten die kost.

Als je hierna een supportticket wilt indienen, houd er dan rekening mee dat het formulier van Microsoft voor afleveringsproblemen alleen meldingen accepteert over adressen van @outlook.com, @hotmail.com, @live.com en @msn.com. Op de pagina met beleidsregels staat dat als je niet aan de eisen voldoet, "ons supportteam je mogelijk niet kan helpen".