Contexte et portée

Depuis le 5 novembre 2026, le service de messagerie grand public de Microsoft (Outlook.com, Hotmail, Live, MSN) refuse partiellement les messages provenant de domaines qui ne publient aucun enregistrement DMARC. Le phénomène touche surtout les petits expéditeurs : un seul courriel adressé à une adresse @outlook.com peut être rejeté alors que le suivant passe. Aucun communiqué officiel n’a été publié, ce qui rend la détection difficile pour les administrateurs.

Mécanisme de rejet

Le serveur renvoie un code d’erreur SMTP 550 5.7.1, par exemple :

550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)

Dans les premiers retours, le suffixe (AS9031519) était absent. Le message indique uniquement l’absence d’enregistrements d’authentification, sans préciser lequel manque. Les domaines concernés possèdent souvent un SPF fonctionnel et parfois un DKIM, mais aucun _dmarc TXT. Cette situation diffère de la règle publiée en mai 2025, qui imposait SPF, DKIM et DMARC uniquement aux expéditeurs dépassant 5 000 messages/jour, avec le code d’erreur 550 5.7.515. La nouvelle politique s’applique donc aux expéditeurs à faible volume et n’est pas annoncée.

Correction et mise en œuvre

La solution consiste à créer un unique enregistrement DNS TXT nommé _dmarc contenant :

v=DMARC1; p=none

Le paramètre p=none indique aux récepteurs de ne pas appliquer de mesures de rejet, tout en demandant des rapports de conformité. Cette modification n’influence pas le traitement du courrier par d’autres fournisseurs (Gmail, Yahoo, etc.). Pour vérifier l’absence d’enregistrement, il suffit d’exécuter :

dig +short TXT _dmarc.example.com

Si aucune ligne ne commence par v=DMARC1, le domaine est concerné. La mise en place ne prend que quelques minutes et résout les rejets d’Outlook.com, à condition que le message passe soit SPF soit DKIM pour le domaine de l’expéditeur, condition d’alignement requise par DMARC.

Implications et perspectives

Cette évolution illustre la tendance des grands fournisseurs de boîtes aux lettres à étendre progressivement les exigences d’authentification, d’abord pour les gros volumes, puis pour l’ensemble du trafic. Le p=none devient ainsi le « sol » de conformité, avant que les fournisseurs ne migrent vers des politiques plus strictes (p=quarantine ou p=reject). Pour les organisations, l’enjeu est double : assurer la délivrabilité immédiate et préparer une transition vers des politiques plus contraignantes, afin de réduire le risque de phishing et de compromission d’e‑mail professionnel. Ajouter l’enregistrement DMARC constitue donc à la fois une réponse corrective et une première étape vers une posture de sécurité plus robuste.