Depuis le 5 novembre 2026, les services de messagerie de Microsoft rejettent brutalement une partie des e-mails envoyés vers Outlook, Hotmail, Live et MSN. Ce blocage inattendu frappe les domaines personnalisés qui ne disposent pas d’un enregistrement d’authentification DMARC valide, y compris les petites structures. Sans annonce officielle de la part de l’éditeur, des ajustements techniques simples permettent de rétablir rapidement la délivrabilité des messages.
Un blocage inattendu qui cible l’absence de DMARC
Les administrateurs système et propriétaires de petits noms de domaine font face à une erreur inhabituelle lors d’envois vers les adresses grand public de Microsoft. Les serveurs renvoient le message d’erreur Message rejected: Message lacks SPF/DKIM/DMARC Auth Records. Ce comportement indique que Microsoft refuse le courrier en l’absence de preuves suffisantes d’authentification de l’expéditeur.
En mai 2025, la firme de Redmond avait imposé des exigences d’authentification strictes, mais ces règles ne devaient cibler officiellement que les expéditeurs massifs dépassant 5 000 messages par jour. Les constats récents révèlent un durcissement qui touche désormais des domaines personnalisés à faible volume. Même lorsque les protocoles SPF ou DKIM sont activement configurés par un hébergeur, l’absence spécifique d’un enregistrement DMARC peut suffire à déclencher le rejet du courriel.
Les trois piliers de l’authentification des e-mails
Pour lutter contre le phishing et l’usurpation d’identité, la sécurité des échanges par e-mail repose sur trois standards complémentaires :
- SPF (Sender Policy Framework) : il indique quels serveurs sont autorisés à envoyer des courriels au nom d’un nom de domaine.
- DKIM (DomainKeys Identified Mail) : il appose une signature numérique au message pour garantir qu’il n’a pas été altéré durant son acheminement.
- DMARC (Domain-based Message Authentication, Reporting, and Conformance) : il vérifie que les mécanismes SPF et DKIM correspondent bien au domaine affiché à l’expéditeur et indique aux serveurs récepteurs comment traiter les échecs.
De nombreuses petites organisations disposent de règles SPF et DKIM intégrées par défaut chez leur hébergeur, mais n’ont jamais publié d’enregistrement DMARC. C’est cette absence de paramétrage que les filtres de Microsoft sanctionnent désormais.
Comment résoudre le rejet de vos courriels vers les messageries Microsoft
Pour éviter le rejet de vos messages, la solution consiste à ajouter un enregistrement DMARC dans la zone DNS de votre nom de domaine. Cette démarche s’effectue directement depuis la console d’administration de votre hébergeur ou registrar.
Conformément aux recommandations techniques, il convient de créer un enregistrement DNS de type TXT nommé _dmarc avec la valeur v=DMARC1; p=none. La consigne p=none signale aux serveurs de messagerie que le domaine utilise le protocole DMARC sans leur demander d’appliquer un blocage strict en cas d’anomalie. Cela suffit à satisfaire la vérification exigée par Microsoft tout en préservant la distribution de vos messages.
Il reste toutefois indispensable de s’assurer que les clés SPF ou DKIM sont déjà correctement configurées et alignées avec le domaine de l’expéditeur pour que la validation globale réussisse.