GMX / WEB.DE « 554 Transaction failed / Reject due to policy restrictions » et « invalid DNS PTR resource record » : solution

Ce que ça veut dire

GMX et WEB.DE sont deux services de messagerie très populaires en Allemagne, tous deux gérés par United Internet (qui gère aussi mail.com et la messagerie 1&1 / IONOS). Leurs serveurs de réception sont stricts. Quand ils refusent votre serveur, le message d'erreur contient souvent plusieurs lignes commençant par 554-. Il ressemble généralement à l'un de ceux-ci :

554-Transaction failed
554-Reject due to policy restrictions.
554 For explanation visit https://...

554-No SMTP service
554-invalid DNS PTR resource record, IP=203.0.113.10
554 Reject due to policy restrictions.

Certains messages, surtout chez WEB.DE, indiquent Requested action not taken: mailbox unavailable avec une remarque sur l'enregistrement PTR. Cette formulation fait penser à « cette adresse n'existe pas », mais quand elle mentionne l'IP ou l'enregistrement PTR, le problème vient de votre serveur, pas de la boîte du destinataire.

Le message d'erreur contient généralement un lien vers les pages postmaster de GMX ou de WEB.DE, qui expliquent chaque cas. Ouvrez le lien indiqué dans votre propre message d'erreur.

Pourquoi cela arrive

Problèmes de DNS inverse (PTR)

C'est la cause la plus fréquente. Un enregistrement PTR est le nom associé à une adresse IP, comme un annuaire inversé. GMX et WEB.DE attendent :

• qu'un enregistrement PTR existe pour votre IP d'envoi ;
• que ce nom pointe en retour vers la même IP (DNS inverse confirmé dans les deux sens) ;
• un vrai nom de serveur, comme mail.yourdomain.com, et non un nom générique comme 203-0-113-10.dynamic.isp.example ;
• que le nom annoncé par votre serveur dans son message d'accueil (HELO ou EHLO) soit un vrai nom d'hôte qui se résout, idéalement le même que le PTR.

Réputation et politique

« Reject due to policy restrictions » sans mention du PTR renvoie généralement à la réputation : l'IP est sur une liste de blocage, envoie depuis une connexion domestique, est toute neuve, ou bien le contenu et les plaintes ressemblent à du spam. L'absence de SPF, de DKIM ou de DMARC joue aussi contre vous.

Comment vérifier

1. Lancez un test Delivmail. Depuis le même serveur, envoyez un email à l'adresse unique de la page d'accueil (/). Le rapport affiche votre IP d'envoi, son nom PTR, indique si ce nom pointe bien vers l'IP, et montre le nom HELO utilisé par votre serveur. Il vérifie aussi les listes noires et l'authentification.
2. Vérifiez les listes noires. Saisissez l'IP sur /blacklists.
3. Vérifiez votre domaine. Utilisez /domain-scanner pour confirmer que le SPF et le DMARC sont publiés et valides.
4. Ouvrez le lien du message d'erreur vers la page postmaster de GMX ou de WEB.DE pour connaître le cas exact.

Comment corriger

1. Configurez un enregistrement PTR. Le PTR est géré par le propriétaire de l'IP, généralement votre hébergeur ou votre fournisseur de VPS, et non par le DNS de votre domaine. Cherchez « reverse DNS » ou « rDNS » dans son panneau de contrôle, ou demandez à son support. Donnez-lui un nom comme mail.yourdomain.com.
2. Créez l'enregistrement A correspondant. Dans le DNS de votre domaine, faites pointer mail.yourdomain.com vers la même IP.
3. Réglez le nom HELO. Configurez votre serveur mail pour qu'il se présente avec ce même nom. Dans Postfix, c'est myhostname. Beaucoup de panneaux de contrôle et d'applications ont un réglage « hostname » ou « HELO ».
4. N'envoyez pas depuis une connexion domestique. Passez plutôt par le serveur sortant de votre fournisseur ou par un service d'envoi.
5. Authentifiez vos emails avec SPF, DKIM et DMARC.
6. Réglez toute inscription sur une liste de blocage après en avoir supprimé la cause.
7. Si tout est propre et que le refus continue, utilisez le formulaire de contact des pages postmaster de GMX ou de WEB.DE, avec le message d'erreur complet et votre IP.

Vérifiez que c'est corrigé

Une modification du PTR peut mettre de quelques minutes à quelques heures pour être visible. Lancez un nouveau test Delivmail : la section DNS inverse doit afficher un nom PTR qui pointe vers votre IP, et le HELO doit être un vrai nom d'hôte. Renvoyez ensuite l'email à l'adresse GMX ou WEB.DE qui l'avait refusé. Si la cause était la réputation, comptez quelques jours d'envois propres avant que tout soit accepté.