Destinataires difficiles : Microsoft et T-Online

Module 6: Bounces et résolution de problèmes · Temps de lecture : 11 minutes

Objectif de la leçon : à l'issue de cette leçon, vous connaîtrez les règles propres à deux destinataires qui posent souvent question, Microsoft (Outlook.com, Hotmail et Microsoft 365) et T-Online, et vous saurez ce que vous pouvez faire, en tant qu'utilisateur et en tant que gestionnaire d'un serveur d'envoi, en cas de retard ou de blocage.

Notions clés : Outlook.com et Exchange Online Protection, nouvelle adresse IP sans réputation, 451 4.7.500 Server busy, 550 5.7.606 banned sending IP, portail de retrait de liste sender.office.com, SNDS, JMRP, dossier Courrier indésirable, expéditeurs sûrs, T-Online, système de réputation propre, forward-confirmed reverse DNS, coordonnées sur le site web du domaine PTR, pas de liste blanche, postmaster.t-online.de

Pourquoi justement ces deux-là ?

Microsoft reçoit le courrier d'Outlook.com, de Hotmail et de Live.com, ainsi qu'une grande partie du courrier des entreprises (via Microsoft 365, avec Exchange Online Protection comme filtre). T-Online est le plus grand service de messagerie d'Allemagne. Tous deux utilisent, en plus des normes habituelles, un système de réputation qui leur est propre. Un courrier qui arrive sans problème chez Gmail peut être retardé ou refusé chez eux. Quiconque a des clients ou des contacts en Allemagne, ou envoie beaucoup de courrier vers des adresses Hotmail, finit tôt ou tard par rencontrer cette situation.

Microsoft : ralentissement temporaire avec le code 4.7.500

Le message le plus connu de Microsoft est le suivant :

451 4.7.500 Server busy. Please try again later from [203.0.113.25]. (AS843)

Le texte indique « serveur occupé », mais ce n'est pas exact : il s'agit d'un ralentissement délibéré. Microsoft utilise cette série de codes (4.7.500 à 4.7.699) lorsqu'une adresse IP d'envoi n'a encore que peu de réputation, ou lorsque le comportement change soudainement, par exemple en cas de forte hausse du nombre d'e-mails. Microsoft décrit lui-même cela comme une restriction temporaire destinée à évaluer une activité suspecte, qui est levée automatiquement si le courrier s'avère conforme.

Qu'est-ce que cela signifie pour vous ?

• Il s'agit d'une erreur temporaire (4xx). Le serveur d'envoi conserve le message et réessaie. Le plus souvent, le courrier finit par arriver après une ou plusieurs tentatives, parfois après plusieurs heures.
• Si vous recevez un message de report, ne renvoyez pas le courrier. Cela augmente le volume et aggrave le ralentissement.
• Si cela pose problème pour vous (par exemple pour des codes de connexion ou des factures qui doivent arriver immédiatement), signalez-le à votre fournisseur en joignant le message de report.

Ce que le gestionnaire du serveur d'envoi peut faire :

1. Vérifier que les bases sont correctes : PTR avec FCrDNS, absence de liste de blocage, SPF et DKIM pour les domaines qui envoient du courrier via le serveur (leçon 5.1 et 5.2).
2. Faire chauffer l'adresse IP : laisser une nouvelle adresse IP envoyer d'abord une part réduite du trafic, puis augmenter progressivement.
3. Limiter le rythme par destinataire : réduire le nombre de connexions simultanées vers Microsoft et respecter un délai raisonnable entre les tentatives, afin que le serveur ne se heurte pas sans cesse au frein.
4. S'inscrire à SNDS et JMRP (voir ci-dessous).

Microsoft : blocage avec le code 5.7.606

Si l'adresse IP est réellement bloquée, vous recevez une erreur définitive :

550 5.7.606 Access denied, banned sending IP [203.0.113.25]. To request removal from this list please visit https://sender.office.com/ and follow the directions.

