iCloud « 554 5.7.1 [CS01] Message rejected due to local policy » et « [HM08] » : comment le corriger

Ce que ça veut dire

iCloud Mail d'Apple (adresses se terminant par @icloud.com, @me.com et @mac.com) a refusé votre message. Le message d'erreur ressemble généralement à ceci :

554 5.7.1 [CS01] Message rejected due to local policy. Please visit https://...

554 5.7.1 [HM08] Message rejected due to local policy. Please visit https://...

« Local policy » signifie que les règles de filtrage propres à Apple ont décidé de refuser l'email. Apple publie très peu d'informations sur chaque code, la règle exacte n'est donc pas indiquée. En pratique, CS01 comme HM08 sont liés au degré de confiance qu'inspirent votre email et son expéditeur : authentification, réputation de l'IP d'envoi et contenu.

Pourquoi cela arrive

• Des problèmes d'authentification. Pas de SPF, pas de signature DKIM, ou un échec DMARC pour le domaine From. Apple attend de plus en plus le SPF et le DKIM sur tous les emails, et le DMARC pour les expéditeurs qui envoient en volume.
• Une mauvaise réputation de l'IP. Votre IP est sur une liste de blocage, elle est neuve et sans historique, ou elle est partagée avec des expéditeurs qui ont envoyé du spam.
• Un DNS inverse absent ou générique. L'IP n'a pas d'enregistrement PTR (le nom associé à l'IP), ou un nom générique qui ressemble à une connexion domestique.
• Un contenu qui ressemble à du spam ou du phishing, des liens vers des domaines signalés, ou des raccourcisseurs d'URL.
• Des plaintes d'utilisateurs iCloud qui ont marqué vos messages comme indésirables.
• Le volume : une rafale soudaine d'emails vers des adresses iCloud.

Comment vérifier

1. Lancez un test Delivmail. Sur la page d'accueil (/), copiez votre adresse de test unique et envoyez-lui le même email depuis le même serveur ou outil. Le rapport affiche le SPF, le DKIM, le DMARC, le DNS inverse de l'IP d'envoi, les listes noires, les domaines des liens et un score SpamAssassin.
2. Scannez votre domaine. Utilisez /domain-scanner pour vérifier que vos enregistrements SPF et DMARC existent et sont valides.
3. Vérifiez l'IP et votre domaine sur /blacklists.
4. Lisez les informations postmaster d'Apple. Apple propose sur son site d'assistance une page « postmaster information for iCloud Mail ». Elle liste ses exigences et la façon de contacter l'équipe iCloud Mail. Cherchez-la par ce nom, car l'adresse de la page change de temps en temps.

Comment corriger

1. Authentifiez vos emails.
   • Un seul enregistrement SPF qui liste chaque serveur et chaque service qui envoie pour votre domaine.
   • Une signature DKIM avec votre propre domaine (pas seulement celui du fournisseur).
   • Un enregistrement DMARC, au minimum v=DMARC1; p=none; rua=mailto:..., pour voir qui envoie au nom de votre domaine.
2. Corrigez le DNS inverse. Si vous gérez votre propre serveur, demandez à votre hébergeur de configurer un enregistrement PTR comme mail.yourdomain.com, et vérifiez que ce nom pointe bien vers la même IP.
3. Sortez des listes de blocage si votre IP ou votre domaine y figure, après avoir corrigé la cause de l'inscription.
4. Nettoyez votre contenu. Utilisez votre propre domaine dans les liens, évitez les raccourcisseurs, gardez un bon équilibre entre texte et images, et incluez un lien de désinscription fonctionnel dans les emails marketing.
5. Respectez vos destinataires. N'écrivez qu'aux personnes qui ont demandé vos emails et retirez les adresses en erreur.
6. Contactez Apple si tout est propre et que le refus continue. Utilisez le contact indiqué sur la page postmaster d'Apple, en joignant le message d'erreur complet, votre IP d'envoi ainsi que la date et l'heure.

Chez un fournisseur d'emails partagé

Si vous envoyez via un hébergeur ou un service d'envoi, son IP peut être en cause. Transférez le message d'erreur à son support et demandez si d'autres clients rencontrent des refus d'iCloud.

Vérifiez que c'est corrigé

Lancez un nouveau test Delivmail : le SPF, le DKIM et le DMARC doivent passer, le DNS inverse doit être valide et les listes noires doivent être propres. Attendez que les modifications DNS se propagent (en général moins d'une heure). Renvoyez ensuite l'email à l'adresse iCloud qui l'avait refusé. Si la réputation était en cause, il peut falloir quelques jours d'envois propres avant qu'iCloud accepte de nouveau tous vos messages.