Por que a substituição de DLP não funciona no Microsoft 365

By Mirko Peters · 2026-04-21

Se você chegou aqui, provavelmente está frustrado com o motivo de a substituição de DLP (Prevenção contra Perda de Dados) simplesmente não funcionar como deveria no Microsoft 365. Os recursos de substituição de DLP permitem que os usuários contornem determinadas restrições de política em circunstâncias específicas e controladas, o que é essencial para que o trabalho real da empresa continue fluind

Automatically translated with AI from the original post. Read the English original

Titelbild: Why DLP Override Is Not Working in Microsoft 365

Quando a substituição de DLP não funciona, ela pode paralisar a produtividade, atrasar a comunicação e atrapalhar os esforços de conformidade. Os causadores mais comuns são políticas de DLP mal configuradas, problemas do lado do cliente no Outlook, particularidades do Exchange no back-end ou, simplesmente, regras de governança que não foram definidas corretamente. Solucionar esses problemas é fundamental, pois muita coisa pode dar errado entre a configuração da política e a experiência real do usuário final.

Nas seções a seguir, você vai entender como as condições da política, erros de configuração, requisitos do cliente, atrasos no back-end e até erros no fluxo de trabalho do usuário podem comprometer a substituição de DLP no Microsoft 365. Vamos analisar os principais motivos, os diagnósticos e, o mais importante, as correções reais que resolvem esses problemas.

Entendendo os principais motivos para a falha da substituição de DLP

Quando a substituição de DLP deixa de funcionar no Microsoft 365, o problema geralmente tem origem em algo sutil, mas essencial na sua configuração. A proposta do DLP é proteger dados confidenciais, mas a substituição é a válvula de escape para os momentos de negócio em que as regras precisam ser flexibilizadas. Por isso, quando essa válvula emperra, o impacto vai muito além de um simples incômodo.

A maioria das falhas de substituição se resume a duas áreas principais: a lógica e os requisitos das suas políticas de DLP e a forma como essas políticas estão configuradas. Se as condições necessárias para permitir uma substituição não forem atendidas, seja por tipo incorreto de informação confidencial, destinatários ou funções de usuário, a substituição simplesmente não aparecerá. Da mesma forma, se a política tiver sido criada incorretamente ou se uma opção essencial não estiver ativada, os usuários ficam sem alternativa.

Entender esses problemas fundamentais é importante antes de partir para uma solução de problemas mais profunda. Às vezes não é complicado: basta uma caixa de seleção desmarcada ou uma condição sutil que não bate. No entanto, o impacto na experiência do usuário pode ser enorme, já que uma grande parte dos fluxos de trabalho importantes passa pelo Outlook e pelo Exchange. A seguir, você verá exatamente o que acontece quando as condições de substituição não são atendidas e como pequenos erros podem fazer a diferença entre a rotina normal de trabalho e a frustração de todos.

Quando as condições da política não são atendidas para substituições

Os botões ou avisos de substituição de DLP no Outlook e no Exchange só aparecem quando as condições específicas de política para uma substituição são atendidas. Para que a opção de substituição apareça, a mensagem precisa corresponder exatamente aos tipos de dados confidenciais, destinatários ou outros critérios definidos na configuração da política.

Se um e-mail não tiver as informações confidenciais especificadas, for enviado a destinatários excluídos ou não acionar exatamente a regra da política, o aviso de substituição nunca será exibido. Revise novamente as regras da sua política e os dados de teste para garantir que reflitam casos de uso reais. Revisar essas configurações ajuda a evitar confusão quando a funcionalidade de substituição parece desaparecer sem motivo aparente.

Erros de configuração que bloqueiam a funcionalidade de substituição de DLP

Erros comuns de configuração podem bloquear silenciosamente os recursos de substituição de DLP, sem nenhum aviso. Às vezes, os administradores esquecem de habilitar as ações de substituição ou de definir os campos obrigatórios de justificativa durante a criação da política no centro de administração do Microsoft Purview. Em outros casos, as prioridades das regras entram em conflito ou os escopos errados são escolhidos, tornando as opções de substituição invisíveis.

