Outlook et Hotmail rejettent des courriels de domaines sans DMARC

Depuis le 5 novembre 2026, la messagerie grand public de Microsoft refuse une partie des courriels venus de domaines sans enregistrement DMARC, un dispositif contre l’usurpation. Sont concernées les adresses Hotmail, Outlook.com, Live et MSN. L’expéditeur reçoit un avis de non-remise portant le code 550 5.7.1, la mention « Message lacks SPF/DKIM/DMARC Auth Records » et la référence AS9031519. Une association, une TPE ou un particulier qui écrit depuis son propre nom de domaine risque ainsi de ne plus joindre une partie de ses correspondants.

Microsoft n’a rien annoncé. Au 9 novembre 2026, l’éditeur n’avait publié ni cause, ni correctif, ni entrée dans son tableau d’état des services, relève SMTPedia, un site d’information spécialisé dans le courriel. L’alerte est venue des opérateurs de messagerie. D’après le site allemand DmarcDkim.com, des abonnés de la liste de discussion mailop, Fastmail et MailRoute ont signalé ces rejets pour leurs clients.

Le DNS, l’annuaire d’Internet qui relie les noms de domaine aux serveurs, sert aussi à lutter contre l’usurpation. Le Centre canadien pour la cybersécurité décrit trois enregistrements qui y contribuent. SPF liste les adresses IP à partir desquelles les courriels peuvent être envoyés au nom d’un domaine. DKIM authentifie chaque message par une signature cryptographique. DMARC est né des limites des deux premiers. Si sa validation échoue, le serveur de réception applique la politique publiée par le domaine expéditeur.

Au-delà des gros expéditeurs

Les règles publiées par Microsoft ne visent que les gros expéditeurs. Dans un billet d’avril 2025, l’éditeur exigeait SPF, DKIM et DMARC des domaines envoyant plus de 5 000 courriels par jour. Après le 5 mai 2025, leurs messages non conformes devaient être dirigés vers le dossier des indésirables. Le billet prévoyait ensuite de les rejeter, à une date restant à annoncer, avec le code 550 5.7.515.

Les rejets observés depuis le 5 novembre 2026 frappent aussi des domaines bien en deçà de ce seuil. Le 7 novembre, un spécialiste a supprimé l’enregistrement DMARC de plusieurs petits domaines, puis envoyé des messages de test : Outlook.com les a refusés avec l’erreur 550 5.7.1. Le blocage reste toutefois partiel. Un message vers une adresse Hotmail passe, le suivant revient, et un nouvel envoi peut réussir. Pour MailRoute, c’est cette incohérence qui rend le problème dangereux.

Ce blocage touche des expéditeurs ordinaires, à faible volume, pas seulement les expéditeurs en masse visés par les règles publiées par Microsoft.

Des signalements contradictoires

Les opérateurs qui ont examiné les domaines rejetés y ont trouvé un point commun : la plupart n’avaient aucun enregistrement DMARC. Sur le forum d’entraide de Microsoft, plusieurs utilisateurs assurent pourtant avoir été rejetés avec SPF, DKIM et DMARC en place. Engagor, éditeur d’un outil qui surveille l’acheminement des courriels, n’a pu vérifier aucun de ces cas. Les deux qu’il a examinés en détail n’avaient finalement pas d’enregistrement DMARC. Faute d’enregistrement, Microsoft 365 peut inscrire « dmarc=bestguesspass » dans l’en-tête du message, une réussite devinée qui rassure à tort.

Microsoft, de son côté, garde le silence. Sur son forum de questions et réponses, un modérateur a conseillé aux utilisateurs touchés de vérifier SPF, DKIM et DMARC du domaine expéditeur. Le 8 novembre 2026, Engagor notait que l’éditeur n’avait toujours pas reconnu l’existence du problème. La société ignore s’il s’agit d’une règle voulue ou d’une erreur, et si Microsoft reviendra en arrière.

SPF, DKIM, DMARC : ce qu’il faut vérifier

La parade est simple. Il suffit de publier, dans la zone DNS du domaine, un enregistrement de type TXT nommé _dmarc, avec pour valeur v=DMARC1; p=none. Ce réglage déclare que le domaine utilise DMARC et demande aux destinataires d’envoyer des rapports, sans rien exiger en cas d’échec. Dans tous les cas confirmés par Engagor, un enregistrement DMARC minimal a mis fin aux rejets. Le prestataire db8 conseille ensuite de lire ces rapports pendant quelques semaines avant de durcir la politique.

Encore faut-il que ce réglage repose sur une base solide. DMARC n’est validé que si SPF ou DKIM réussit pour le domaine qui figure dans l’adresse d’expédition. Les structures sous Microsoft 365 doivent y prêter attention. Tant que DKIM n’est pas activé pour leur propre domaine, le service signe avec onmicrosoft.com, et cette signature ne compte pas pour DMARC. Les autres outils qui écrivent au nom du domaine, comme une lettre d’information, un logiciel de gestion des contacts ou d’assistance, ont eux aussi besoin de DKIM.

Pour une association, une TPE ou un particulier doté d’un nom de domaine, le réglage se fait chez le bureau d’enregistrement ou l’hébergeur DNS. Nous conseillons ensuite d’envoyer un message de test vers une adresse Outlook.com, puis de lire son en-tête Authentication-Results, qui détaille chaque vérification. Les courriels importants refusés, comme les factures ou les confirmations de commande, sont à renvoyer une fois l’enregistrement publié. Ceux qui hébergent leur propre serveur, par exemple avec Stalwart, ont les mêmes vérifications à faire. Nous pouvons y aider, dans la mesure de nos disponibilités.