Comcast / Xfinity : postmaster, codes d’erreur, limites de débit et déblocage
La politique de Comcast (comcast.net / Xfinity) envers les expéditeurs : le tableau complet des codes d’erreur BL/RL/ES/DM, les limites de débit fondées sur SenderScore, les limites de connexions et de destinataires, le retrait des listes de blocage et la FBL.
Référence8 min de lecture
À qui cela s’adresse Expéditeurs, Opérateurs ESP
S’applique aux expéditeurs, quelle que soit leur plateforme
SommaireSur cette page : 9 sections
Si vos messages vers des adresses comcast.net ou Xfinity sont reportés ou rejetés, le code du rebond vous indique pourquoi et quoi faire ensuite. La documentation postmaster de Comcast est d’une précision inhabituelle. Elle nomme les listes de blocage que Comcast consulte, publie un tableau de limites de débit fondé sur SenderScore et propose un formulaire de déblocage en libre-service disponible 24/7.
Cette documentation se trouvait autrefois à l’adresse postmaster.comcast.net. Elle est désormais servie par le portail Xfinity Service Policy Assurance (SPA), à l’adresse spa.xfinity.com/help/postmaster. Comcast précise que toutes ses politiques et tous ses seuils peuvent changer.
D’où viennent ces informations : le portail SPA est une application JavaScript. Les codes et les seuils ci-dessous ont donc été relevés sur les pages archivées de
postmaster.comcast.net(instantanés de 2021 à 2022) que le portail a remplacées. Considérez les seuils chiffrés comme indicatifs, et vérifiez les valeurs actuelles sur le portail en ligne avant toute décision critique.
Exigences d’acceptation de base (« éviter les blocages »)
| Règle | Détail |
|---|---|
| Conformité aux RFC | Tous les emails doivent respecter les RFC applicables |
| DNS inverse | Comcast vérifie le DNS inverse (rDNS) de l’adresse IP d’envoi. Il refuse les connexions sans enregistrement PTR valide, plus un enregistrement MX ou A |
| Adresses IP statiques uniquement | Les messages provenant d’un espace d’adresses IP dynamique ou résidentiel ne sont pas acceptés. Une adresse IP est classée dynamique si son rDNS « ne respecte pas les conventions de nommage statique standard » (does not comply with standard static naming conventions) |
| DNSBL | Comcast consulte des listes de blocage externes (historiquement Spamhaus Zen, Cloudmark CSI, Return Path (SenderScore) et Vade (documentée auparavant comme TrendMicro MAPS)). Une inscription sur l’une d’elles vous bloque |
| Hygiène de base de données | Un volume élevé de messages non livrables fait bloquer l’adresse IP. Chaque 550 « Not our customer » doit être traité comme un désabonnement par les expéditeurs d’envois en masse |
| Gestion des abus | Faites respecter les politiques d’utilisation acceptable (AUP) et traitez les comptes compromis. Les attaques par dictionnaire et par collecte d’annuaire entraînent rapidement le blocage des adresses IP |
| DMARC | Comcast valide DMARC sur les messages entrants et applique la politique du domaine d’envoi (voir DM000001 ci-dessous). Il envoie des rapports agrégés quotidiens depuis dmarc-support@alerts.comcast.net |
Limites strictes
| Limite | Valeur |
|---|---|
| Connexions simultanées pour chaque adresse IP d’envoi | 25 |
| Emails dans chaque session SMTP | 1 000 |
| Destinataires pour chaque message | 100 |
| Taille maximale d’un message | 15 Mo |
| Demandes de retrait de liste | Au maximum 5 pour chaque adresse IP par jour, et au maximum 20 adresses IP différentes par jour (formulaire de retrait) |
Limitation de débit (codes RL)
Le trafic soumis à une limitation de débit reçoit un échec temporaire 4xx. La bonne réponse est de réessayer plus tard, et quand les limites de débit s’appliquent, Comcast conseille lui-même de raccourcir votre intervalle entre les tentatives. Les nouvelles adresses IP doivent être chauffées : les limites augmentent chaque jour à mesure que s’accumule un historique de volume propre (voir Recommandations pour la chauffe d’IP).
