Outlook.com rejette les domaines sans DMARC

Ce qui se passe

Depuis le 5 novembre 2026, la messagerie grand public de Microsoft — outlook.com, hotmail.com, live.com et msn.com — refuse une partie des courriels venant de domaines qui ne publient pas d'enregistrement DMARC. Rien n'a été annoncé : au 6 novembre, ni note aux administrateurs, ni billet de blog, ni entrée d'état de service. L'expéditeur reçoit un rebond de ce type :

550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)

Le premier jour, le même rejet tombait sans le code entre parenthèses. Le libellé laisse croire à une panne ; le plus souvent, les domaines touchés avaient un SPF fonctionnel, parfois aussi un DKIM. Ce qui manquait, c'est l'enregistrement DMARC qui relie ces deux mécanismes à l'adresse d'expéditeur.

Pourquoi ça compte

Microsoft a déjà des règles publiques : depuis mai 2025, un domaine qui envoie plus de 5 000 messages par jour vers Outlook.com doit passer SPF, DKIM et DMARC, sous peine d'un 550 5.7.515 Access denied. Cette règle-là vise les expéditeurs de masse, et la plupart des petites structures en étaient exclues à juste titre.

Le nouveau rejet est différent sur trois points qui changent tout :

• Il atteint les petits expéditeurs. Une réponse unique depuis une boîte modeste peut rebondir.
• Il n'a pas été annoncé, là où la règle des 5 000 messages l'avait été avec une échéance.
• Il ne dit pas ce qui a échoué. Un 5.7.515 détaille les résultats SPF, DKIM et DMARC ; celui-ci se contente de signaler des enregistrements manquants.

Surtout, Microsoft ne rejette qu'une partie du courrier d'un domaine touché. Un message passe, le suivant rebondit, un renvoi réussit. L'expéditeur voit un rebond plein d'acronymes, croit à un incident passager, et passe à autre chose — pendant que la facture, la confirmation de rendez-vous ou la réponse attendue n'arrive jamais côté destinataire.

Comment s'y prendre

Votre domaine est exposé s'il n'a aucun enregistrement DMARC. On le vérifie en quelques secondes depuis un terminal, en remplaçant example.com par votre domaine :

dig +short TXT _dmarc.example.com

Une ligne commençant par "v=DMARC1 signifie que l'enregistrement existe. Pas de sortie : il manque. Le correctif est un seul enregistrement TXT chez votre hébergeur DNS :

• Nom : _dmarc
• Valeur : v=DMARC1; p=none

p=none est le point de départ sans risque : il déclare que le domaine utilise DMARC et demande des rapports, mais n'ordonne aucune action en cas d'échec. Rien ne change à la façon dont Gmail, Yahoo ou un autre destinataire traitent déjà votre courrier.

Une condition toutefois : DMARC ne passe que si SPF ou DKIM s'aligne sur le domaine de l'adresse d'expéditeur. Si ni l'un ni l'autre ne correspond, l'enregistrement seul ne suffit pas. Microsoft 365, par exemple, signe avec son propre domaine onmicrosoft.com tant que vous n'avez pas activé DKIM pour votre domaine, et cette signature ne compte pas pour DMARC.

Source : MailRoute, en anglais.