Dia 14: Diagnóstico Exchange: Mail Flow, Autodiscover e Conectividade

O Exchange Online é um dos pilares do Microsoft 365, mas quando algo falha — um email não chega, o Outlook não liga, ou o Autodiscover não resolve — o impacto é imediato. Neste Dia 14 do curso M365, vamos percorrer as ferramentas e técnicas de diagnóstico essenciais para identificar e resolver problemas de mail flow, Autodiscover, conectividade Outlook, message trace, cabeçalhos e NDRs.

Este artigo pressupõe conhecimento dos conceitos abordados no Exchange Online em 2026 e no Dia 8 — Configuração Inicial para PME.

Neste artigo

1. Introdução ao Diagnóstico Exchange

Diagnosticar problemas no Exchange Online exige uma abordagem metódica. As ferramentas disponíveis incluem o Exchange admin center (EAC), o PowerShell (Exchange Online Management module), o Microsoft Remote Connectivity Analyzer (RCA) e o Centro de Conformidade para message trace avançado. Cada ferramenta cobre uma camada diferente — desde conectividade de cliente até rastreio de mensagens.

Antes de iniciar o diagnóstico, é fundamental perceber a arquitectura do fluxo de email no Exchange Online. Uma mensagem enviada de dentro do tenant atravessa conectores, regras de transporte e políticas de anti-spam antes de chegar ao destinatário. Quando uma mensagem chega de fora, passa pelos mesmos elementos por ordem inversa. Conhecer este percurso é meio caminho andado para identificar onde o problema ocorre.

As três áreas mais comuns de falha são: mail flow (mensagem não chega ou é rejeitada), Autodiscover (Outlook não consegue configurar ou ligar) e connectivity (cliente não atinge o serviço). Vamos abordar cada uma com ferramentas práticas e comandos PowerShell.

Para executar os comandos PowerShell deste artigo, é necessário ligar ao Exchange Online com o módulo ExchangeOnlineManagement:

# Instalar o módulo (se ainda não estiver instalado)
Install-Module -Name ExchangeOnlineManagement -Force
# Ligar ao Exchange Online
Connect-ExchangeOnline -UserPrincipalName [email protected]

2. Mail Flow — Resolução de Problemas

O mail flow descreve o percurso de uma mensagem desde o remetente até ao destinatário. Problemas neste percurso resultam em mensagens atrasadas, rejeitadas ou perdidas. Os pontos de falha mais comuns são: conectores mal configurados, regras de transporte agressivas, políticas anti-spam demasiado restritivas e problemas de DNS no domínio do destinatário.

Os conectores definem como o email entra e sai do tenant. Um conector de saída (Outbound) envia email para sistemas externos; um conector de entrada (Inbound) recebe email de fontes externas. Verificar se os conectores estão activos e correctamente configurados é o primeiro passo.

# Verificar conectores
Get-OutboundConnector | Select-Object Name, Enabled, SmartHosts
Get-InboundConnector | Select-Object Name, Enabled, SenderDomains
# Verificar regras de transporte
Get-TransportRule | Where-Object {$_.State -eq "Enabled"} | Select-Object Name, Priority, Mode
# Verificar health do tenant
Get-ServiceHealth | Where-Object {$_.Workload -eq "Exchange"}
# Verificar mail flow
Test-MailFlow -From "[email protected]" -To "[email protected]"

As regras de transporte podem redirecionar, bloquear ou modificar mensagens com base em condições como remetente, destinatário, assunto ou conteúdo. Uma regra mal configurada pode bloquear email legítimo sem o utilizador perceber. A propriedade Mode indica se a regra está em Enforce (aplica) ou Audit (regista mas não aplica).

O cmdlet Test-MailFlow envia uma mensagem de teste entre duas contas e verifica se chega ao destino. É útil para confirmar que o fluxo interno funciona. Para fluxo externo, enviar um email de teste para uma conta externa (ex.: Gmail) e verificar a recepção é a forma mais directa de validar.

