Office activeren mislukt met fout 0xC004F074: oplossing

Fout 0xC004F074 betekent: geen KMS-server bereikbaar

Fout 0xC004F074 is een activeringsfout die de Software Licensing Service teruggeeft wanneer Office geen Key Management Service (KMS) kon bereiken. KMS is een activeringsserver die veel organisaties in hun eigen netwerk draaien om Office en Windows in bulk te activeren, zonder dat elke pc apart met Microsoft praat. Kan de client die server niet vinden of niet vertrouwen, dan stopt de activering met deze code.

De melding hoort bij volumelicenties: Office 2016, 2019, 2021 en de LTSC-uitgaven die via een bedrijfsovereenkomst zijn uitgerold. Op een thuis-pc met Microsoft 365 of een retail-versie zie je hem zelden, omdat die via internet activeren met een Microsoft-account of productsleutel. De code wijst dus zelden op een kapotte sleutel en bijna altijd op een verbindings-, tijd- of naamresolutieprobleem tussen de client en de KMS-host.

Het is nuttig om te weten dat KMS-activering periodiek wordt vernieuwd: een KMS-client verlengt zijn activering ongeveer elke 180 dagen. Duikt de fout op een machine op die eerder wel werkte, dan is er waarschijnlijk niets mis met de sleutel, maar lukt de periodieke vernieuwing niet omdat de host tijdelijk onbereikbaar is. Dat verklaart waarom Office maandenlang goed werkte en dan opeens om activering vraagt.

Deze oorzaken zitten bijna altijd achter de fout

Vier oorzaken verklaren het overgrote deel van de gevallen. Loop ze in gedachten langs voordat je begint, want ze bepalen welke stap je als eerste zet.

• Tijdverschil: de systeemklok van de pc wijkt meer dan vier uur af van de KMS-host. De host weigert de activering dan, omdat de tijdstempels niet matchen.
• DNS vindt de KMS-host niet: KMS-clients zoeken de server automatisch via een SRV-record (_vlmcs._tcp) in DNS. Ontbreekt of faalt dat record, dan is de host onvindbaar.
• Poort 1688 geblokkeerd: een firewall of antivirus blokkeert het uitgaande verkeer naar de KMS-host op de standaardpoort.
• KMS-host zelf niet beschikbaar: de server staat uit, of heeft nog niet genoeg unieke clients geteld om te mogen activeren (KMS heeft een minimumdrempel).

De eerste drie oorzaken los je zelf op aan de clientkant. De vierde vraagt actie van de beheerder van de KMS-host. Begin daarom altijd met de tijd, omdat dat de meest voorkomende en snelst te controleren oorzaak is. Werkt dat niet, ga dan verder met DNS en de firewall voordat je bij de beheerder aanklopt.

Een vijfde, minder vaak genoemde oorzaak is een laptop die van netwerk wisselt. Een apparaat dat op kantoor probleemloos activeerde, kan thuis of op een openbaar netwerk de interne KMS-host niet meer bereiken. De activering lijkt dan opeens kapot, terwijl er niets aan de installatie is veranderd. In zo'n geval is de oplossing simpelweg opnieuw verbinden met het bedrijfsnetwerk, niet aan de instellingen sleutelen.

Synchroniseer eerst de systeemtijd

Omdat een tijdverschil de meest voorkomende trigger is, begin je daar. Open Instellingen > Tijd en taal > Datum en tijd en zet zowel "Tijd automatisch instellen" als "Tijdzone automatisch instellen" aan. Klik daarna op Nu synchroniseren. Let ook op de tijdzone: een pc met de juiste kloktijd maar de verkeerde zone kan alsnog buiten de marge van vier uur vallen en de activering laten mislukken.

Lukt het synchroniseren via Instellingen niet, forceer het dan via de opdrachtprompt met beheerdersrechten:

net stop w32time
net start w32time
w32tm /resync

De opdracht w32tm /resync haalt de tijd opnieuw op bij de geconfigureerde tijdserver. In een domein synchroniseert de pc met de domeincontroller; op een losse machine met een internettijdserver zoals time.windows.com. Controleer daarna of datum, tijd en tijdzone kloppen en probeer Office opnieuw te activeren. Vaak is de fout hiermee al weg, omdat de host de client nu wel vertrouwt.

Let op de knoopcelbatterij bij een oudere desktop. Een lege batterij op het moederbord zet de klok bij elke herstart terug naar een datum ver in het verleden, waardoor het tijdverschil telkens terugkeert en de activering blijft mislukken. Loopt de klok na elke herstart weer weg, dan is die batterij vervangen de echte oplossing, niet het handmatig bijstellen van de tijd.

Leeg de DNS-cache en controleer de KMS-host

Vindt de client de KMS-server niet, dan helpt het legen van de DNS-cache en het controleren van het SRV-record. Een verouderde cache kan naar een oude of verkeerde host verwijzen die inmiddels is vervangen. Open de opdrachtprompt als beheerder.

ipconfig /flushdns
nslookup -type=srv _vlmcs._tcp

De eerste opdracht wist verouderde DNS-vermeldingen. De tweede vraagt het SRV-record op dat naar de KMS-host verwijst. Krijg je een servernaam en poort 1688 terug, dan is de host in DNS bekend en ligt het probleem waarschijnlijk bij de tijd of de firewall. Komt er niets terug, dan moet je de KMS-host handmatig instellen (zie de volgende sectie) of het DNS-probleem met je beheerder oplossen.

