Microsoft « 550 5.7.509 ... does not pass DMARC verification and has a DMARC policy of reject » : comment le corriger

Ce que ça veut dire

Votre domaine publie une politique DMARC reject, qui dit aux serveurs destinataires : « Si un email qui prétend venir de chez nous échoue au DMARC, refusez-le. » Microsoft (Outlook.com et Microsoft 365) a fait exactement cela. Le message d'erreur ressemble généralement à ceci :

550 5.7.509 Access denied, sending domain yourdomain.com does not pass
DMARC verification and has a DMARC policy of reject.

Le DMARC ne passe que si le SPF ou le DKIM passe et que le domaine vérifié correspond au domaine de l'adresse From visible. C'est ce qu'on appelle l'alignement.

Pourquoi cela arrive

• Un service d'envoi n'est pas authentifié pour votre domaine : un outil de newsletter, un CRM, une boutique ou un site web envoie avec votre adresse From, mais sans votre clé DKIM et depuis des serveurs absents de votre SPF.
• Le SPF passe mais n'est pas aligné : le service utilise son propre domaine de retour, donc le SPF passe pour le domaine du service, pas pour le vôtre.
• Le DKIM signe avec le mauvais domaine : l'email est signé avec le domaine par défaut du fournisseur au lieu du vôtre.
• Le transfert : un email transféré par un autre serveur peut casser le SPF, et une liste de diffusion qui modifie le contenu peut casser le DKIM.
• L'usurpation : quelqu'un d'autre envoie de faux emails avec votre domaine. Dans ce cas, le refus signifie que le DMARC fait son travail.

Comment vérifier

• Envoyez un email de test : sur la page d'accueil de Delivmail (/), copiez votre adresse de test unique et envoyez-lui un email normal depuis le serveur, l'outil ou la boîte mail qui a reçu l'erreur. Ouvrez le rapport dès qu'il est prêt.
• Lisez la section DMARC. Elle indique si le SPF et le DKIM passent et si chacun est aligné avec votre domaine From.
• Vérifiez vos enregistrements sur /domain-scanner : un seul enregistrement SPF, un enregistrement DMARC, et le DKIM quand c'est possible.
• Lisez vos rapports DMARC agrégés pour retrouver chaque service qui envoie au nom de votre domaine. Le tableau de bord payant de Delivmail lit et résume ces rapports pour vous.

Comment corriger

1. Identifiez le service qui a envoyé l'email refusé. Regardez le message d'erreur et les en-têtes du message d'origine.
2. Configurez le DKIM avec votre propre domaine dans ce service. La plupart des outils vous donnent un ou plusieurs enregistrements DNS (TXT ou CNAME) à publier. Le DKIM est le moyen le plus fiable de passer le DMARC, car il résiste au transfert.
3. Ajoutez le service à votre enregistrement SPF s'il envoie depuis ses propres serveurs, et configurez un domaine de retour (return-path) personnalisé sur votre domaine si le service le propose.
4. Gardez un seul enregistrement SPF et restez sous la limite de 10 requêtes DNS.
5. Si vous ne pouvez pas corriger rapidement, abaissez temporairement votre politique à p=quarantine ou p=none le temps de corriger le service. Revenez à reject dès que tous vos services passent.
6. Si les emails ne viennent pas de vous, ne touchez pas au DMARC : p=reject protège votre domaine.

Vérifiez que c'est corrigé

Attendez que les modifications DNS se propagent (généralement quelques minutes, parfois quelques heures). Envoyez un nouvel email depuis le même service vers une nouvelle adresse de test Delivmail et vérifiez que le DMARC passe avec un SPF ou un DKIM aligné. Renvoyez ensuite l'email à l'adresse Microsoft qui l'avait refusé. Continuez à surveiller vos rapports DMARC pour repérer d'autres services qui échouent encore.