Quando uma mensagem não chega, o diagnóstico segue uma sequência lógica:

Fase Verificação Ferramenta
1 Confirmação de envio Message Trace
2 Verificar conectores e regras PowerShell — Get-Outbound/InboundConnector
3 Analisar NDR se existir Código de erro 5.x.x / 4.x.x
4 Verificar DNS (MX, SPF, DKIM, DMARC) nslookup / dig / Microsoft DNS
5 Políticas anti-spam/anti-malware EAC — Proteção > Políticas

Para aprofundar os registos DNS que afectam a entrega de email, consulte o Dia 10 — SPF, DKIM e DMARC.

3. Autodiscover — Diagnóstico

⚠️ O Autodiscover é o ponto único de falha mais comum — se falhar, o Outlook não consegue ligar. Sempre testar primeiro em problemas de conectividade. Sem o Autodiscover, o Outlook não descobre o servidor, não configura o perfil e o utilizador fica sem acesso ao email.

O Autodiscover é o mecanismo pelo qual o Outlook descobre automaticamente as configurações do servidor Exchange — endereço do servidor, protocolos disponíveis (MAPI/HTTP, RPC/HTTP), URL do OAB (Offline Address Book) e definições de autenticação. No Exchange Online, o processo usa o registo SCP (Service Connection Point) em ambientes híbridos, ou consulta DNS autodiscover.dominio.pt directamente.

O diagnóstico do Autodiscover envolve verificar a resolução DNS, a acessibilidade do endpoint e a resposta XML. Para uma análise detalhada do Autodiscover, consulte o artigo Diagnóstico Autodiscover O365 já publicado no kbase.pt.

# Verificar Autodiscover
Test-Autodiscover -UserPrincipalName "[email protected]" -Credentials $cred
# Verificar registo DNS autodiscover
Resolve-DnsName -Name "autodiscover.exemplo.pt" -Type CNAME
# Testar endpoint HTTPS
Invoke-WebRequest -Uri "https://autodiscover.exemplo.pt/autodiscover/autodiscover.xml" -Method POST -Cabeçalhos @{"Content-Type"="text/xml"} -Credential $cred

Os problemas mais frequentes com Autodiscover incluem:

  • Registo DNS autodiscover apontando para servidor errado (comum em migrações híbridas)
  • Certificado SSL no endpoint Autodiscover não inclui o nome autodiscover.dominio.pt
  • SCP no Active Directory apontando para servidor on-premises após migração para nuvem
  • Redirecionamento HTTP para HTTPS mal configurado no proxy inverso
  • Políticas de firewall a bloquear portas 443/80 para os endpoints Autodiscover

O Microsoft Remote Connectivity Analyzer (RCA) é a ferramenta online de eleição para testar Autodiscover sem precisar de PowerShell. Disponível em testconnectivity.microsoft.com, permite executar testes de Autodiscover, ActiveSync, Conectividade Outlook e SMTP sem credenciais administrativas.

4. Conectividade Outlook

Depois do Autodiscover funcionar, o Outlook precisa de estabelecer ligação ao servidor Exchange Online via MAPI/HTTP ou RPC/HTTP. No Exchange Online, o protocolo padrão é MAPI over HTTP, que substituiu o antigo RPC/HTTP. Problemas de conectividade manifestam-se como “A ligar…” perpetuamente, pedidos repetidos de credenciais ou erro “O Outlook não consegue ligar ao servidor”.

# Outlook connectivity test
Test-OutlookConnectivity -Identity "[email protected]" -Protocol MapiHttp
# Verificar MAPI virtual directory
Get-MapiVirtualDirectory | Select-Object Identity, InternalUrl, ExternalUrl
# Verificar Outlook Anywhere (RPC/HTTP legado)
Get-OutlookAnywhere | Select-Object Identity, ExternalHostname, InternalHostname

O Test-OutlookConnectivity simula a ligação de um cliente Outlook ao servidor, verificando cada passo: DNS, TLS, Autodiscover, autenticação e ligação MAPI. Se algum passo falhar, o resultado identifica exactamente onde o problema ocorre.

