Outlook.com « 550 5.7.515 Access denied, sending domain doesn't meet the required authentication level » : comment le corriger

Ce que ça veut dire

Depuis 2025, Microsoft exige que les domaines qui envoient beaucoup d'emails vers les boîtes grand public (Outlook.com, Hotmail.com, Live.com) soient correctement authentifiés. Si votre domaine ne respecte pas ces règles, l'email est refusé avec ce message :

550 5.7.515 Access denied, sending domain [yourdomain.com] doesn't meet
the required authentication level.

Ces règles visent surtout les expéditeurs de plus de 5 000 emails par jour environ vers ces boîtes, mais les respecter est une bonne pratique pour tout le monde.

Pourquoi cela arrive

Les exigences de Microsoft pour les gros expéditeurs sont :

• Le SPF doit passer pour le domaine d'envoi : votre enregistrement SPF doit lister les serveurs qui envoient vos emails.
• Le DKIM doit passer : l'email doit porter une signature DKIM valide.
• Le DMARC doit être publié avec au moins p=none, et il doit passer, avec un SPF ou un DKIM aligné sur le domaine de l'adresse From (idéalement les deux).

L'erreur apparaît quand l'un de ces éléments manque ou échoue. Cas typiques :

• Aucun enregistrement DMARC.
• Un outil de newsletter ou de marketing qui envoie sans DKIM pour votre domaine.
• Un SPF qui n'inclut pas l'outil, ou qui contient une erreur de syntaxe ou trop de requêtes.
• Un DKIM signé avec le domaine du fournisseur au lieu du vôtre, donc non aligné.

Microsoft recommande aussi un lien de désinscription qui fonctionne, des adresses From et Reply-To valides et un nettoyage régulier des listes.

Comment vérifier

• Envoyez un email de test : sur la page d'accueil de Delivmail (/), copiez votre adresse de test unique et envoyez-lui un email normal depuis le serveur, l'outil ou la boîte mail qui a reçu l'erreur. Ouvrez le rapport dès qu'il est prêt.
• Lisez les sections SPF, DKIM et DMARC du rapport : les trois doivent passer, et le DMARC doit indiquer un alignement.
• Lancez le scanner de domaine sur /domain-scanner pour vérifier que votre domaine a un seul enregistrement SPF valide et un enregistrement DMARC.
• Recommencez pour chaque outil qui écrit à vos clients : boîte mail, outil de newsletter, boutique, CRM.

Comment corriger

1. Publiez un enregistrement DMARC si vous n'en avez pas. Un bon point de départ :

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

2. Corrigez le SPF. Gardez un seul enregistrement qui inclut chaque service qui envoie pour vous, par exemple v=spf1 include:spf.provider-example.com ~all, et restez sous la limite de 10 requêtes DNS.
3. Activez le DKIM avec votre propre domaine dans chaque outil d'envoi. Publiez les enregistrements TXT ou CNAME qu'il vous donne, puis cliquez sur « Vérifier » dans l'outil.
4. Alignez les domaines. Le domaine de l'adresse From doit correspondre au domaine de signature DKIM, et idéalement au domaine de retour (return-path) utilisé par le SPF. Beaucoup d'outils permettent de définir un return-path personnalisé sur votre domaine.
5. Ajoutez un lien de désinscription clair dans les emails marketing et retirez les adresses en erreur.

Vérifiez que c'est corrigé

Attendez que les modifications DNS se propagent. Envoyez un nouvel email depuis chaque outil vers une nouvelle adresse de test Delivmail et vérifiez que le SPF, le DKIM et le DMARC passent tous, avec alignement. Renvoyez ensuite l'email à l'adresse Outlook.com ou Hotmail qui l'avait refusé. Une fois l'authentification correcte, cette erreur précise devrait disparaître ; d'autres filtres peuvent encore s'appliquer, alors gardez des listes propres.