| Code | Fondement |
|---|---|
| RL000001 | Réputation d’expéditeur selon SenderScore, plus l’authentification du serveur d’envoi, quel que soit le nombre de domaines qui envoient depuis ce serveur |
| RL000002 | Indicateurs de réputation d’expéditeur et de volume fournis par Cloudmark |
| RL000003 | L’historique du volume et de la qualité de ce volume ; indépendant du nombre de domaines ; s’applique à IPv4 et à IPv6 |
Débit horaire selon SenderScore (RL000001), tel que publié. Deux versions du tableau ont existé, et les deux sont indiquées :
| SenderScore | Destinataires par heure (tableau le plus récent) | Destinataires par heure (tableau antérieur) |
|---|---|---|
| N/A (pas de score) | 120 | 300 |
| 0 à 15 | 1 200 | 1 200 |
| 16 à 25 | 3 600 | 3 600 |
| 26 à 30 | 6 000 | 7 200 |
| 31 à 50 | 12 000 | 14 400 |
| 51 à 70 | 24 000 | 50 400 |
| 71 à 85 | 42 000 | 72 000 |
| 86 à 100 | 60 000 | 86 400 |
Ces débits supposent une authentification réussie.
Codes d’erreur de listes de blocage (série BL)
Le code BL est un masque de bits des listes externes sur lesquelles figure l’adresse IP. Chaque position de bit correspond à une liste. En lisant BLxxxxxx de droite à gauche, les listes sont Spamhaus Zen, Cloudmark CSI, la liste de blocage SenderScore de Return Path et la Vade Threat List (documentée auparavant comme TrendMicro MAPS).
La correction est toujours la même : réglez le problème de spam sortant, puis demandez le retrait auprès du service de liste lui-même. Comcast reprend l’inscription ; il n’en est pas propriétaire.
| Code | Inscrit sur |
|---|---|
| BL000000 | Les propres filtres de Comcast : des schémas d’envoi « caractéristiques du spam » (characteristic of spam). Utilisez le formulaire de retrait de Comcast |
| BL000001 | Spamhaus Zen |
| BL000010 | Cloudmark Sender Intelligence (CSI) |
| BL000011 | CSI + Spamhaus Zen |
| BL000100 | Return Path Reputation Network Blocklist (SenderScore) |
| BL000101 | Return Path + Spamhaus Zen |
| BL000110 | Return Path + CSI |
| BL000111 | Return Path + CSI + Spamhaus Zen |
| BL001000 | Vade Threat List (VTL) |
| BL001001 | VTL + Spamhaus Zen |
| BL001010 | VTL + CSI |
| BL001011 | VTL + CSI + Spamhaus Zen |
| BL001100 | VTL + Return Path |
| BL001101 | VTL + Return Path + Spamhaus Zen |
| BL001110 | VTL + Return Path + CSI |
| BL001111 | VTL + Return Path + CSI + Spamhaus Zen |
Codes d’erreur de politique (ES, DM)
| Code | Signification | Correction |
|---|---|---|
| ES000001 | Envoi depuis une adresse IP dynamique ou résidentielle à l’intérieur du réseau de Comcast. Les abonnés ne peuvent envoyer que via smtp.comcast.net | Ce blocage ne peut pas être levé. Utilisez le webmail de Comcast ou son service de soumission, ou contactez Commercial Services (support_biz@cable.comcast.com) pour exploiter un serveur |
| ES000010 | Envoi depuis un espace d’adresses IP que Comcast classe comme dynamique ou résidentiel (généralement parce que le rDNS n’a pas l’air statique) | Modifiez le rDNS selon une convention de nommage statique. Si votre fournisseur ne peut pas le faire, escaladez auprès de Customer Security Assurance |
| DM000001 | Le message a été rejeté parce que le domaine d’envoi publie DMARC p=reject et que le message a échoué à la fois à DKIM et à SPF pour ce domaine |
Corrigez l’authentification et l’alignement (voir DMARC) |
Erreurs SMTP génériques
| Code ou texte | Signification |
|---|---|
| 421 Too many sessions opened | Plus de 25 connexions simultanées depuis l’adresse IP |
| 421 Reverse DNS failure : Try again later | La résolution rDNS a renvoyé SERVFAIL (le DNS faisant autorité est mal configuré ou hors service). Échec temporaire ; réessayez |
| 421 Try again later | Échec temporaire générique ; réessayez |
| 452 Too many emails sent on this session | Plus de 1 000 messages dans la session |
| 452 Too many recipients for message | Plus de 100 destinataires pour le message |
| 550 Not our customer | Le destinataire n’existe pas. Les expéditeurs d’envois en masse doivent le traiter comme un désabonnement |
| 550 …too many invalid recipients | Le message entier est refusé pour tous les destinataires. Nettoyez la liste et renvoyez-le |
| 550 Invalid sender domain | Le domaine d’envoi n’a pas d’enregistrement A ou MX valide |
| 550 Account not available | Le compte du destinataire est actuellement indisponible |
| 552 Message size exceeded | Plus de 15 Mo |
| 554 PTR lookup failure | La résolution du PTR a renvoyé NXDOMAIN : l’adresse IP qui se connecte n’a pas de DNS inverse |
Procédure de retrait des listes de blocage
- Trouvez le code dans le rebond. Chaque avis de non-livraison (NDN) renvoie vers la FAQ qui explique le blocage.
