AVG, Avast e Bitdefender bloccano domini OneCDN Microsoft: falso positivo e soluzioni per Outlook, Teams, Edge e Xbox

Su Windows alcuni antivirus (AVG, Avast e Bitdefender) mostrano avvisi tipo “URL:Blacklist” o “attività web sospetta” mentre si usano Outlook/Hotmail, Teams, Edge o app Xbox. Il blocco riguarda domini Microsoft della CDN e, di norma, è un falso positivo. Di seguito diagnosi affidabili e soluzioni sicure.

Indice

Contesto e sintomi

Negli ultimi giorni diversi utenti Windows hanno notato che l’antivirus intercetta e blocca richieste verso due domini Microsoft durante la normale navigazione o l’apertura di client e app:

https://res.public.onecdn.static.microsoft/
https://otelrules.svc.static.microsoft/

I messaggi più comuni sono “URL:Blacklist”, “URL bloccato” o “attività web sospetta” e compaiono con:

Webmail Hotmail/Outlook e Outlook sul Web
Microsoft Teams
XBOX app e servizi connessi
Microsoft Edge (e talvolta altri browser via componente web shield)

Accesso da iPad o altri dispositivi non Windows: in genere non è influenzato.

Cosa sono quei domini Microsoft

I due host appartengono all’infrastruttura di distribuzione contenuti di Microsoft (OneCDN) e a servizi di regole/telemetria utilizzati dai client per scaricare risorse statiche (icone, script, fogli di stile, frammenti UI) e per abilitare funzionalità di diagnostica lato client. In condizioni normali sono contatti legittimi; non ci sono evidenze attendibili di compromissione. L’anomalia si manifesta quando le firme o le euristiche dell’AV classificano in modo errato l’endpoint come pericoloso.

Perché l’antivirus li blocca

Le cause più frequenti sono:

Falso positivo: una firma o regola di reputazione appena rilasciata riconduce gli host a una categoria di rischio (“tracking”, “telemetry”, “CDN condivisa”) e li marca come blacklist. È un errore di classificazione.
Sincronizzazione firme incompleta: il motore locale non si è ancora allineato alle correzioni pubblicate nel cloud del vendor, e continua a generare alert anche dopo che il problema è stato corretto lato server.
Interferenze di rete (meno comune): proxy, DNS filtranti o ispezione TLS aziendale possono alterare i certificati o la risoluzione, generando sospetti nel modulo Web Shield.

È davvero un attacco? Come capirlo in pochi minuti

Segnale	Probabile interpretazione	Cosa fare subito
L’avviso compare solo con Outlook/Teams/Edge e cita gli host Microsoft sopra indicati	Alta probabilità di falso positivo	Aggiorna l’AV, riavvia e riprova; non creare eccezioni permanenti
L’avviso appare su molti siti estranei a Microsoft	Possibile infezione o estensione/browser compromesso	Esegui una scansione completa e un’analisi offline
Su iPad o su un altro PC i servizi funzionano senza alert	Anomalia limitata al PC o all’AV	Focalizzati su aggiornamento AV e cache di rete
In rete aziendale l’alert è costante, fuori rete scompare	Proxy/DNS/SSL inspection coinvolta	Chiedi al reparto IT di verificare le policy

Raccomandazioni chiave

Non disattivare in modo permanente protezioni web o HTTPS scanning: usa lo spegnimento temporaneo solo per un test mirato.
Evita whitelist permanenti finché il vendor non conferma il falso positivo o rilascia una correzione.
Conferma con uno scanner indipendente (anche on‑demand, offline) prima di ignorare l’avviso.

Soluzione rapida in cinque mosse

Aggiorna il prodotto di sicurezza: esegui update sia del motore sia del database firme; al termine riavvia Windows.
Ripulisci cache e DNS: ipconfig /flushdns ipconfig /registerdns netsh winsock reset Riavvia dopo i comandi.
Chiudi e riapri i client (Outlook, Teams, Edge) e verifica se l’alert persiste.
Esegui una scansione offline con Microsoft Defender Offline o con lo strumento offline del tuo AV per escludere minacce reali.
Segnala il falso positivo al vendor dell’AV, includendo screenshot, log e i due host interessati.

