Erreur Gmail « 550 5.7.26 » : email non authentifié

Ce que ça veut dire

Vous avez reçu un message d'erreur (un « bounce », ou message de non-remise) qui ressemble à ceci :

550 5.7.26 This mail has been blocked because the sender is unauthenticated.
Gmail requires all senders to authenticate with either SPF or DKIM.

D'autres versions du même code indiquent « Unauthenticated email from yourdomain.com is not accepted due to domain's DMARC policy ». Dans tous les cas, Gmail a vérifié l'email, n'a pas pu prouver qu'il venait de votre domaine, et l'a refusé.

Pourquoi c'est important

Ce n'est pas un filtre antispam : l'email n'est pas en spam, il n'a jamais été livré. Tous les emails envoyés de la même façon seront refusés de la même façon tant que la configuration n'est pas corrigée.

Les causes habituelles

• Ni SPF ni DKIM pour votre domaine.
• Le SPF échoue : le serveur qui a envoyé l'email n'est pas listé dans votre enregistrement SPF.
• Le DMARC échoue : le SPF ou le DKIM a réussi, mais pour un autre domaine (par exemple celui de votre outil de newsletter), et votre politique DMARC est quarantine ou reject.
• Le transfert : l'email est passé par une adresse de transfert ou une liste de diffusion qui a cassé le SPF, et aucune signature DKIM ne l'a sauvé.
• Quelqu'un d'autre usurpe votre domaine, et ce bounce est un « backscatter » dont vous n'êtes pas la cause. Consultez le guide sur l'usurpation de domaine.

Comment vérifier

• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte ou l'outil que vous voulez vérifier, puis ouvrez le rapport. Utilisez exactement le même outil que celui qui a reçu l'erreur. Les lignes SPF, DKIM et DMARC montrent quelle vérification échoue, et pour quel domaine.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements.

Comment corriger

1. Identifiez l'expéditeur. Regardez le message d'erreur : quel outil ou quel serveur a envoyé l'email refusé ? Votre boîte mail, un site web, un CRM, un outil de facturation ?
2. Ajoutez-le au SPF. Ajoutez la valeur include: ou ip4: fournie par ce service à votre unique enregistrement SPF.
3. Activez le DKIM dans ce service avec votre propre domaine et publiez la clé qu'il vous donne. Le DKIM résiste au transfert, le SPF non.
4. Vérifiez l'alignement. Le domaine de l'adresse d'expédition (From) doit correspondre au domaine du SPF ou du DKIM. Dans les outils de newsletter, utilisez l'option « authentifier votre domaine ».
5. N'envoyez pas au nom d'un domaine que vous ne contrôlez pas. Un site web qui envoie en tant que @gmail.com échouera toujours.

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures.

Envoyez un nouvel email de test depuis la page d'accueil avec le même outil. Le SPF ou le DKIM doit passer pour votre domaine, et le DMARC doit passer. Renvoyez ensuite l'email refusé au destinataire Gmail.

Plus d'aide : consignes de Google pour les expéditeurs.