En bref : depuis le vendredi 6 novembre 2026, des administrateurs de serveurs mail constatent que Microsoft rejette des emails destinés à ses boîtes grand public (outlook.com, hotmail.com, live.com, msn.com) lorsque le domaine expéditeur n’a pas d’enregistrement DMARC. Tous les types d’emails sont concernés, y compris les emails transactionnels, et pas seulement les gros volumes. La parade tient en une ligne DNS : publier un enregistrement DMARC, même en p=none.
Statut de l’information : à la date de rédaction, Microsoft n’a pas publié d’annonce officielle. Les éléments ci-dessous reposent sur des remontées d’administrateurs, sur nos propres constats chez Sweego (des rejets sont observés sur des emails transactionnels) et sur les tests d’Al Iverson, spécialiste de la délivrabilité, publiés sur Spam Resource. La situation peut encore évoluer.
Que se passe-t-il exactement ?
Selon Spam Resource, plusieurs administrateurs de la liste Mailop ont signalé, à partir de la nuit du 6 novembre 2026 (heure américaine), des messages rejetés vers Outlook Consumer (Hotmail et Outlook.com, hors Microsoft 365) quand le domaine d’envoi ne publie aucun enregistrement DMARC.
Points constatés :
- Le rejet intervient même si SPF et DKIM sont valides. Seule l’absence de DMARC pose problème.
- Le message d’erreur est le suivant :
550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records. - Les domaines concernés sont les boîtes grand public : outlook.com, hotmail.com, live.com, msn.com. Les boîtes Microsoft 365 d’entreprise ne semblent pas touchées : lors des tests de Spam Resource, un message vers un domaine hébergé sur Microsoft 365 a été accepté.
- Les rejets peuvent être sporadiques. Une partie seulement de vos envois peut être touchée.
Ce qui change par rapport à 2025
Microsoft exigeait déjà SPF, DKIM et DMARC des expéditeurs en masse, c’est-à-dire ceux qui envoient plus de 5 000 messages par jour vers ses domaines. Ce que décrivent les administrateurs aujourd’hui, c’est un filtrage qui toucherait aussi des expéditeurs de plus petite taille. Spam Resource n’exclut pas une erreur de configuration côté Microsoft, mais estime que la tendance va vers un durcissement des exigences, comme chez Gmail et Yahoo.
| Avant | Constat depuis le 6 novembre 2026 |
|---|---|
| DMARC exigé des expéditeurs en masse (plus de 5 000 messages/jour) | Rejets aussi signalés pour des expéditeurs hors volumes |
| SPF et DKIM valides jugés suffisants pour les petits volumes | SPF et DKIM valides ne suffisent plus sans DMARC |
Qui est concerné ?
Tout domaine qui envoie des emails vers des adresses Outlook, Hotmail, Live ou MSN sans enregistrement DMARC. Cela inclut :
- les emails transactionnels (confirmations d’inscription, réinitialisations de mot de passe, factures, notifications d’application) ;
- les emails envoyés depuis des applications, des sites web ou des outils internes ;
- les petits volumes, qui n’étaient pas visés par l’exigence jusqu’ici.
Les expéditeurs à fort volume, comme ceux qui envoient des newsletters, ont généralement déjà un enregistrement DMARC, car l’exigence existait déjà pour eux. Ce sont donc surtout les domaines qui n’avaient jamais eu à le publier qui sont exposés.
Que faire : publier un enregistrement DMARC
Il faut publier un enregistrement DMARC pour chaque domaine utilisé dans l’adresse d’expéditeur (From). Le minimum est une politique de surveillance, p=none, qui n’a aucun effet sur la livraison de vos emails.
Créez un enregistrement DNS de type TXT :
| Champ | Valeur |
|---|---|
| Nom | _dmarc.votredomaine.com |
| Type | TXT |
| Valeur | v=DMARC1; p=none; rua=mailto:rapports-dmarc@votredomaine.com |
L’adresse rua reçoit les rapports agrégés. Ils permettent de vérifier que toutes vos sources d’envoi légitimes sont bien authentifiées.
À retenir :
- DMARC exige que SPF ou DKIM réussisse et soit aligné avec le domaine de l’adresse From.
- Si vous envoyez depuis plusieurs domaines ou sous-domaines, vérifiez que chacun est couvert par un enregistrement DMARC. Par défaut, un sous-domaine hérite de la politique du domaine parent, sauf si vous définissez une politique spécifique avec le tag
sp. - Les modifications DNS se propagent généralement en quelques heures.
- Une fois les rapports analysés et vos sources en règle, vous pouvez durcir progressivement la politique :
p=quarantine, puisp=reject.
Suivre les rapports DMARC
Les rapports DMARC arrivent sous forme de fichiers XML, peu lisibles en l’état. Un outil dédié permet de les recevoir, de les analyser et d’identifier les sources qui envoient au nom de votre domaine. SenderAudit propose cette fonction (réception et analyse des rapports agrégés, alignement SPF et DKIM, identification des sources autorisées ou suspectes) ainsi qu’une offre gratuite et des vérificateurs DMARC, SPF et DKIM en ligne. D’autres outils de suivi DMARC existent, avec des offres gratuites pour certains.
Source
- Al Iverson, « Microsoft newly rejecting mail lacking DMARC? », Spam Resource, 7 novembre 2026.
Questions fréquentes :
Faut-il un DMARC strict (p=reject) pour que Microsoft accepte mes emails ?
D’après les constats publiés, la présence d’un enregistrement DMARC suffit à lever le rejet, y compris avec p=none. Aucune exigence de politique stricte n’a été rapportée à ce jour.
Publier un DMARC n’est pas pour autant une simple formalité : cela demande une réflexion globale sur l’ensemble des envois effectués avec vos domaines et sous-domaines. Il faut recenser toutes les sources qui envoient en votre nom (application, outil de facturation, CRM, support client, serveurs internes, prestataires, etc.) et vérifier que chacune réussit SPF ou DKIM avec alignement. Sans cet inventaire, le passage à p=quarantine ou p=reject risque de bloquer des emails légitimes. C’est le rôle de la phase p=none avec rapports rua : repérer ces sources avant de durcir la politique.
Mes emails transactionnels sont-ils concernés ?
Oui. Le filtrage porte sur le domaine expéditeur, pas sur le type de message. Des rejets sont observés sur des emails transactionnels.
Mes emails vers des adresses professionnelles Microsoft 365 sont-ils concernés ?
Pas d’après les tests rapportés : ils ont été acceptés sans DMARC. Cela peut changer.
Mon fournisseur d’envoi gère-t-il DMARC pour moi ?
Non. L’enregistrement DMARC se publie dans la zone DNS du domaine d’envoi, que vous contrôlez. Votre fournisseur peut vous indiquer la valeur à saisir et vérifier votre configuration.
Mes emails sont rejetés avec l’erreur 550 5.7.1. Que faire ?
Publiez un enregistrement DMARC sur le domaine concerné, attendez la propagation DNS, puis relancez un envoi de test.
Envoyez rapidement vos premiers emails et sms !
Envoyez vos emails et sms transactionnels via API en quelques minutes
