« 4.4.7 Message expired » et « Delivery Status Notification (Delay) » (« 451 4.4.0 DNS query failed ») : causes et solutions

Ce que ça veut dire

Quand un email ne peut pas être remis tout de suite, le serveur d'envoi le garde en file d'attente et réessaie régulièrement. Pendant cette attente, vous pouvez recevoir un avertissement intitulé « Delivery Status Notification (Delay) » ou « Delivery delayed ». Si le problème dure trop longtemps, le serveur abandonne et envoie un message d'échec définitif. Cette période de nouvelles tentatives dure en général entre un et cinq jours, selon le serveur. Les messages ressemblent généralement à ceux-ci :

Delivery to the following recipient has been delayed: user@example.com
Status: 4.4.7

550 4.4.7 QUEUE.Expired; message expired

451 4.4.0 DNS query failed

Le code 4.4.7 signifie « délai de remise expiré ». Ce n'est pas la vraie cause. La vraie raison est la dernière erreur rencontrée par le serveur pendant ses tentatives. Cherchez-la dans le message d'erreur : elle figure souvent sous « Diagnostic code », « Remote server returned » ou « Last error ».

Pourquoi cela arrive

• Le serveur mail du destinataire est en panne ou injoignable, donc chaque tentative échoue.
• Des problèmes de DNS. Le domaine du destinataire n'a pas d'enregistrement MX, ses serveurs de noms ne répondent pas, ou le résolveur DNS de votre propre serveur est défaillant. 451 4.4.0 DNS query failed (une formulation de Microsoft 365 / Exchange) renvoie à ce cas.
• Le port 25 sortant est bloqué sur votre réseau. Beaucoup de fournisseurs d'accès, de cloud et de VPS le bloquent par défaut, et votre serveur ne peut alors se connecter à personne.
• Le greylisting n'est jamais passé. Certains serveurs refusent volontairement la première tentative et acceptent une tentative ultérieure. Si votre serveur ne réessaie pas correctement, ou réessaie à chaque fois depuis une IP différente, il ne passe jamais.
• La limitation de débit. Le destinataire n'accepte que quelques emails à la fois depuis votre IP (fréquent chez les grands fournisseurs quand votre réputation est faible ou que le volume augmente brusquement), et répond par des codes temporaires 421 ou 451.
• Un blocage temporaire, par exemple un report lié à la réputation, qui a fini en expiration.

Comment vérifier

1. Lisez la dernière erreur dans le message d'échec. Un timeout oriente vers le réseau ou un pare-feu, une erreur DNS vers le DNS, un 421 vers une limitation de débit ou la réputation.
2. Scannez le domaine du destinataire sur /domain-scanner. S'il n'affiche aucun enregistrement MX, le problème est de son côté.
3. Testez vos propres envois. Envoyez un email à l'adresse unique de la page d'accueil (/). S'il n'arrive pas, votre serveur ne peut probablement rien envoyer du tout (port 25 bloqué, DNS défaillant). S'il arrive, le rapport affiche votre IP, votre DNS inverse, les listes noires et l'authentification, ce qui peut expliquer une limitation de débit.
4. Vérifiez les listes de blocage pour votre IP sur /blacklists.
5. Sur votre propre serveur, examinez la file d'attente et les journaux (dans Postfix, mailq et le journal mail) pour connaître l'erreur exacte de chaque tentative.

Comment corriger

1. Serveur ou DNS du destinataire en panne : rien à corriger de votre côté. Prévenez le destinataire par un autre canal et renvoyez plus tard.
2. Votre résolveur DNS : assurez-vous que votre serveur sait résoudre les noms (testez avec dig MX example.com). Utilisez un résolveur local fiable.
3. Port 25 bloqué : demandez à votre fournisseur de l'ouvrir, ou envoyez via un relais (smarthost) sur le port 587 avec identification.
4. Greylisting : gardez les réglages de nouvelle tentative par défaut de votre serveur mail. Envoyez depuis une seule IP stable, pas depuis un groupe d'IP qui change à chaque tentative.
5. Limitation de débit ou réputation : envoyez plus lentement, étalez les grosses campagnes dans le temps, authentifiez-vous avec SPF, DKIM et DMARC, configurez un DNS inverse correct et réglez toute inscription sur une liste de blocage.
6. Renvoyez les emails expirés une fois la cause corrigée. Les emails expirés ne sont pas retentés automatiquement.

Vérifiez que c'est corrigé

Lancez un nouveau test Delivmail : il doit arriver rapidement et afficher un rapport propre. Vérifiez que la file d'attente de votre serveur se vide. Renvoyez ensuite l'email à l'adresse pour laquelle il avait expiré et surveillez vos journaux pour voir une réponse 250 du serveur destinataire. Si une limitation de débit était en cause, il peut falloir quelques jours d'envois réguliers et propres avant que les remises redeviennent rapides.