« 530 5.7.0 Must issue a STARTTLS command first » (et « 451 5.7.3 STARTTLS is required ») : comment le corriger

Ce que ça veut dire

Votre application, votre site web, votre imprimante ou votre serveur mail a essayé d'envoyer un email sans chiffrer d'abord la connexion, et le serveur a refusé. Le message ressemble généralement à ceci :

530 5.7.0 Must issue a STARTTLS command first

Microsoft 365 (Exchange Online) affiche une erreur similaire :

451 5.7.3 STARTTLS is required to send mail

STARTTLS est la commande qui transforme une connexion email normale en connexion chiffrée (TLS). La plupart des serveurs qui reçoivent les emails des utilisateurs et des applications, et de plus en plus de serveurs en général, refusent d'aller plus loin tant qu'elle n'a pas été envoyée. Sans elle, votre mot de passe et votre message circuleraient en clair.

Pourquoi cela arrive

• Le TLS est désactivé dans les réglages d'envoi : « Chiffrement : aucun », « Utiliser SSL/TLS : non » ou une option similaire.
• Mauvais port. Le port et le réglage de sécurité ne correspondent pas (voir plus bas).
• Appareil ou logiciel ancien. Imprimantes, scanners, systèmes d'alarme, anciennes extensions de CMS et anciennes bibliothèques ne connaissent parfois que de vieilles versions de TLS, que les serveurs récents n'acceptent plus, ou ne gèrent pas du tout STARTTLS.
• Votre propre serveur mail envoie vers un autre serveur qui exige le TLS, alors que le TLS est désactivé ou mal configuré de votre côté.
• Un intermédiaire, comme certains pare-feux ou antivirus, supprime l'offre STARTTLS de la connexion.

Les trois ports, simplement

• Port 587 : pour les applications et les utilisateurs qui envoient via leur fournisseur. Connexion en clair, puis STARTTLS, puis identification. Choisissez « STARTTLS » ou « TLS » dans les réglages.
• Port 465 : même usage, mais chiffré dès la toute première seconde (souvent appelé « SSL » ou « TLS implicite » dans les réglages). Choisissez « SSL/TLS ».
• Port 25 : pour les serveurs qui communiquent entre eux. Les applications ne devraient normalement pas l'utiliser pour envoyer via un fournisseur, et beaucoup de fournisseurs d'accès et de cloud le bloquent.

Une erreur courante consiste à choisir le port 465 avec « STARTTLS », ou le port 587 avec « SSL ». La connexion échoue alors, ou repasse en clair.

Comment vérifier

1. Relisez vos réglages d'envoi : nom du serveur, port, option de chiffrement et identifiants.
2. Testez le serveur en ligne de commande :

   openssl s_client -starttls smtp -connect smtp.example.com:587

   Si vous voyez un certificat et une réponse 250, le serveur gère STARTTLS sur ce port.
3. Lancez un test Delivmail. Dès que votre application envoie de nouveau, envoyez un email à l'adresse unique de la page d'accueil (/). Le rapport confirme que l'email est arrivé, affiche l'IP et le serveur d'envoi, et vérifie le SPF, le DKIM et le DMARC pour cette application.

Comment corriger

1. Activez le chiffrement dans votre application, extension ou appareil : choisissez « STARTTLS » (ou « TLS ») avec le port 587, ou « SSL/TLS » avec le port 465.
2. Utilisez le nom de serveur exact donné par votre fournisseur (par exemple smtp.office365.com pour Microsoft 365), pour que le certificat corresponde.
3. Mettez à jour les logiciels anciens. Mettez à jour le firmware de l'imprimante, l'extension du CMS ou la bibliothèque. Si l'appareil ne sait pas faire de TLS moderne, faites passer ses envois par un petit relais qui en est capable, ou utilisez plutôt une option de numérisation vers un dossier.
4. Sur votre propre serveur mail, activez le TLS sortant. Dans Postfix, réglez smtp_tls_security_level = may et vérifiez qu'une version récente d'OpenSSL est installée.
5. Vérifiez les pare-feux et antivirus qui analysent les emails : désactivez leur inspection SMTP s'ils cassent STARTTLS.

Remarque pour Microsoft 365

Microsoft 365 exige aussi que l'identification SMTP (SMTP AUTH) soit autorisée pour la boîte, et n'accepte que les versions récentes de TLS. Si le TLS est activé et que cela échoue encore, vérifiez que SMTP AUTH est activé pour ce compte dans le centre d'administration.

Vérifiez que c'est corrigé

Envoyez un test depuis l'application ou l'appareil, puis un test Delivmail à l'adresse de la page d'accueil. S'il arrive et que le rapport est bon, renvoyez les emails qui avaient échoué. Si votre application affiche une erreur de certificat, revérifiez le nom du serveur et le port.