Exchange Online — Diagnóstico de Falhas de Email

📋 Índice

1. Identificar o Cenário de Falha
2. Message Trace — Rastrear o Email Passo a Passo
3. Interpretar Códigos de Erro NDR
4. SPF, DKIM e DMARC — Diagnóstico de Autenticação
5. Quarentena e Anti-Spam
6. Conectores e Fluxo de Correio
7. Regras de Transporte (Mail Flow Rules)
8. Limites de Envio do Exchange Online
9. Checklist de Diagnóstico Rápido

💡 Resultados do Message Trace — estados a identificar:
GettingStatus — mensagem ainda em processamento
Delivered — entregue na caixa de correio do destinatário
Failed — falha permanente (ver código de erro nos detalhes)
FilteredAsSpam — bloqueada como spam pelo EOP
Quarantined — em quarentena (ver Secção 5)
Expanded — enviada para lista de distribuição
Redirected — redirecionada por regra de transporte

PowerShell — Exchange Online

# Ligar ao Exchange Online (se ainda não ligado)

Connect-ExchangeOnline -UserPrincipalName [email protected]

# Rastrear emails das últimas 48 horas entre dois endereços

Get-MessageTrace -SenderAddress [email protected] -RecipientAddress [email protected] -StartDate (Get-Date).AddDays(-2) -EndDate (Get-Date)

# Ver detalhes de uma mensagem específica (usar MessageId dos resultados)

Get-MessageTraceDetail -MessageId “<ID_DA_MENSAGEM>” -RecipientAddress [email protected]

PowerShell — Pesquisa histórica (até 90 dias)

# Para mensagens com mais de 10 dias usar Start-HistoricalSearch

Start-HistoricalSearch -ReportTitle “Falha Email Jan” -StartDate 01/01/2026 -EndDate 31/01/2026 -ReportType MessageTrace -SenderAddress [email protected] -NotifyAddress [email protected]

# Ver estado da pesquisa histórica

Get-HistoricalSearch | Select ReportTitle, Status, SubmitDate

💡 Referência completa de NDR: A Microsoft mantém uma lista atualizada de todos os códigos de NDR do Exchange Online em learn.microsoft.com — NDR Exchange Online.

PowerShell — Exchange Online

# Verificar DKIM — estado de todos os domínios

Get-DkimSigningConfig | Select Domain, Enabled, Status, Selector1CNAME, Selector2CNAME

# Ativar DKIM para um domínio específico

Set-DkimSigningConfig -Identity empresa.pt -Enabled $true

# Verificar política DMARC via DNS (nslookup)

nslookup -type=TXT _dmarc.empresa.pt

⚠️ SPF com múltiplos serviços: Se o domínio usar outros serviços de email além do M365 (ex: plataforma de newsletters, sistema CRM, servidor on-premises), todos os IPs/serviços de envio devem estar incluídos no SPF. Um SPF incompleto causa falhas de entrega intermitentes difíceis de diagnosticar. O SPF tem um limite de 10 lookups DNS — exceder este limite invalida o registo.

Exemplo de cabeçalho Authentication-Results — tudo a passar

Authentication-Results: spf=pass smtp.mailfrom=empresa.pt;

 dkim=pass header.d=empresa.pt;

 dmarc=pass action=none header.from=empresa.pt

PowerShell — Exchange Online

# Listar mensagens em quarentena para um destinatário

Get-QuarantineMessage -RecipientAddress [email protected] | Select Subject, SenderAddress, ReceivedTime, QuarantineTypes

# Libertar mensagem específica da quarentena

Release-QuarantineMessage -Identity <MessageIdentity> -User [email protected]

PowerShell — Exchange Online

# Ver remetentes/domínios permitidos na política anti-spam predefinida

Get-HostedContentFilterPolicy -Identity Default | Select AllowedSenders, AllowedSenderDomains

# Adicionar domínio à lista de permitidos (usar com cautela)

Set-HostedContentFilterPolicy -Identity Default -AllowedSenderDomains @{Add=”parceiro.pt”}

⚠️ Atenção: Adicionar domínios inteiros à lista de permitidos desativa a filtragem de spam para todos os emails desse domínio, incluindo emails fraudulentos que falsifiquem o remetente. Preferir adicionar remetentes individuais em vez de domínios. Para parceiros confiáveis, usar antes um conector de entrada com IP fixo (Secção 6).

PowerShell — Exchange Online

# Listar conectores de entrada

Get-InboundConnector | Select Name, Enabled, SenderDomains, SenderIPAddresses, RequireTls

# Listar conectores de saída

Get-OutboundConnector | Select Name, Enabled, SmartHosts, TlsSettings, UseMxRecord

# Testar fluxo de correio via conector de saída

Validate-OutboundConnector -Identity “Nome do Conector” -Recipients [email protected]

PowerShell — Criar conector de entrada para relay por IP

New-InboundConnector -Name “Relay Impressoras” -ConnectorType OnPremises -SenderIPAddresses “192.168.1.50”,”192.168.1.51″ -RequireTls $false -CloudServicesMailEnabled $false

PowerShell — Exchange Online

# Listar todas as regras de transporte ativas

Get-TransportRule | Select Name, State, Priority, Description | Sort-Object Priority

# Ver detalhes completos de uma regra específica

Get-TransportRule -Identity “Nome da Regra” | Format-List

# Desativar temporariamente uma regra para teste

Disable-TransportRule -Identity “Nome da Regra”

PowerShell — Exchange Online

# Ver detalhes do rastreio incluindo ação de regras de transporte

Get-MessageTraceDetail -MessageId “<ID>” -RecipientAddress [email protected] | Where-Object {$_.Event -eq “Transport rule”} | Select Detail

PowerShell — Verificar limites configurados na caixa de correio

# Ver limites de envio e receção de uma caixa de correio

Get-Mailbox -Identity [email protected] | Select MaxSendSize, MaxReceiveSize, RecipientLimits

# Verificar se conta está em modo restrito por envio de spam

Get-BlockedSenderAddress | Select SenderAddress, BlockedUntilDate, Reason

📋 Percorrer esta checklist na ordem indicada. O Message Trace deve ser sempre o primeiro passo — fornece o motivo exato da falha e evita diagnósticos desnecessários.

🔗 Artigos Relacionados no kbase.pt

• Autodiscover do Outlook a Falhar — Diagnóstico e Resolução
• Como Recriar o Perfil do Outlook Sem Perder Dados
• Outlook pede password em loop — Modern Auth