if ( !emtpy($headline_subheadline ) ) : ?>
Un filtrage incohérent, qu’il s’agisse d’un bogue ou d’un changement de politique, renvoie les messages légitimes envoyés à Outlook, Hotmail et d’autres comptes grand public Microsoft, avec des messages d’erreur citant une authentification de courrier électronique manquante ou échouée.
endif; ?>
Les filtres de messagerie de Microsoft destinés à protéger les utilisateurs contre les messages malveillants semblent rejeter les messages légitimes.
Au cours des derniers jours, certains courriers envoyés à des adresses de consommateurs Microsoft ont été rejetés s’ils n’avaient pas publié d’enregistrement d’authentification, de reporting et de conformité des messages basé sur le domaine (DMARC). Cela inclut les messages vers Outlook, Hotmail, Live et MSN.
Les refus ont commencé le 5 novembre et se poursuivent au moment de la publication. Microsoft n’a pas annoncé de changement de politique et n’a pas publié d’avis de postmaster, d’entrée sur l’état du service ou tout autre article de blog.
Le problème peut indiquer qu’un changement de politique et un bug peuvent tous deux être en jeu, a noté Frank Dickson de Dickson Research.
« Exiger que chaque domaine d’envoi prouve qu’il est bien celui qu’il prétend être rend le courrier électronique plus sûr », a-t-il souligné. « Le faire sans préavis, avec un message d’erreur pointant vers le mauvais problème, crée un gâchis. »
Problèmes d’envoi intermittents
DMARC est destiné à protéger contre l’usurpation d’identité, le phishing et la compromission de la messagerie professionnelle. Microsoft a mis en place depuis mai 2025 une règle exigeant le DMARC, mais uniquement pour les domaines envoyant plus de 5 000 messages par jour aux boîtes aux lettres des consommateurs.
Mais depuis le 5 novembre, le courrier provenant de petits expéditeurs ordinaires, plutôt que d’expéditeurs en masse, a été renvoyé en raison du manque de DMARC, de Sender Policy Framework (SPF) ou de DomainKeys Identified Mail (DKIM). Les expéditeurs ont reçu des rapports de non-remise (NDR) citant des erreurs 550 5.7.1 ou 550 5.7.23, mais le font de manière incohérente ; certains messages passent tandis que d’autres sont rejetés.
Par exemple, un utilisateur a signalé ce message d’erreur sur le forum de la communauté Microsoft :
Un autre utilisateur a signalé le même problème, ajoutant : « Certains e-mails fonctionnent correctement et d’autres renvoient des erreurs avec un échec SPF. » Ajoutant à la confusion, certains domaines renvoyés auraient des SPF, DKIM et DMARC fonctionnels.
Un modérateur externe de Microsoft a qualifié cela de « dégradation du service » qui fait actuellement l’objet d’une enquête active.
Selon la société de sécurité de messagerie MailRoute, les entreprises peuvent déterminer si leur domaine est impacté par cette commande sur n’importe quel terminal (en remplaçant exemple.com par leur domaine) : . Une réponse commençant par signifie qu’il existe un enregistrement DMARC ; aucune réponse signifie qu’il n’y en a pas, a déclaré MailRoute.
Le correctif est un seul enregistrement TXT :; . Cela déclare qu’un domaine utilise DMARC et demande aux destinataires d’envoyer des rapports, mais cela leur dit de ne prendre aucune mesure en cas d’échec, a expliqué MailRoute.
DMARC visait à rendre l’usurpation d’identité difficile
DMARC s’appuie sur deux outils fondamentaux d’authentification de messagerie qui doivent être actifs sur un domaine : SPF et DKIM.
SPF vérifie si l’adresse IP du serveur d’envoi est autorisée à envoyer des e-mails au nom d’un domaine, tandis que DKIM ajoute une signature cryptographique au message pour prouver qu’il n’a pas été modifié en cours de route et qu’il appartient réellement au domaine d’où il prétend provenir.
DMARC vérifie les deux, identifiant si le domaine répertorié sur l’adresse « de » correspond aux domaines validés. Il lie ces chèques au nom que le lecteur voit réellement et indique aux destinataires quoi faire des contrefaçons, a expliqué Dickson.