Cela se produit pour le courrier envoyé vers des environnements Microsoft 365. Le gestionnaire de l'adresse IP peut demander son retrait via le portail de retrait de liste sender.office.com : il faut renseigner l'adresse e-mail et l'adresse IP, ouvrir l'e-mail de confirmation et y choisir « Delist IP ». Selon Microsoft, il peut ensuite s'écouler jusqu'à 24 heures avant que le blocage ne soit levé. Résolvez cependant d'abord la cause : une adresse IP qui recommence à envoyer du spam après son retrait se retrouve rapidement sur la liste de nouveau.

Pour Outlook.com et Hotmail (le côté grand public), le retrait se fait via un formulaire distinct du service d'assistance aux expéditeurs de Microsoft. Il n'existe pas de liste blanche manuelle chez Microsoft : il s'agit toujours d'un système de réputation automatique.

Microsoft : SNDS et JMRP

Microsoft propose deux services gratuits aux gestionnaires d'une adresse IP d'envoi :

• SNDS (Smart Network Data Services) : pour chaque adresse IP, vous voyez combien de courrier Microsoft a reçu, quelle proportion a été jugée comme spam, combien de plaintes il y a eu, et si l'adresse s'est retrouvée dans des pièges à spam. Un code couleur (vert, jaune, rouge) indique l'état.
• JMRP (Junk Mail Reporting Program) : lorsqu'un utilisateur d'Outlook.com marque votre courrier comme indésirable, vous recevez une copie. Vous voyez ainsi quel courrier suscite des plaintes.

Ces deux services ne sont utiles qu'à ceux qui gèrent eux-mêmes une adresse IP : un serveur propre, ou le fournisseur d'un serveur mutualisé. En tant qu'utilisateur ordinaire d'un pack d'hébergement ou d'un service de messagerie, vous ne vous y inscrivez pas vous-même.

Microsoft : dans le dossier Courrier indésirable

Souvent, le courrier n'est pas refusé mais placé dans le dossier Courrier indésirable, surtout s'il vient d'expéditeurs que Microsoft ne connaît pas encore. Dans ce cas, les codes d'erreur ne sont d'aucune aide, car il n'y a pas de bounce. Ce qui fonctionne :

• SPF, DKIM et DMARC correctement configurés (module 4). Si vous êtes expéditeur en volume, Microsoft exige que SPF ET DKIM réussissent tous les deux (leçon 5.3).
• Demandez à vos contacts habituels d'ajouter votre adresse à leurs contacts ou expéditeurs sûrs, et de marquer comme « Non indésirable » le courrier qui se trouvait dans le dossier Indésirable. Cela compte pour la réputation.
• Pas de newsletters envoyées via votre boîte mail habituelle (leçon 7.1).

T-Online : un système propre

T-Online (le service de messagerie de Deutsche Telekom, avec des adresses en @t-online.de et @magenta.de) est connu pour ses règles propres très strictes. La page postmaster postmaster.t-online.de indique les exigences imposées aux serveurs d'envoi. Les principales :

1. Respecter les normes Internet, dont les RFC relatives au SMTP et à la structure des messages, et le forward-confirmed reverse DNS (leçon 5.1).
2. Le nom figurant dans le reverse DNS doit mener à un domaine disposant d'un site web indiquant comment joindre directement le gestionnaire. T-Online renvoie à ce sujet à la directive européenne sur le commerce électronique (directive 2000/31/CE, article 5) concernant les informations obligatoires d'un prestataire de services. En Allemagne, une telle page s'appelle l'Impressum.
3. Pas de courrier envoyé directement depuis des adresses dynamiques, des connexions d'accès à distance ou des serveurs cloud « anonymes » : ce courrier doit transiter par un relais d'un fournisseur adapté.
4. Limiter le nombre de connexions simultanées. Au-delà d'un certain seuil, vous recevez 421 Maximum parallel connections for your IP-Address reached.
5. Pas de relais ouvert, filtrage du courrier sortant contre le spam et les virus, et certificat valide pour le TLS.

Un blocage d'adresse IP se présente par exemple ainsi chez T-Online :

554 IP=203.0.113.25 - A problem occurred. (Ask your postmaster for help or to contact tosa@rx.t-online.de to clarify.)

En pratique, vous rencontrerez aussi des variantes faisant référence à une réputation mauvaise ou absente. Le message est toujours le même : cette adresse IP n'est pas autorisée à délivrer du courrier pour le moment.