Pequenos erros, como exceções ausentes ou configurações esquecidas, podem impedir que o DLP solicite a ação do usuário como esperado. Em configurações de DLP para Power Platform ou baseadas em conectores, diferenças entre os ambientes de desenvolvimento e de produção aumentam ainda mais o risco. Sempre revise suas políticas em busca de omissões acidentais e consulte guias como este passo a passo de configuração de DLP para Power Platform para aprimorar sua abordagem.

Limitações do lado do cliente no Outlook que afetam a substituição de DLP

É fácil culpar as configurações de política quando a substituição de DLP não aparece, mas às vezes o problema está bem no computador do usuário. Certas limitações do lado do cliente Outlook podem bloquear completamente as dicas e os recursos de substituição de DLP, mesmo que a configuração do back-end esteja perfeita.

A compatibilidade da versão do Outlook, o suporte a MailTips e determinadas configurações do registro têm grande peso. Se você usa um Outlook antigo, uma implantação não padrão ou desativou o MailTips, as substituições de DLP não aparecerão para os usuários, mesmo com todas as regras de política configuradas corretamente. As configurações do sistema de arquivos e as entradas do registro no cliente Windows costumam passar despercebidas, mas podem atrapalhar a exibição das dicas de política e, consequentemente, impedir que as ações de substituição apareçam.

Entender esses requisitos do lado do cliente é essencial. Isso permite separar problemas reais de política de situações do tipo "meu computador está desatualizado". A seguir, vamos analisar com mais atenção quais versões do Outlook funcionam bem com as substituições de DLP, por que habilitar o MailTips é obrigatório e quais ajustes locais no sistema podem definir se a experiência de substituição será bem-sucedida para os seus usuários.

Quais configurações do Outlook oferecem suporte às dicas e substituições de DLP

Outlook na Web (OWA): oferece suporte completo às dicas de política de DLP e às solicitações de substituição para usuários do Microsoft 365 e do Exchange Online.
Outlook para Windows (Canal Atual): oferece suporte às dicas e substituições de DLP se estiver atualizado e conectado ao Exchange Online. Versões mais antigas podem ter suporte parcial ou não ter suporte.
Outlook para Mac: as versões modernas oferecem suporte às dicas de DLP, mas historicamente não contavam com algumas opções de substituição disponíveis no Windows ou na web.
Aplicativos Outlook para dispositivos móveis: suporte limitado às dicas de DLP; as ações de substituição podem não estar disponíveis ou se comportar de forma inconsistente em comparação com o desktop e a web.
Outlook híbrido/local: a substituição de DLP geralmente não é suportada ou funciona apenas parcialmente sem integração com o Exchange Online.

Por que o MailTips precisa estar habilitado no Outlook para as substituições de DLP

O MailTips é o mecanismo que impulsiona as dicas de política de DLP e as solicitações de substituição no Outlook. Se o MailTips estiver desativado, mal configurado ou sem suporte no cliente, os usuários nunca verão os avisos de DLP nem as opções para substituir um bloqueio, mesmo que o restante da configuração esteja perfeito. O MailTips precisa estar habilitado tanto no Exchange quanto nas configurações do Outlook no cliente para que as substituições apareçam. Sempre confirme a disponibilidade do MailTips ao solucionar a ausência de avisos de DLP. Sem ele, os recursos de substituição ficam completamente ocultos para o usuário final.

Configurações de registro e do sistema de arquivos que afetam a disponibilidade da substituição

Configuração EnablePolicyTips no registro: essa chave precisa estar configurada corretamente para exibir as dicas de DLP no Outlook para Windows; valores ausentes ou falsos suprimem as substituições.
Configuração MailTipsEnabled: tanto no registro quanto na configuração do Exchange, deve estar como true/habilitada; se estiver desativada, as dicas de política (e as substituições) não serão exibidas.
Complementos ou plug-ins do Outlook: alguns complementos podem interferir na exibição das dicas de DLP ou nos botões de substituição; testar com um perfil limpo ajuda a descartar essa causa.
Permissões do sistema de arquivos: se o usuário do Outlook não tiver acesso adequado às pastas de perfil locais, erros de leitura do registro ou bloqueios de arquivos podem impedir o funcionamento dos mecanismos de dicas de política.

