Exigences de Microsoft envers les expéditeurs

Les consignes postmaster de Microsoft pour les expéditeurs qui écrivent aux boîtes aux lettres grand public Outlook.com (outlook.com, hotmail.com, live.com, msn.com). Elles comprennent l’obligation d’authentification imposée aux expéditeurs de gros volumes, annoncée en avril 2025 et appliquée depuis le 5 mai 2025, ainsi que les exigences techniques et de politique permanentes qui s’appliquent à tous les expéditeurs.

Des obligations comparables existent chez Yahoo (voir Exigences de Yahoo envers les expéditeurs) et chez Gmail ; les sources de Microsoft elles-mêmes se contredisent sur le sort des messages non conformes des expéditeurs de gros volumes : classement en courrier indésirable, ou rejet dès la transaction SMTP avec 550 5.7.515. Voir Application et calendrier.

Exigences pour les expéditeurs de gros volumes (en vigueur depuis le 5 mai 2025)

S’appliquent aux domaines qui envoient plus de 5 000 emails par jour vers Outlook.com. L’application se fait au niveau du domaine d’envoi.

Application et calendrier

• Avril 2025 (annonce) : les expéditeurs sont invités à vérifier et mettre à jour leurs enregistrements SPF, DKIM et DMARC avant l’entrée en application.
• Annonce sur Tech Community (publiée le 2 avril 2025, mise à jour le 30 avril 2025) : le texte initial indiquait qu’après le 5 mai 2025, les messages non conformes des expéditeurs de gros volumes seraient acheminés vers le courrier indésirable, le rejet devant intervenir « à l’avenir (date à annoncer) » (in the future (date to be announced)). La mise à jour du 29 avril a barré ce paragraphe et l’a remplacé par : « nous avons décidé de rejeter les messages qui ne satisfont pas aux exigences d’authentification requises […] Ce changement prendra effet le 5 mai, comme annoncé initialement » (we have made a decision to reject messages that don’t pass the required authentication requirements … This change will state taking effect on May 5th as originally stated). La section « What’s Changing? » du même billet, elle, n’a pas été barrée et indique toujours : « Les messages non conformes seront d’abord acheminés vers le courrier indésirable. Si les problèmes ne sont pas résolus, ils pourront finir par être rejetés » (Non‐compliant messages will first be routed to Junk. If issues remain unresolved, they may eventually be rejected). Le billet se contredit donc lui-même.
• Page Policies du postmaster d’Outlook.com (aucune date de publication ni de mise à jour indiquée ; consultée le 11 septembre 2026) : « Les messages des expéditeurs de gros volumes qui ne satisfont pas à ces exigences seront envoyés dans le courrier indésirable. Si les problèmes ne sont pas résolus, les messages pourront être rejetés » (Messages from high-volume senders that do not meet these requirements will be sent to the junk folder. If issues remain unresolved, messages may be rejected), avec l’erreur 550; 5.7.515 ci-dessous, « en vigueur depuis le 5 mai 2025 » (Effective May 5th, 2025).
• Les deux sources se contredisent. La mise à jour de Tech Community annonce un rejet à partir du 5 mai 2025 ; la page postmaster annonce d’abord le courrier indésirable, puis un rejet éventuel plus tard. Comme la page postmaster n’est pas datée, les pages seules ne permettent pas d’établir laquelle est la plus récente. Prévoyez les deux issues : un message non conforme peut arriver dans le courrier indésirable ou être rejeté.
• Texte du rejet (donné par les deux sources, pour les messages rejetés) : 550; 5.7.515 Access denied, sending domain [SendingDomain] does not meet the required authentication level.
• Outlook « se réserve en outre le droit de prendre des mesures défavorables, notamment de filtrer ou de bloquer, à l’encontre des expéditeurs non conformes, en particulier en cas de manquement grave en matière d’authentification ou d’hygiène » (reserves the right to take negative action, including filtering or blocking — against non-compliant senders, especially for critical breaches of authentication or hygiene).
• Dans un premier temps, l’application ne vise pas les expéditeurs de moins de 5 000 messages par jour. Microsoft souligne toutefois que tous les expéditeurs ont intérêt à adopter les mêmes pratiques, et n’exclut pas d’étendre l’application aux petits expéditeurs.

Recommandations d’hygiène pour les expéditeurs de gros volumes

Publiées en même temps que l’obligation, au titre de meilleures pratiques (non appliquées au niveau SMTP, mais susceptibles de justifier des mesures défavorables) :

Pour vérifier la conformité, examinez l’en-tête Authentication-Results d’un message reçu dans une boîte Outlook.com (Microsoft documente la lecture des en-têtes sur learn.microsoft.com, page « message-headers-eop-mdo »).

Politiques permanentes pour tous les expéditeurs

D’après la page des politiques du postmaster d’Outlook.com :

• Respecter le Contrat de services Microsoft (Microsoft Services Agreement) et sa politique antispam (Anti-Spam Policy), ainsi que la loi CAN-SPAM et la législation du pays de l’expéditeur ; les demandes de désabonnement doivent être honorées conformément aux recommandations de la FTC.
• Le mécanisme de désabonnement doit être « clairement documenté, et facile à trouver et à utiliser pour les destinataires » (clearly documented and easy for recipients to find and use).
• Le respect des RFC 2821 / RFC 2822 (SMTP / format des messages) est obligatoire.
• Des enregistrements DNS inverse (PTR) valides sont exigés pour les adresses IP d’envoi.
• Les messages provenant d’espaces d’adresses IP dynamiques ne sont pas acceptés.
• Aucun relais non sécurisé ni proxy ouvert.
• Aucune exploration de l’espace d’adresses (namespace mining, c’est-à-dire sonder des adresses pour en trouver de valides sans envoyer de message).

Limites de connexion et de nouvelles tentatives

Codes d’erreur SMTP

Les codes de report de remise et de rejet documentés par Outlook.com. Les codes 421 sont temporaires (limitation de débit fondée sur la réputation) ; les codes 550 sont permanents.

Microsoft documente aussi les corrections suivantes : vérifiez le DNS inverse ; lorsque l’usage d’un domaine change, comptez 48 heures de propagation après la mise à jour de ses enregistrements DNS d’authentification ; inscrivez-vous à JMRP pour voir ce que les destinataires marquent comme courrier indésirable.

Outils de réputation et de surveillance

Microsoft propose deux programmes gratuits : SNDS (données de réputation par IP : taux de plaintes, verdicts du filtre anti-spam) et JMRP (une feedback loop qui renvoie le message complet lorsqu’un destinataire le marque comme courrier indésirable ou comme phishing). Les deux sont présentés dans Microsoft SNDS et JMRP. Les abus peuvent être signalés à Microsoft à l’adresse report_spam@outlook.com, au format RFC 2822 ou ARF.

Voir aussi

• DMARC : alignement, syntaxe de l’enregistrement, passage à une politique contraignante
• Exigences de Yahoo envers les expéditeurs : l’obligation équivalente imposée par Yahoo en 2024
• Fondamentaux de la délivrabilité des emails : pourquoi les signaux de plaintes et d’engagement pilotent le filtrage