Outlook.com rejette certains e-mails provenant de domaines ne disposant pas d'enregistrement DMARC

Nouvelles de l'écosystèmePerspectives en matière de sécurité

Si les e-mails que vous envoyez à des adresses outlook.com ou Hotmail sont rejetés, vérifiez si votre domaine d'envoi publie un enregistrement DMARC. Depuis le 5 novembre, le service de messagerie grand public de Microsoft rejette certains messages provenant de domaines qui n'en publient pas.

Le message d'erreur indique :

550 5.7.1 – « Message rejeté : le message ne contient pas d'enregistrements d'authentification SPF/DKIM/DMARC (AS9031519) »

Vous pouvez également le voir sans le code à la fin :

550 5.7.1 – « Message rejeté : le message ne contient pas d'enregistrements d'authentification SPF/DKIM/DMARC »

Ce que nous savons à ce jour

• Les messages renvoyés concernent les e-mails envoyés à des adresses outlook.com, hotmail.com, live.com et msn.com lorsque le domaine expéditeur ne dispose pas d'enregistrement DMARC.
• Des domaines dont les configurations SPF et DKIM fonctionnent correctement ont également renvoyé des messages, et seuls certains messages échouent.
• Sur un fil de discussion de Microsoft Q&A, des utilisateurs signalent que des e-mails provenant d'expéditeurs utilisant plusieurs fournisseurs différents ont été rejetés, mais que certains d'entre eux sont finalement arrivés lorsque l'expéditeur a réessayé.
• Seule la version grand public d'Outlook semble concernée : un domaine ne comportant pas d'enregistrement DMARC a été rejeté par Outlook.com, mais accepté par une adresse professionnelle Microsoft 365.
• Les petits expéditeurs sont concernés, bien que la règle publiée par Microsoft ne s'applique qu'aux expéditeurs envoyant au moins 5 000 messages par jour.

En quoi cela diffère-t-il du rebond 5.7.515 ?

L'ancienne règle de Microsoft pour Outlook.com s'applique aux expéditeurs envoyant au moins 5 000 messages par jour ; ceux qui n'atteignent pas ce seuil reçoivent un message d'échec 550 5.7.515. Ce message indique que le domaine d'origine ne respecte pas le niveau d'authentification requis et peut mentionner les résultats des vérifications SPF, DKIM et DMARC pour le message concerné. Le nouveau message d'échec se contente de signaler que des enregistrements d'authentification sont manquants ; il n'indique donc pas quelle vérification a échoué.

Ce qu'a déclaré Microsoft

Au 9 novembre 2026, Microsoft a reconnu que ce problème persistant constituait une dégradation du service et qu'il faisait l'objet d'une enquête. Microsoft n'a ni annoncé ni confirmé ce changement. Au 9 novembre, l'entreprise n'avait publié aucun avis du responsable de la messagerie, aucun article de blog ni aucune mise à jour sur l'état du service, et rien n'était apparu à cette date.

Sur un fil de discussion de Microsoft Q&A, un modérateur a indiqué le 7 novembre que les contributeurs du forum n’étaient pas en mesure de confirmer si ces signalements avaient été transmis à l’équipe de protection de la messagerie Outlook.com de Microsoft. Le modérateur a recommandé aux personnes concernées d’envoyer leurs messages de rejet au service d’assistance d’Outlook.com, et a expliqué à un utilisateur que les rejets intermittents sur deux comptes provenant d’expéditeurs utilisant des fournisseurs différents indiquaient qu’il s’agissait d’un problème plus large qu’un simple problème de configuration évident au niveau du domaine de l’expéditeur. 

Cela laisse penser que ce problème est dû à un bug et non à une modification délibérée de leurs exigences en matière de DMARC. Ils n'ont pas encore donné plus de détails sur la cause profonde du problème. 

Que faire ?

Publiez un enregistrement DMARC pour chaque domaine à partir duquel vous envoyez des e-mails. L'assistant de création d'enregistrements DMARC de dmarcian vous guide tout au long du processus de création, et p=none constitue la politique de base à adopter. Cet outil fait partie de notre suite d’outils gratuits et ne nécessite pas de création de compte. Deux contributeurs d’un fil de discussion Microsoft Q&A indiquent que l’ajout d’un enregistrement DMARC a mis fin aux messages de rebond.

Associez cet enregistrement à un compte dmarcian gratuit afin de pouvoir commencer à identifier les expéditeurs qui envoient des e-mails au nom de votre domaine.

Les vérifications SPF ou DKIM doivent tout de même être validées et correspondre au domaine « De », c'est-à-dire que le domaine utilisé pour l'authentification doit correspondre à celui figurant dans votre adresse « De ». La vérification DMARC n'est validée que si l'une de ces deux vérifications l'est.

Si vous êtes le destinataire du message, un modérateur de Microsoft Q&A explique qu’une adresse outlook.com personnelle n’a pas besoin de ses propres enregistrements DMARC, car Microsoft gère les enregistrements DNS du domaine outlook.com. Le modérateur ajoute que le rejet concerne très probablement le domaine de l’expéditeur et qu’ajouter ce dernier à la liste des « Expéditeurs approuvés » n’aura sans doute aucun effet, puisque le message est rejeté avant même d’atteindre votre boîte de réception. Le modérateur conseille de demander à l’expéditeur de transmettre le message de rejet complet à son administrateur de messagerie ou à son fournisseur d’accès, afin qu’il puisse vérifier la configuration SPF, DKIM et DMARC du domaine.

Ne laissez pas votre politique DMARC en suspens à p=none

Une p=none politique respecte les exigences minimales de Microsoft pour les expéditeurs en masse, et c’est un premier pas dans la bonne direction, car elle génère des rapports sans modifier la façon dont les destinataires traitent vos e-mails. Elle demande aux destinataires de ne prendre aucune mesure concernant les e-mails qui ne respectent pas les règles DMARC ; par conséquent, les e-mails usurpés envoyés en votre nom continuent d’arriver dans les boîtes de réception. La démarche habituelle consiste ensuite à consulter vos rapports, à corriger les problèmes des expéditeurs légitimes qui ne respectent pas les règles, puis à p=quarantine puis p=reject.

Les exigences des fournisseurs de messagerie se sont durcies par étapes, et chacune d'entre elles a entraîné le rejet des e-mails provenant d'expéditeurs qui n'étaient pas prêts. Gmail et Yahoo ont mis en place des règles relatives aux expéditeurs en masse en février 2024, tandis que Microsoft a annoncé les siennes pour Outlook.com en avril 2025 ; le 5 novembre 2026, Outlook.com a commencé à rejeter certains e-mails provenant de domaines ne disposant pas d'enregistrement DMARC, y compris ceux des petits expéditeurs. 

Sur le plan réglementaire, la norme PCI DSS 4.0 impose une protection contre le phishing depuis le 31 mars 2025 (exigence 5.4.1), et ses lignes directrices citent DMARC comme exemple de mesure de contrôle. 

Au sein de l'UE, la directive NIS2 impose aux fournisseurs de services cloud et de services gérés de se conformer aux normes modernes en matière de sécurité des e-mails ; les recommandations de l'Agence de l'Union européenne chargée de la cybersécurité (ENISA) citent notamment le protocole DMARC comme exemple de ces normes.

Cet article reflète l'état des connaissances au 9 novembre 2026.

---

Vous souhaitez poursuivre la conversation ? Rendez-vous sur le Forum dmarcian.