Procedure dettagliate per antivirus

AVG e Avast

AVG e Avast condividono lo stesso motore. Ecco i passaggi tipici (le voci possono variare leggermente a seconda della versione):

Aggiornamento: Menu → Impostazioni → Aggiornamento, esegui “Verifica aggiornamenti” per applicazione e firme. Al termine, riavvia Windows.
Controllo della cronologia: Menu → Cronologia → Rilevazioni, apri l’evento “URL:Blacklist” e verifica che l’URL corrisponda a uno dei due host Microsoft. Usa “Segnala come falso positivo”.
Test temporaneo del Web Shield: Impostazioni → Protezione → Scudi principali → Scudo Web, disattiva per 10 minuti, verifica l’accesso a Outlook/Teams e riattiva subito.
Eccezioni (solo per test): Impostazioni → Generali → Eccezioni → Aggiungi eccezione e incolla gli host: https://res.public.onecdn.static.microsoft/ https://otelrules.svc.static.microsoft/ Rimuovi l’eccezione appena il vendor rilascia la correzione.
Riparazione del prodotto (se il problema persiste): da App e funzionalità di Windows seleziona AVG/Avast → Modifica → Ripara. Riavvia.

Bitdefender

Aggiornamento: in Impostazioni → Aggiornamento esegui “Cerca aggiornamenti”. Riavvia Windows.
Notifiche e log: apri Notifiche, trova l’evento relativo a Online Threat Prevention o Web Protection, verifica l’URL e usa la funzione “Segnala falso positivo”.
Web Protection: Protezione → Online Threat Prevention → Impostazioni. Per un test di pochi minuti, disattiva e riattiva; non lasciare disattivato.
Eccezioni mirate: Protezione → Gestisci eccezioni e aggiungi gli host sopra indicati solo come misura temporanea, poi rimuovili.

Buone pratiche prima di creare whitelist

Convalida con uno strumento terzo: confronta il risultato dell’AV con un secondo motore (anche in modalità offline o su un altro PC) per ridurre il rischio di ignorare un avviso reale.
Controlla l’impatto: se l’avviso non impedisce l’uso del servizio (spesso Outlook/Teams continuano a funzionare), meglio non forzare eccezioni e attendere il fix delle firme.
Documenta la segnalazione: conserva timestamp, versione del motore e degli aggiornamenti, ID evento, tracce dei processi coinvolti (browser.exe, teams.exe, ecc.).

Verifiche di rete e sistema per utenti avanzati

Questi controlli aiutano a isolare cause locali (cache, DNS, proxy) da problemi di firma AV.

Risoluzione e connettività

nslookup res.public.onecdn.static.microsoft
nslookup otelrules.svc.static.microsoft
tracert res.public.onecdn.static.microsoft

ICMP può essere disabilitato su CDN; un ping fallito non è anomalo.

Cache TLS e certificati

Assicurati che l’orologio di sistema sia corretto (data/ora errate provocano errori TLS).
Se esiste ispezione SSL aziendale, verifica che il certificato radice dell’intercettore sia installato e valido.

Cache del browser

In Edge: Impostazioni → Privacy, ricerca e servizi → Cancella dati di navigazione (cache immagini/file, cookie se necessario). Riavvia il browser.

Soluzioni già proposte nella community

Passo	Dettagli	Note critiche
Disattivare temporaneamente l’AV e riprovare	Verifica se il sito funziona senza blocco	Solo per test rapidi; ripristinare subito la protezione
Aggiornare le firme dell’AV	Controllare update engine e database	Spesso, dopo poche ore, il blocco scompare
Segnalare “falso positivo” al vendor	Modulo in-app o portale	Più segnalazioni accelerano la correzione
Attendere correzione lato vendor	Patching via update automatico	Il servizio di solito resta utilizzabile anche se compare l’avviso
Aggiungere eccezione/whitelist	Consigliata da alcuni supporti	Molti preferiscono evitarla finché la causa non è confermata

Raccomandazioni pratiche passo per passo

Prima di creare eccezioni

Esegui un controllo incrociato con uno scanner alternativo o con l’analisi offline del tuo AV.
Se il servizio continua a funzionare, non forzare whitelist permanenti: di frequente il problema rientra con gli aggiornamenti successivi.

Aggiornare e riavviare

Verifica aggiornamenti per Windows, per i client Microsoft (Outlook/Teams) e per l’antivirus.
Riavvia il PC dopo ogni aggiornamento: molte correzioni richiedono il reboot per attivarsi.

Segnalazione formale

Apri la funzione “Segnala falso positivo” dall’interfaccia del tuo AV o, se disponibile, usa il portale pubblico del vendor. Includi:

URL completo rilevato e messaggio (es. URL:Blacklist)
Versione del motore, versione firme e timestamp
Applicazione in uso (Outlook, Teams, Xbox app, Edge) e passaggi per riprodurre
Screenshot e log dell’evento

Monitorare comunicazioni ufficiali

Vendor AV e Microsoft pubblicano di norma note di rilascio o aggiornamenti sulle firme corrette. Un fix lato server o client viene in genere propagato nel giro di 24–48 ore, con variabilità legata a canale e geografia.

