Outlook refuse des mails de petites entreprises depuis le 5 novembre : sans DMARC, votre adresse professionnelle n’en est plus une

Dimanche 8 novembre 2026, un prestataire écrit sur Hacker News qu’il remercie Microsoft de devoir corriger la situation de centaines de clients en plein week-end. Deux jours plus tôt, les journaux d’envoi de MailRoute, un fournisseur américain de messagerie, se remplissent d’une réponse qui n’existait pas : « 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records ». Depuis mai 2025, Microsoft n’exigeait ce réglage que des domaines envoyant plus de 5 000 mails par jour vers ses boîtes grand public. Le seuil ne protège plus personne.

Depuis le jeudi 5 novembre, selon MailRoute, Outlook.com, Hotmail, Live et MSN refusent une partie des mails venus de domaines sans enregistrement DMARC, y compris quand l’expéditeur envoie peu. Le fil de discussion a atteint 342 points et 256 commentaires dimanche sur Hacker News, et plusieurs participants y décrivent le même refus sur leur propre domaine.

Ma thèse, et vous pouvez la contester : en 2026, un domaine sans DMARC n’est plus une adresse professionnelle. C’est une adresse que le destinataire peut refuser sans vous prévenir à l’avance.

DMARC est une ligne de réglage publiée avec votre nom de domaine, ce qui vient après le @ de votre adresse. Elle dit au monde quoi faire si quelqu’un envoie un mail en se faisant passer pour vous. SPF et DKIM, ses deux cousins, prouvent que le mail vient bien de chez vous. Un utilisateur de Hacker News raconte avoir été touché vingt minutes avant d’écrire, alors que SPF et DKIM étaient en place : seul DMARC manquait.

Le piège est dans le mot « partie ». Seuls certains messages sont refusés. Un devis passe, le suivant revient. Vous ne concluez rien, vous renvoyez, vous appelez, vous pensez que le client n’a pas regardé ses courriers indésirables.

Et le refus ne revient pas toujours vers vous. Quand c’est votre logiciel de facturation, votre CRM ou votre outil de prise de rendez-vous qui envoie avec votre adresse, le message d’erreur peut atterrir dans une boîte technique que personne n’ouvre. Vos clients qui ont une adresse en hotmail.fr, live.fr ou outlook.fr ne reçoivent plus votre relance, et personne dans l’entreprise ne le sait.

Je préfère être précis, parce que la source principale a un intérêt à inquiéter. Ce qui est établi : le texte de l’erreur, relevé par MailRoute et confirmé par des utilisateurs dans le fil. Le correctif décrit partout est le même : ajouter l’enregistrement manquant.

Ce qui ne l’est pas : au 6 novembre, Microsoft n’avait publié aucun avis, aucun billet, aucune entrée d’état de service sur ce nouveau refus. MailRoute ne dit pas combien de domaines sont touchés, et son fondateur vend un service de messagerie. Je n’ai trouvé le code interne affiché dans l’erreur, AS9031519, dans aucune documentation publique. Un participant du fil renvoie vers la page de Microsoft sur les gros expéditeurs, mais elle décrit la règle de 2025, pas celle-ci. Enfin, le constat porte sur les boîtes grand public de Microsoft : rien ne dit que les boîtes d’entreprise Microsoft 365 appliquent le même refus.

Sur le fond, je ne suis pas d’accord avec ceux qui crient au fardeau pour les petits. La règle est bonne : ce réglage coûte zéro euro et complique la vie de ceux qui envoient de fausses factures à votre nom. Ce qui est critiquable, c’est de l’appliquer sans prévenir.

Combien d’entreprises sont exposées ? Les chiffres se contredisent. Red Sift, citant une étude de l’Afnic, indique que 19,5 % des domaines en .fr avaient un enregistrement DMARC en 2025, et PowerDMARC annonce 87 % en 2026 sur son propre périmètre. Je n’ai pas pu lire l’étude de l’Afnic directement. La seule réponse qui vous intéresse tient en une recherche sur votre propre domaine.

Le réglage se fait chez celui qui gère votre nom de domaine : OVHcloud, Hostinger, Gandi, IONOS. Il est inclus dans ce que vous payez déjà. Dans la zone DNS, on ajoute un enregistrement de type TXT.

« p=none » veut dire : observez, ne bloquez rien. Je recommande de commencer là, et d’y rester tant que vous n’avez pas la liste complète de ce qui envoie des mails en votre nom. Une politique stricte posée trop tôt fera refuser vos propres factures si votre outil de facturation n’est pas correctement déclaré.

Car l’enregistrement seul ne suffit pas toujours. Selon MailRoute, DMARC ne passe que si SPF ou DKIM correspond au domaine affiché dans l’adresse de l’expéditeur. Chaque outil doit donc être déclaré sur votre domaine. L’inventaire tient en six lignes, à remplir avec le nom de l’outil, l’adresse utilisée et la personne qui s’en occupe :

Si quelqu’un gère votre site ou votre messagerie, copiez ce texte, il évite une heure d’allers-retours :

« Bonjour, depuis le 5 novembre, Outlook.com refuse une partie des mails venant de domaines sans enregistrement DMARC. Pouvez-vous me confirmer d’ici vendredi : 1. que notre domaine a un enregistrement TXT _dmarc valide, avec une valeur p= renseignée ; 2. que chaque outil qui envoie avec notre adresse est bien authentifié en SPF ou DKIM sur notre domaine ; 3. la liste de ces outils ? Merci. »

Tapez votre domaine sur mxtoolbox.com/dmarc.aspx. S’il n’y a rien, ou un enregistrement sans « p= », ajoutez la ligne ci-dessus ou envoyez le message à votre prestataire avant midi.

Si vous voulez qu’on passe en revue tout ce qui envoie des mails en votre nom, c’est le point de départ de nos missions d’automatisation.