Mimecast « 550 Rejected by header based Anti-Spoofing policy », « Envelope blocked » et Proofpoint « 554 5.7.0 Blocked » : solutions

Ce que ça veut dire

Beaucoup d'entreprises protègent leurs boîtes mail avec une passerelle de sécurité : un filtre qui contrôle chaque email avant qu'il atteigne le serveur de l'entreprise. Mimecast et Proofpoint sont parmi les plus répandus. Quand ils refusent votre email, le message d'erreur vient du filtre du destinataire, configuré par l'équipe informatique du destinataire. Les messages ressemblent généralement à ceux-ci :

550 Rejected by header based Anti-Spoofing policy: user@example.com

550 Envelope blocked - User Entry - https://...

554 5.7.0 Blocked - see https://ipcheck.proofpoint.com/?ip=203.0.113.10

Proofpoint peut aussi renvoyer un code 550 5.7.1 avec des mots comme « Reject for policy reason ». Barracuda, un autre filtre courant, a ses propres codes, traités dans un guide séparé.

Pourquoi cela arrive

Mimecast « Anti-Spoofing policy »

Cela signifie que l'email prétend venir du propre domaine de l'entreprise destinataire (ou d'un domaine qu'elle protège), mais qu'il est arrivé de l'extérieur. Mimecast y voit une possible usurpation. Cas légitimes typiques : un site web, un CRM ou un outil de facturation qui envoie « au nom » du domaine du client, un scanner hébergé ailleurs, ou une agence externe qui envoie des newsletters pour l'entreprise.

Mimecast « Envelope blocked - User Entry »

Quelqu'un dans l'entreprise destinataire, souvent le destinataire lui-même, a bloqué votre adresse ou votre domaine, par exemple depuis son récapitulatif de spam. C'est un blocage personnel ou administratif, pas un problème de réputation.

Proofpoint « Blocked - see ipcheck.proofpoint.com »

Proofpoint attribue un mauvais score de réputation à votre adresse IP d'envoi. Cela arrive avec des IP qui ont envoyé du spam, qui sont sur des listes de blocage publiques, qui sont neuves ou qui sont partagées avec de mauvais expéditeurs.

Autres refus « policy »

L'entreprise peut refuser certains types de pièces jointes, les emails qui échouent au DMARC, les domaines récemment enregistrés ou certains pays. Seule l'équipe informatique peut vous dire quelle règle s'est appliquée.

Comment vérifier

1. Lancez un test Delivmail. Depuis le même serveur ou outil, envoyez un email à l'adresse unique de la page d'accueil (/). Vérifiez le SPF, le DKIM et le DMARC, l'IP d'envoi, les listes noires et le score du contenu. Les filtres tiennent compte de tous ces éléments.
2. Vérifiez les listes de blocage. Saisissez l'IP d'envoi et votre domaine sur /blacklists.
3. Utilisez l'outil de Proofpoint. Ouvrez ipcheck.proofpoint.com et saisissez l'IP indiquée dans le message d'erreur. L'outil indique si l'IP est bloquée et propose un formulaire de demande de retrait.
4. Gardez le message d'erreur complet, avec la date, l'heure et l'éventuel identifiant de référence. L'équipe informatique en a besoin pour retrouver votre email dans ses journaux.

Comment corriger

1. Corrigez d'abord ce qui dépend de vous. Assurez-vous que le SPF, le DKIM et le DMARC passent et sont alignés avec votre domaine From, et réglez toute inscription sur une liste de blocage.
2. Pour les blocages d'IP chez Proofpoint, envoyez le formulaire de demande sur ipcheck.proofpoint.com après avoir corrigé la cause. Chez un fournisseur partagé, transmettez le message d'erreur à votre fournisseur : c'est lui qui gère l'IP.
3. Pour l'anti-usurpation, n'envoyez pas au nom du domaine du destinataire depuis vos propres systèmes, sauf si l'entreprise l'a configuré. Envoyez plutôt depuis votre propre domaine, ou demandez à l'entreprise d'autoriser votre service (dans son SPF et son DKIM, ainsi que dans sa politique Mimecast).
4. Pour les blocages « User Entry », contactez le destinataire par un autre canal (téléphone, autre adresse) et demandez-lui de retirer le blocage de sa liste d'expéditeurs.
5. Contactez l'équipe informatique. Demandez à votre interlocuteur de transmettre votre demande à son équipe informatique ou sécurité. Soyez bref et précis :
   • le texte complet du message d'erreur et l'heure à laquelle il est survenu ;
   • votre IP d'envoi et votre domaine ;
   • une explication en une ligne de la raison pour laquelle vous leur écrivez (client, fournisseur...) ;
   • une demande d'autorisation de votre domaine ou de votre IP, ou de vous indiquer quelle règle s'est appliquée.

N'essayez jamais de contourner le filtre d'une entreprise en changeant d'adresse ou de domaine : cela ressemble exactement à du spam et aggrave la situation.

Vérifiez que c'est corrigé

Lancez un nouveau test Delivmail et vérifiez que l'authentification passe et que les listes noires sont propres. Une fois que l'équipe informatique a confirmé une modification, ou que Proofpoint a levé le blocage (souvent en un ou deux jours), envoyez un court email au destinataire et demandez-lui de confirmer sa réception. Les filtres d'entreprise peuvent aussi mettre un email en quarantaine sans renvoyer d'erreur : une réponse est donc la seule vraie preuve.