Alternative a breve termine

Accedi via webmail o da un dispositivo mobile se il desktop continua a presentare alert.
Esegui Microsoft Defender Offline o un altro scanner on‑demand per escludere infezioni reali.

Playbook decisionale

L’alert impedisce l’uso? Se no, evita whitelist e attendi l’aggiornamento; se sì, passa al punto 2.
Il blocco è solo su PC Windows? Se altri device funzionano, concentrati su AV e cache locale.
Aggiornamenti e reboot eseguiti? Se no, aggiorna prima; se sì, vai al punto 4.
Test con Web Shield disattivato 10 minuti e successiva riattivazione: se il problema sparisce, probabile falso positivo.
Segnalazione al vendor con log completi; valuta eccezioni temporanee solo se indispensabili.

Ambienti aziendali

Se usi proxy, filtri DNS o ispezione TLS (SSL inspection), verifica con l’IT:

La catena certificati non viene sostituita o alterata in modo incompatibile con le policy del client.
I domini .onecdn.static.microsoft e .svc.static.microsoft non sono inclusi in liste di blocco generiche.
Le eccezioni di ispezione per CDN Microsoft sono configurate correttamente, se richieste.

Domande frequenti

Gli avvisi compaiono solo in Edge. È colpa del browser?

Non necessariamente. Gli AV integrano moduli che intercettano il traffico HTTPS di qualsiasi browser. Edge può solo rendere più frequenti le richieste verso i servizi Microsoft, esponendo l’anomalia più spesso.

Posso ignorare l’avviso?

Meglio evitare di ignorarlo in blocco. Conferma che sia un falso positivo (scanner di controllo, test temporaneo) e attendi la correzione delle firme. Se devi lavorare, usa eccezioni temporanee e rimuovile appena possibile.

Perché su iPad o su Android non vedo l’alert?

Il problema riguarda i moduli web shield degli antivirus su Windows. Altri sistemi usano stack di rete differenti e non caricano gli stessi driver/filtri, quindi l’alert non si presenta.

È sicuro aggiungere eccezioni agli URL indicati?

In generale sì, perché sono endpoint Microsoft legittimi. Tuttavia è preferibile farlo solo per test o come workaround temporaneo, rimuovendo poi le eccezioni dopo l’aggiornamento del vendor.

Checklist operativa

Aggiorna AV (motore + firme) e riavvia
Flush DNS e reset dello stack Winsock
Cancella cache del browser
Scansione offline per sicurezza
Segnalazione di falso positivo con log e screenshot
Eccezioni temporanee solo se indispensabili
Monitoraggio delle note del vendor

Appendice tecnica

Comandi utili

:: Esegui come Amministratore
ipconfig /flushdns
ipconfig /registerdns
netsh winsock reset

:: Verifica risoluzione
nslookup res.public.onecdn.static.microsoft
nslookup otelrules.svc.static.microsoft

:: Intestazioni HTTP (richiede Windows 10/11)
curl.exe -I [https://res.public.onecdn.static.microsoft/](https://res.public.onecdn.static.microsoft/)

Eventi e log da raccogliere

Versione dell’antivirus, versione definizioni e data/ora ultimo aggiornamento
Nome del modulo che ha bloccato l’URL (Web Shield, Online Threat Prevention, ecc.)
Processo chiamante (msedge.exe, outlook.exe, teams.exe, xboxapp.exe)
URL completo, categoria di blocco e ID evento
Rete in uso (azienda/casa/hotspot) e presenza di proxy o DNS filtranti

Conclusioni

Quando AVG, Avast o Bitdefender segnalano i domini res.public.onecdn.static.microsoft e otelrules.svc.static.microsoft durante l’uso di Outlook, Teams, Edge o Xbox, la spiegazione più probabile è un falso positivo legato a regole di reputazione o firme appena rilasciate. La strategia migliore è aggiornare l’AV, riavviare, eseguire controlli di sicurezza di base e segnalare il caso al vendor. Le eccezioni vanno usate solo come workaround temporaneo. Nella maggior parte dei casi, la situazione rientra con il normale ciclo di aggiornamenti, senza necessità di interventi invasivi o di riduzioni permanenti del livello di protezione.

Nota: questo articolo privilegia azioni sicure e reversibili, fornendo procedure differenziate per AVG/Avast e Bitdefender, indicazioni per contesti aziendali e una checklist rapida per minimizzare i tempi di inattività mantenendo alti gli standard di sicurezza.