« Sans cela, usurper l’identité de votre domaine est facile », a-t-il déclaré. « C’est là que commencent de nombreuses tentatives de phishing et de compromission des courriers électroniques professionnels. »
Mais comme Microsoft, du moins jusqu’à présent, n’a exigé le DMARC que pour les expéditeurs plus importants, ce n’est pas une norme généralisée ; De nombreux petits expéditeurs ont raisonnablement conclu que cela ne s’appliquait pas à eux, a noté Dickson. Cela inclut les PME, les organisations à but non lucratif, les écoles et les cabinets professionnels tels que les cabinets d’avocats, les comptables et les cabinets de médecins fonctionnant sur des domaines que « quelqu’un a créé il y a des années et que personne n’a touché depuis ».
Les grandes organisations manquent de DMARC sur les domaines secondaires, les domaines régionaux et les sous-domaines à partir desquels leurs plateformes de marketing et de facturation envoient des envois pour des raisons banales. Personne ne possède le système de noms de domaine (DNS) et « les gens craignent de pirater le courrier légitime envoyé par des tiers », a déclaré Dickson.
Échec silencieux et incohérent
Comme l’a souligné MailRoute, ce qui rend ce dysfonctionnement particulier si dangereux est son incohérence : la personne qui a envoyé le message voit un rebond « plein d’acronymes, suppose un problème et passe à autre chose ». Pendant ce temps, le client ne sait jamais qu’un message a été envoyé.
Il échoue discrètement, ce qui constitue « le fléau de l’existence d’un spécialiste du marketing par courrier électronique », a déclaré Dickson. Les clients, les patients, les candidats à un emploi et autres utilisent Hotmail, Outlook, Live et MSN, et lorsque des factures, des réinitialisations de mot de passe, des confirmations de rendez-vous et des lettres d’offre disparaissent, le client pense qu’il est ignoré, pas nécessairement que le message ne passe pas.
La bonne nouvelle est que les échecs sont détectables, a-t-il souligné. Chaque rejet génère un rebond, et les rebonds sont enregistrés. Les entreprises doivent rechercher dans les journaux de courrier, les rapports de rebond des plateformes de messagerie et les tickets du service d’assistance les entrées citant « » depuis le 5 novembre.
Ensuite, renvoyez d’abord ce qui compte, le courrier transactionnel urgent.
À partir de là, corrigez la cause en confirmant que chaque domaine envoyant du courrier lorsque vous publiez un enregistrement DMARC, a conseillé Dickson. S’il en manque un, un enregistrement de surveillance de base (p = aucun) arrête ces rebonds sans changer la façon dont quelqu’un d’autre traite votre courrier, à condition que SPF ou DKIM s’aligne sur le domaine.
Les clients Microsoft 365 qui n’ont jamais activé DKIM pour leurs propres domaines devraient le faire maintenant, a-t-il conseillé. « Ne réécrivez pas le SPF simplement parce que le rebond le blâme », a-t-il déclaré. Si vos enregistrements sont vierges et que le courrier rebondit toujours, envoyez le rebond complet à Microsoft afin qu’il soit intégré à l’enquête.
Cependant, un record est « le premier but, pas le marbre », a-t-il déclaré. L’objectif est d’indiquer aux destinataires de refuser que quiconque falsifie votre nom.
Inventoriez tous les services qui envoient des e-mails à votre place, a conseillé Dickson : le CRM, le système de facturation, la plateforme RH et les outils marketing. « La plupart des organisations ne peuvent pas produire cette liste », a-t-il souligné. « Vous ne pouvez pas protéger un domaine si vous ne savez pas qui en parle. »
Un signal de ce qui est à venir
Même s’il reste à déterminer la cause de ce problème, les entreprises ne devraient pas se tromper sur la direction que prennent les choses, a déclaré Dickson : DMARC sera appliqué à chaque expéditeur. Google et Yahoo ont commencé à l’exiger des expéditeurs de masse en février 2024 ; Microsoft a suivi en mai 2025.
« Les exigences commencent par les gros expéditeurs et deviennent ensuite la base pour tout le monde », a-t-il déclaré. « Le déploiement a été bâclé, mais la destination ne fait aucun doute. » Mais même si Microsoft a la bonne destination, « personne ne devrait connaître une nouvelle règle à partir d’un message de rebond ».