Problemas comuns de conectividade Outlook no Exchange Online:

  • Pedidos repetidos de palavra-passe — normalmente problema de Modern Authentication (OAuth) desactivada ou credenciais em cache corrompidas
  • “A ligar…” infinito — verificar firewall/proxy que possa bloquear outlook.office365.com
  • Erro “Não é possível abrir a pasta — perfil Outlook corrompido; recriar perfil via Painel de Controlo > Mail
  • Lentidão em modo cache — verificar tamanho do ficheiro OST e largura de banda disponível
  • Modo offline não sincroniza — verificar se o OAB (Offline Address Book) está acessível via Autodiscover

Para activar Modern Authentication (recomendado), verificar a configuração do tenant:

# Verificar estado da Modern Authentication
Get-OrganizationConfig | Select-Object OAuth2ClientProfileEnabled
# Activar Modern Authentication (se desactivada)
Set-OrganizationConfig -OAuth2ClientProfileEnabled $true

5. Message Trace e Cabeçalhos

ℹ O Message Trace no Exchange admin center permite procurar emails dos últimos 90 dias — essencial para diagnosticar problemas de entrega.

O Message Trace é a ferramenta mais poderosa para diagnosticar entrega de email. Regista cada passo que uma mensagem atravessa no Exchange Online — desde a recepção até à entrega final, incluindo filtros anti-spam, regras de transporte e conectores.

O Message Trace está disponível de duas formas: via interface web no EAC (Exchange admin center > Mail flow > Message trace) ou via PowerShell com os cmdlets Get-MessageTrace e Get-MessageTraceDetail.

# Message trace — procurar email
Get-MessageTrace -SenderAddress "[email protected]" -RecipientAddress "[email protected]" -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date)
# Message trace detalhado
Get-MessageTraceDetail -MessageTraceId $trace.MessageTraceId -RecipientAddress "[email protected]"

O resultado do Get-MessageTrace mostra o estado da mensagem (Delivered, FilteredAsSpam, Failed), a data e o tamanho. O Get-MessageTraceDetail revela cada evento individual — quando entrou, que filtros atravessou, que regras aplicou e quando foi entregue.

Os cabeçalhos de email contêm o histórico completo da mensagem. Cada servidor que processa a mensagem adiciona um header Received: com timestamp, IP e nome do servidor. Para analisar cabeçalhos, abrir a mensagem no Outlook > File > Properties > Internet cabeçalhos, ou no webmail (Outlook on the web) > More options > View message details.

# Verificar cabeçalhos de email
# Receber email -> View source -> Authentication-Results

Os cabeçalhos mais relevantes para diagnóstico:

Header Função
Received: Cada salto (hop) da mensagem — IP, servidor, timestamp
Authentication-Results Resultado SPF, DKIM e DMARC
X-MS-Exchange-Organization-* Metadados internos do Exchange Online
X-Forefront-Antispam-Report Resultado da filtragem anti-spam do EOP
Return-Path Endereço de retorno (bounce) — usado por SPF

Para análise visual de cabeçalhos, a ferramenta Message Header Analyzer da Microsoft formata os cabeçalhos de forma legível, agrupando por categoria e destacando problemas de autenticação.

6. NDRs — Non-Delivery Reports

Um NDR (Non-Delivery Report), também conhecido como mensagem devolvida, é a notificação automática enviada quando uma mensagem não pode ser entregue. O NDR contém um código de erro padronizado que identifica a causa da falha. Compreender estes códigos é essencial para diagnosticar problemas de entrega rapidamente.