Test daarna of je de host echt kunt bereiken. Een pingtest zegt weinig omdat ICMP vaak geblokkeerd is, maar de activering via ospp.vbs geeft in /dstatus de laatste foutcode terug, waarmee je ziet of de verbinding tot stand kwam of stukliep. Zo weet je of het aan de naamresolutie of aan het netwerkpad ligt.

Stel de KMS-host in en activeer met ospp.vbs

Office bevat een script, ospp.vbs, waarmee je de licentiestatus bekijkt en de activering stuurt. Open de opdrachtprompt als beheerder en ga naar de Office-map. De mapnaam hangt af van je versie; Office16 geldt voor Office 2016 tot en met 2021.

cd "C:\Program Files\Microsoft Office\Office16"

cscript ospp.vbs /dstatus              :: huidige licentiestatus tonen
cscript ospp.vbs /sethst:kms.bedrijf.nl :: KMS-host handmatig instellen
cscript ospp.vbs /act                  :: activeren

Gebruik je een 64-bits Office op 64-bits Windows, dan staat de map onder C:\Program Files. Bij een 32-bits Office op 64-bits Windows staat hij onder C:\Program Files (x86). Met /dstatus zie je of de sleutel als KMS-client is geregistreerd en wat de laatste foutcode was. Met /sethst wijs je de juiste server aan als DNS die niet automatisch levert. Klopt de host, dan slaagt /act en verandert de status in Licensed.

Wil je een verkeerd ingestelde host wissen, gebruik dan cscript ospp.vbs /remhst, zodat de client weer automatisch via DNS zoekt. Ken je de exacte KMS-hostnaam niet, vraag die dan bij je beheerder op; gokken op een naam levert alleen een nieuwe foutcode op. Microsoft beschrijft de foutcode en de KMS-context in de officiele documentatie over fout 0xC004F074.

Lees de uitvoer van /dstatus aandachtig. De regel LICENSE STATUS toont of Office is geactiveerd (Licensed) of niet, en onderaan staat de laatste foutcode. Zie je daar 0xC004F074 terugkomen, dan wist de client de host wel te benaderen maar mislukte de activering, wat opnieuw naar een tijd- of drempelprobleem wijst. Draai je meerdere Office-producten, gebruik dan cscript ospp.vbs /dstatusall om de status van alle geinstalleerde licenties in een keer te zien.

Geef poort 1688 vrij in firewall en antivirus

Zelfs met een correct SRV-record en een gelijke tijd faalt de activering als het netwerkverkeer wordt geblokkeerd. KMS-communicatie loopt standaard over TCP-poort 1688. Een strikte firewall, een VPN-beleid of een antivirusprogramma met netwerkbescherming kan die poort dichtzetten, waardoor de client de host wel kent maar niet kan bereiken.

• Sta uitgaand TCP-verkeer op poort 1688 naar de KMS-host toe in de Windows Defender Firewall.
• Controleer of een externe firewall of proxy het verkeer tussen client en host niet blokkeert.
• Schakel tijdelijk de netwerkbescherming van een antivirusprogramma uit om te testen of dat de boosdoener is, en zet die daarna weer aan.

Werk je thuis maar hoor je op een bedrijfsnetwerk te zitten, dan bereikt de client de interne KMS-host niet, want die is meestal alleen binnen het bedrijfsnetwerk zichtbaar. Maak in dat geval eerst verbinding met het bedrijfsnetwerk of de VPN en activeer daarna opnieuw.

Controleer of je wel een volumelicentie hebt

Zie je deze fout op een thuis-pc, dan is er waarschijnlijk een verkeerde installatievariant of sleutel gebruikt. Een retail- of Microsoft 365-installatie hoort nooit een KMS-server nodig te hebben. De tabel maakt het onderscheid duidelijk.

Blijkt dat je eigenlijk een retail-product hebt, verwijder dan de KMS-installatie en installeer Office opnieuw vanuit je Microsoft-account of met de retail-sleutel. Een MAK-sleutel activeert wel online, dus daarvoor kun je met ospp.vbs de sleutel invoeren en rechtstreeks bij Microsoft activeren. Wil je weten welke variant het beste bij je past en hoe activering in de basis werkt, lees dan wat software-activering inhoudt en de vergelijking tussen Microsoft 365 en Office 2021.

Snelle checklist voor fout 0xC004F074

Werk de stappen af in volgorde. In de meeste netwerken is de fout na het tijd- en DNS-herstel verdwenen.

1. Systeemtijd, datum en tijdzone op automatisch zetten en synchroniseren.
2. DNS-cache legen met ipconfig /flushdns.
3. KMS-SRV-record controleren met nslookup -type=srv _vlmcs._tcp.
4. Poort 1688 vrijgeven in firewall en antivirus.
5. Licentiestatus bekijken met cscript ospp.vbs /dstatus.
6. KMS-host desnoods handmatig instellen en activeren met /sethst en /act.
7. Controleren of het wel een volumelicentie is; anders opnieuw installeren als retail of Microsoft 365.

Blijft de fout ondanks alle stappen bestaan, dan ligt het bij de KMS-host zelf. Meld dat bij je systeembeheerder met de foutcode en de uitkomst van /dstatus, zodat die de server kan controleren op beschikbaarheid en het clientaantal.