T-Online : que pouvez-vous faire ?

T-Online indique explicitement qu'il n'offre pas de liste blanche. Une adresse bloquée peut toutefois être libérée une fois la cause éliminée. La marche à suivre :

• En tant qu'utilisateur ordinaire (vous envoyez votre courrier via un pack d'hébergement ou un service de messagerie) : transmettez le bounce complet à votre fournisseur. Seul le gestionnaire du serveur d'envoi peut contacter T-Online ; vous ne pouvez pas faire lever vous-même le blocage de l'adresse IP.
• En tant que gestionnaire du serveur d'envoi : vérifiez d'abord les exigences ci-dessus (PTR, FCrDNS, un site web accessible avec des coordonnées sur le domaine issu du PTR, absence de liste de blocage), puis contactez l'adresse indiquée dans le message d'erreur ou utilisez le formulaire de contact sur postmaster.t-online.de. En cas de blocages temporaires récurrents sans cause connue, T-Online mentionne l'adresse postmaster. Ne comptez pas sur un accusé de réception.
• À court terme : le courrier destiné à un destinataire important chez T-Online peut temporairement passer par une autre voie (un autre fournisseur ou service d'envoi), ou vous convenez d'une autre adresse.

Et les autres ?

D'autres grands services allemands, comme GMX et Web.de, ainsi que de nombreux filtres d'entreprise, disposent également de systèmes de réputation propres. Le schéma est partout le même : un serveur d'envoi avec un PTR correct, une bonne authentification, un rythme d'envoi régulier et peu de plaintes passe pratiquement partout. En cas de problème, lisez le bounce, recherchez le code auprès de la partie qui l'a émis, et laissez le gestionnaire du serveur d'envoi agir.

Résumé

• 451 4.7.500 Server busy de Microsoft est un ralentissement délibéré et temporaire de l'adresse IP, souvent lié à une faible réputation ou à une forte hausse de volume. Ne renvoyez pas le courrier.
• 550 5.7.606 signifie que l'adresse IP est bloquée ; le gestionnaire demande son retrait via sender.office.com, après avoir résolu la cause.
• SNDS et JMRP donnent aux gestionnaires d'une adresse IP un aperçu de leur réputation chez Microsoft.
• T-Online exige notamment le FCrDNS et un site web avec des coordonnées sur le domaine issu du PTR, et n'offre pas de liste blanche.
• En tant qu'utilisateur, vous ne pouvez pas résoudre cela vous-même : transmettez le bounce complet à votre fournisseur.

Quiz

Exercice

Exercice O6.4: Résoudre un problème étape par étape. Voici un cas pratique : une association envoie son courrier depuis une semaine via un nouveau serveur propre ; le courrier vers les adresses Hotmail arrive avec des heures de retard et le courrier vers les adresses T-Online revient avec un blocage d'adresse IP. Répondez : (1) que signifient les deux messages, (2) qui doit faire quoi, (3) quels sont les cinq points à vérifier sur le serveur, et (4) que peut faire l'association à court terme ? Vous trouverez ensuite la réponse type.

Pour aller plus loin

Les étapes décrites dans ces articles concernent les panneaux de WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.

• Mon e-mail n'arrive pas ou atterrit dans les spams : comment le vérifier
• Envoyer des e-mails depuis votre VPS et configurer le reverse DNS
• Guide DirectAdmin 9.4: Mes e-mails arrivent dans les spams du destinataire
• Microsoft, Email nondelivery reports and SMTP errors in Exchange Online : https://learn.microsoft.com/en-us/troubleshoot/exchange/email-delivery/ndr/non-delivery-reports-in-exchange-online
• Microsoft, Office 365 Anti-Spam IP Delist Portal : https://sender.office.com/
• Microsoft, SNDS et JMRP : https://sendersupport.olc.protection.outlook.com/snds/
• T-Online Postmaster (exigences et contact) : https://postmaster.t-online.de/