O formato do código NDR segue o padrão X.Y.Z onde:

  • X (2-5) — classe do erro: 4 = falha temporária, 5 = falha permanente
  • Y (1-7) — categoria do erro (1 = endereçamento, 2 = mailbox, 3 = encaminhamento, 4 = protocolo, 5 = segurança, 7 = transporte)
  • Z — sub-código específico que, combinado com Y, identifica a causa exacta
# Analisar NDR
# 550 5.1.1 User unknown — destinatário não existe
# 550 5.7.1 Access denied — bloqueado por política
# 451 4.4.0 DNS query failed — problema DNS
# 550 5.7.606 Access denied, banned sending IP — IP na lista negra
Código Significado Acção
550 5.1.1 User unknown — destinatário não existe Verificar endereço do destinatário
550 5.7.1 Access denied — bloqueado por política Verificar regras de transporte e políticas
451 4.4.0 DNS query failed — problema de DNS Verificar registos MX e DNS do destinatário
550 5.7.606 Access denied, banned sending IP IP na lista negra — solicitar delisting
550 5.1.2 Invalid domain — domínio não existe Verificar ortografia do domínio
452 4.3.1 Insufficient system resources Problema temporário — reenviar mais tarde
550 5.7.26 Unauthenticated email — falha DMARC Verificar SPF, DKIM e DMARC

A distinção entre erros 4.x.x (temporários) e 5.x.x (permanentes) é crucial. Erros 4.x.x indicam problemas transitórios — DNS temporariamente indisponível, servidor sem recursos, fila congestionada — e a mensagem será retentada automaticamente. Erros 5.x.x indicam falhas definitivas — destinatário inexistente, bloqueio por política, IP banido — e a mensagem não é reenviada.

7. Erros Comuns e Lista de Verificação

Depois de percorrer as ferramentas de diagnóstico, é útil consolidar os problemas mais frequentes e uma lista de verificação para resolução de problemas sistemático. A seguinte tabela resume os erros mais comuns no Exchange Online e a acção imediata para cada um.

Problema Causa provável Ferramenta de diagnóstico
Email não chega ao destinatário Conector mal configurado, regra de transporte, lista negra Message Trace + NDR
Outlook não liga Autodiscover falha, perfil corrompido, OAuth Test-Autodiscover + RCA
Pedidos repetidos de palavra-passe Modern Authentication desactivada, cache corrompida Get-OrganizationConfig
Email marcado como spam SPF/DKIM/DMARC mal configurados, conteúdo suspeito Cabeçalhos + EAC Anti-spam
Lentidão no Outlook OST grande, rede lenta, modo online em vez de cache Outlook > File > Account Settings
NDR 550 5.7.606 IP de envio em lista negra Verificar em Spamhaus/Barracuda
Email externo rejeitado por DMARC Remetente sem SPF/DKIM válido Authentication-Results no header

Lista de verificação para diagnóstico Exchange Online:

  • ✓ Confirmar que o utilizador tem licença M365 atribuída e mailbox activa
  • ✓ Verificar Autodiscover — Test-Autodiscover ou RCA
  • ✓ Executar Test-OutlookConnectivity para validar ligação MAPI
  • ✓ Verificar conectores — Get-OutboundConnector / Get-InboundConnector
  • ✓ Listar regras de transporte activas — Get-TransportRule
  • ✓ Executar Message Trace para a mensagem problemática
  • ✓ Analisar NDR se existir — identificar código 4.x.x ou 5.x.x
  • ✓ Verificar registos DNS: MX, SPF, DKIM, DMARC
  • ✓ Verificar políticas anti-spam no EAC
  • ✓ Verificar Get-ServiceHealth para incidentes no tenant
  • ✓ Confirmar Modern Authentication activa — OAuth2ClientProfileEnabled
  • ✓ Recriar perfil Outlook se a conectividade está OK mas o cliente não liga

Para documentação oficial completa sobre resolução de problemas do Exchange, consulte a página oficial de resolução de problemas do Exchange Online na Microsoft Learn.

Artigos Relacionados: