Microsoft 365 « 550 5.7.750 ... unregistered domains » : comment corriger

Ce que ça veut dire

Microsoft 365 a refusé d'envoyer des emails parce qu'ils étaient envoyés From un domaine que votre organisation n'a pas enregistré dans Microsoft 365. Le rebond indique généralement :

550 5.7.750 Service unavailable. Client blocked from sending from unregistered domains.

Un domaine « unregistered » (ou « unprovisioned ») est un domaine absent de votre liste d'accepted domains (domaines acceptés) : vous ne l'avez jamais ajouté ni vérifié dans le centre d'administration Microsoft 365. Microsoft n'autorise qu'un volume limité d'emails depuis ces domaines ; au-delà, il bloque l'expéditeur.

Pourquoi cela arrive

• Une seconde marque ou un ancien domaine est utilisé dans l'adresse From (par exemple shop-yourdomain.com), mais seul yourdomain.com a été ajouté à Microsoft 365.
• Une application ou un serveur sur site relaie via un connecteur et envoie From de nombreux domaines différents, par exemple un outil de ticketing qui utilise le domaine de chaque client, ou un serveur qui relaie les emails de plusieurs sociétés.
• Un connecteur hybride ou de relais configuré trop largement, qui accepte les emails de n'importe quel expéditeur et les relaie via Microsoft 365.
• Un attaquant a créé un connecteur entrant dans votre tenant pour envoyer du spam From des domaines au hasard. Microsoft cite ce cas parmi les causes.

Comment vérifier

1. Regardez le message rejeté : quelle adresse figure sur la ligne From, et ce domaine vous appartient-il ?
2. Listez les accepted domains de votre tenant :

   Get-AcceptedDomain | Format-Table DomainName,DomainType,Default

   Dans le centre d'administration, la même liste se trouve dans Settings > Domains ; chaque domaine doit afficher un statut sain.
3. Lancez un suivi des messages (message trace) sur les emails sortants récents et regroupez-les par domaine d'expéditeur. Tout domaine absent de la liste ci-dessus est suspect.
4. Passez en revue les connecteurs, en particulier les connecteurs entrants que vous ne reconnaissez pas :

   Get-InboundConnector | Format-List Name,ConnectorType,SenderIPAddresses,SenderDomains,TlsSenderCertificateName,WhenCreated

5. Contrôlez le domaine avec le scanner de domaine Delivmail pour voir son MX, son SPF et son DMARC. Un domaine dont le SPF n'inclut pas spf.protection.outlook.com ne devrait de toute façon pas envoyer via Microsoft 365.

Comment corriger

Seul un administrateur du tenant expéditeur peut corriger cela.

1. Ajoutez et vérifiez chaque domaine depuis lequel vous envoyez

C'est la correction la plus fréquente. Dans le centre d'administration Microsoft 365, allez dans Settings > Domains > Add domain, puis ajoutez chez votre hébergeur DNS l'enregistrement TXT de vérification affiché par Microsoft. Par exemple :

Host: shop-yourdomain.com (or @)
Type: TXT
Value: MS=ms12345678

Utilisez la valeur exacte fournie par Microsoft. Une fois le domaine vérifié, ajoutez aussi le SPF et le DKIM pour ce domaine, comme décrit dans SPF, DKIM et DMARC pour Microsoft 365, pour que ses emails soient authentifiés et pas seulement acceptés. Si vous envoyez depuis un sous-domaine, c'est pareil : voir authentification email des sous-domaines.

2. Corrigez les applications qui utilisent les domaines d'autres personnes

Microsoft 365 n'est pas un relais pour des domaines qui ne vous appartiennent pas. Configurez l'application pour envoyer From l'un de vos propres domaines (et mettez l'adresse du client en Reply-To si besoin), ou faites passer ce trafic par un service d'email transactionnel capable d'authentifier correctement chaque domaine.

3. Resserrez vos connecteurs

Microsoft recommande un connecteur basé sur un certificat : le connecteur entrant identifie votre serveur sur site par son certificat TLS, et le domaine du certificat doit être un accepted domain vérifié de votre tenant. Les emails relayés sont ainsi rattachés à un domaine qui vous appartient plutôt qu'à « tout ce qui vient de cette IP ».

4. Supprimez les connecteurs que vous n'avez pas créés

Si vous trouvez un connecteur inconnu, traitez-le comme un incident : désactivez-le, vérifiez les comptes administrateurs et les connexions, réinitialisez les identifiants et imposez la MFA aux administrateurs. De gros envois de spam via un connecteur malveillant peuvent aussi entraîner un blocage complet du tenant (5.7.705).

5. Demandez à Microsoft de lever le blocage

Microsoft conseille de contacter le support une fois la cause corrigée, pour que le blocage soit levé. Joignez un exemple de rebond et la liste des domaines ajoutés ou des connecteurs corrigés.

Vérifier que c'est corrigé

• Envoyez un test depuis la même application ou le même serveur, avec le domaine nouvellement ajouté dans l'adresse From, à l'adresse unique de la page d'accueil de Delivmail. Le rapport doit montrer un SPF et un DKIM valides et alignés sur ce domaine.
• Renvoyez ensuite un message qui avait été rejeté. Les modifications DNS des enregistrements de vérification et SPF peuvent mettre un certain temps à se propager.
• Tenez la liste des accepted domains à jour chaque fois que votre entreprise ajoute une marque ou un domaine.