- Pour les codes de listes externes (BL000001 et suivants), corrigez le problème, puis demandez le retrait auprès de l’opérateur de la liste (Spamhaus, CSI, SenderScore ou Vade). Comcast applique le retrait.
- Pour les blocages internes à Comcast (BL000000), soumettez le Blocked Provider Request Form sur le portail postmaster. Les champs obligatoires sont votre nom, votre adresse email, vos numéros de téléphone de jour et de soir, le domaine de l’adresse IP bloquée, votre rôle (administrateur email, dirigeant, abonné ou abonné Comcast), les adresses IP bloquées et une description du problème. Vous pouvez aussi indiquer ce que vous avez fait pour le corriger (filtrage antispam mis en place, rDNS rendu statique et cohérent). Les limites sont de 5 soumissions par jour et, selon une documentation tierce, de 20 adresses IP par jour au maximum. Le formulaire est surveillé 24/7, et les blocages simples sont généralement levés en bien moins d’une heure.
- Escalade : Customer Security Assurance, 888-565-4329, cité sur les pages des codes ES, RL et DM lorsque le libre-service ne permet pas de résoudre le problème.
Feedback loop (FBL)
- Inscrivez-vous sur feedback.comcast.net. L’inscription peut se fonder sur les adresses IP ou sur DKIM (l’option DKIM a été lancée en version bêta).
- Les rapports utilisent l’Abuse Reporting Format (ARF) et sont générés quand un utilisateur clique sur « This is Spam ». Ils incluent les en-têtes complets du message, mais l’adresse du plaignant est retirée et n’est jamais rétablie.
- Vous devez être la partie responsable du serveur d’envoi. Sur des serveurs partagés, c’est le propriétaire du serveur qui doit s’inscrire.
- Les critères d’acceptation historiques étaient les suivants : un SenderScore ≥ 60 est accepté ; 30 à 60 est accepté uniquement si l’adresse IP ne figure sur aucune DNSBL ; < 30 est refusé. Un refus est accompagné d’une explication et des étapes pour corriger le problème, et vous pouvez refaire une demande à tout moment.
- Comcast se réserve le droit de cesser à tout moment d’envoyer des retours à toute partie.
L’infrastructure sortante de Comcast (pour les serveurs de réception)
Les emails grand public partent des hôtes resqmta-*.sys.comcast.net et resdmta-*.sys.comcast.net (plages publiées 96.103.146.x, 96.102.19.x et 96.102.200.x) et des plages IPv6 2001:558:fd00::/…. Les envois en masse passent par une plateforme distincte (MDP) en 96.114.127.0/27 et 68.87.28.32/27, plus deux /120 IPv6. Consultez le portail en ligne pour la liste actuelle.
Vérifier votre propre enregistrement
Le diagnostic gratuit lit ce que votre domaine publie dans le DNS.
Dans ce thème
- Exigences de Gmail envers les expéditeurs
- Erreurs SMTP de Gmail et dépannage
- Exigences de Yahoo envers les expéditeurs
- La feedback loop de plaintes de Yahoo (CFL)