Problemas no back-end: integração de política de DLP e Exchange

Às vezes, você configura a política de DLP perfeitamente e o cliente Outlook está totalmente limpo, mas o recurso de substituição ainda não funciona. Nesses casos, o problema costuma estar no back-end, especificamente no Exchange Online e na forma como ele processa as atualizações da política de DLP ou analisa o conteúdo em tempo real.

Atrasos ou falhas na sincronização das alterações da política de DLP entre o Microsoft Purview (onde você gerencia o DLP) e o Exchange Online podem deixar os recursos de substituição fora de sincronia. Mesmo pequenos atrasos podem fazer com que os usuários não recebam os avisos esperados, ou que novas permissões de substituição não apareçam imediatamente. Além disso, atrasos na análise e na indexação de conteúdo do Microsoft 365 também podem causar falsos negativos, em que o conteúdo protegido não é reconhecido com rapidez suficiente para disparar as solicitações de substituição.

Para profissionais de TI e de conformidade, é um bom lembrete de que solucionar problemas de substituição de DLP não se resume às regras de política e às configurações do cliente. Algumas falhas têm origem na arquitetura do back-end e nos atrasos na aplicação das políticas, e precisam ser tratadas no nível do serviço para que a funcionalidade de substituição de DLP seja confiável.

Como a sincronização da política de DLP do Exchange e os atrasos no conteúdo causam problemas

Atrasos de sincronização entre as políticas de DLP do Microsoft Purview e o Exchange Online podem impedir temporariamente que os recursos de substituição apareçam. Ao atualizar ou criar regras de DLP, pode levar vários minutos, ou mais, para que essas alterações se propaguem por todo o Exchange. Da mesma forma, a verificação ou a indexação de conteúdo no back-end pode demorar, impedindo que as dicas de DLP e os avisos de substituição apareçam imediatamente, mesmo que a mensagem contenha dados confidenciais. Ao solucionar problemas de substituição, sempre considere a latência do back-end e confirme se as alterações recentes nas políticas foram totalmente sincronizadas.

Ferramentas de diagnóstico e solução de problemas para falhas na substituição de DLP

Descobrir por que a substituição de DLP não está funcionando exige um pouco de investigação. Não existe um botão único que diga "corrija isso!". Mas, com as ferramentas e os passos certos, você consegue identificar exatamente onde o processo falha, desde o cliente até o back-end.

Usando ferramentas de rede como o Fiddler, você pode verificar se o cliente do Outlook está solicitando as dicas de política de DLP e as substituições ao back-end. Os logs do centro de administração mostram o que o sistema identificou e o que fez, o que ajuda a diagnosticar onde a experiência do usuário deu errado. E acredite ou não, às vezes os próprios dados de teste são o problema: se você usar dados de exemplo errados, pode nem acionar a substituição, levando você a um caminho falso de solução de problemas.

Essas etapas de diagnóstico funcionam juntas para revelar o que realmente está acontecendo. Quer saber se o problema está no cliente, nos dados ou no seu ambiente do Microsoft 365? Essas ferramentas e abordagens vão mantê-lo focado no problema real, para que você não perca tempo caçando fantasmas. E se precisar de mais informações sobre o rastreamento de atividades do usuário, o Microsoft Purview Audit oferece logs detalhados para ajudar a montar o quebra-cabeça.

Como usar rastreamentos do Fiddler para inspecionar chamadas GetDLPPolicyTip

O Fiddler é uma ferramenta de rastreamento de rede que permite verificar se o cliente do Outlook está realmente fazendo a chamada GetDLPPolicyTip para os serviços do Microsoft 365. Quando as substituições de DLP não funcionam, capturar um rastreamento e pesquisar essa requisição de API revela se o cliente está pedindo as opções de substituição e o que está sendo retornado. Se a chamada não aparecer, concentre-se na configuração do cliente. Se ela retornar erros, revise a configuração do back-end ou da política. Essa etapa é essencial para localizar o ponto exato da falha na solução de problemas de DLP.

