Microsoft 365 « 550 5.1.8 Access denied, bad outbound sender »

Ce que ça veut dire

Un utilisateur Microsoft 365 essaie d'envoyer un email et reçoit en retour :

550 5.1.8 Access denied, bad outbound sender

Microsoft a placé ce compte sur sa liste des entités restreintes (Restricted entities). Il le fait quand un compte envoie une grande quantité de spam ou dépasse les limites d'envoi. Le compte peut toujours recevoir des emails, mais il ne peut plus en envoyer.

Dans la plupart des cas, le compte a été piraté : quelqu'un a volé le mot de passe (souvent avec un email de phishing) et s'en est servi pour envoyer du spam. Parfois, il s'agit d'un envoi en masse légitime mais très important, fait depuis une boîte normale. Les boîtes Microsoft 365 ont des limites d'envoi quotidiennes et ne sont pas faites pour les newsletters.

Pourquoi c'est important

• L'utilisateur ne peut plus envoyer d'emails tant qu'un administrateur n'a pas débloqué le compte.
• Si le compte a été piraté, l'attaquant a peut-être encore accès, a pu créer des règles de transfert cachées ou lire des emails sensibles.
• Le spam envoyé depuis votre domaine peut abîmer sa réputation et le faire blacklister.

Comment vérifier

• Dans le portail Microsoft Defender, ouvrez la page Entités restreintes : l'utilisateur bloqué y figure.
• Regardez le dossier Éléments envoyés et les journaux de connexion, à la recherche de messages et de connexions que l'utilisateur ne reconnaît pas.
• Vérifiez vos blacklists : saisissez votre domaine sur /domain-scanner ou vérifiez vos IP d'envoi sur /blacklists.

Comment corriger

1. Sécurisez d'abord le compte. Réinitialisez le mot de passe, déconnectez l'utilisateur de toutes ses sessions et activez l'authentification multifacteur (MFA).
2. Cherchez les pièges laissés par l'attaquant. Supprimez les règles de boîte de réception inconnues, les transferts vers des adresses extérieures, et les applications ou appareils inconnus connectés au compte.
3. Analysez l'ordinateur de l'utilisateur à la recherche de logiciels malveillants si le mot de passe a pu y être volé.
4. Débloquez l'utilisateur. Dans le portail Defender, allez sur la page Entités restreintes, sélectionnez l'utilisateur et choisissez de le débloquer. Cela peut prendre jusqu'à 24 heures. Microsoft limite le nombre de déblocages possibles pour un compte, alors ne sautez pas les étapes précédentes.
5. Faites vos envois en masse ailleurs. Si le blocage vient d'une vraie newsletter, envoyez-la via un service d'emailing dédié, pas depuis une boîte normale.

Microsoft détaille toute la procédure dans Répondre à un compte de messagerie compromis.

Vérifiez que c'est corrigé

Une fois débloqué, envoyez un court email depuis le compte vers une adresse extérieure. Envoyez ensuite un email de test depuis ce compte à l'adresse de la page d'accueil de Delivmail / : le rapport doit montrer le SPF, le DKIM et le DMARC qui passent, et aucune blacklist. Avec la surveillance DMARC du tableau de bord payant, surveillez les semaines suivantes tout envoi inattendu depuis votre domaine.