Erros comuns com dados de teste na validação da substituição de DLP

É mais fácil do que parece errar nos testes de substituição de DLP por causa de dados de exemplo inadequados. Se seus e-mails de teste não tiverem exatamente o tipo ou o formato de informação confidencial definido na sua política, ou se você usar modelos incompletos ou desatualizados, o mecanismo de DLP não será acionado e as opções de substituição nunca aparecerão. Sempre teste com tipos de dados confidenciais válidos e reais, além dos cenários de destinatários definidos na sua política. Um planejamento cuidadoso dos testes evita falsos negativos que levam a uma investigação desnecessária.

Etapas de resolução para substituição de DLP não funcionando em cenários comuns

Solucionar falhas na substituição de DLP é um processo de eliminação, que consiste em identificar o que realmente está bloqueando a substituição: a configuração da política, as configurações do cliente, a sincronização do back-end ou até a entrada do usuário. Comece confirmando o cenário do usuário: quais dados confidenciais estão presentes? Qual cliente e versão do Outlook estão em uso? O MailTips está habilitado?

Se a substituição ainda não aparecer, verifique as condições e as ações da política de DLP no centro de administração do Microsoft Purview para confirmar que a substituição está habilitada para a regra escolhida. Não se esqueça de verificar os requisitos de justificativa. Campos de justificativa ausentes ou mal configurados podem impedir que as substituições apareçam ou sejam aceitas, mesmo que todo o restante esteja configurado corretamente para a conformidade com auditoria.

No lado do usuário, confirme se o cliente do Outlook está atualizado, em uma plataforma compatível, e se o MailTips está habilitado. Se tudo estiver correto, use o Fiddler ou ferramentas de rede semelhantes para verificar se a chamada GetDLPPolicyTip está sendo feita e revise os logs do Purview ou do Exchange em busca de erros no back-end ou atrasos de sincronização.

Ambientes híbridos e gateways de terceiros podem trazer problemas específicos, como cabeçalhos removidos ou substituições que não chegam de volta ao back-end do Microsoft 365. Se isso acontecer, revise as configurações do gateway e teste em cenários somente na nuvem para comparação. Com esse fluxo de trabalho passo a passo, você resolverá a maioria dos problemas reais de substituição e manterá satisfeitas tanto as equipes de conformidade quanto os usuários de negócios.

Feedback do usuário e suporte para problemas de substituição de DLP

Mesmo após uma solução de problemas completa, alguns problemas de substituição de DLP simplesmente não se resolvem, e é aí que entram o feedback e o suporte formal. Usuários e administradores de TI devem sempre documentar o que aconteceu, o que foi tentado e quais são os sintomas exatos. Essas informações são ouro para as equipes de suporte da Microsoft ou para a sua equipe interna de segurança.

No Microsoft 365, você pode enviar feedback ou relatar problemas diretamente pelo centro de administração. Para uma solução de problemas em nível de escalonamento, usar ferramentas como o Microsoft Purview Audit ou o Sentinel ajuda a rastrear e registrar tentativas de substituição que falharam, oferecendo evidências detalhadas para investigações. Se você suspeitar de desvio nas permissões ou nas políticas de conformidade, considere integrar com soluções mais amplas de auditoria e gerenciamento de riscos. Este guia sobre conformidade do Copilot e do Purview traz dicas que também se aplicam aos fluxos de trabalho de DLP.

Se você precisar de ajuda externa, abra um chamado com a Microsoft. Ter em mãos os logs do Fiddler, casos de teste e capturas de tela vai acelerar o atendimento. Internamente, encaminhe os casos para a sua equipe de segurança ou de conformidade, que pode revisar os logs de auditoria de DLP (veja a configuração de Auditoria do Purview) para identificar tendências ou configurações incorretas. E lembre-se: uma falha persistente de substituição de DLP é sinal de que o seu modelo de governança ou a sua pilha técnica provavelmente precisa de uma análise mais detalhada. Há ajuda disponível, então não tente resolver sozinho se o problema continuar sem solução.