Microsoft 365 « 550 5.7.1 RESOLVER.RST.AuthRequired » : comment le corriger

Ce que ça veut dire

Vous avez envoyé un email à une adresse hébergée sur Microsoft 365, en général un groupe (liste de distribution, groupe Microsoft 365, adresse d'une équipe Teams), un dossier public à extension messagerie ou une boîte restreinte. Ce destinataire est réglé pour n'accepter que les messages d'expéditeurs authentifiés, c'est-à-dire des personnes connectées à la même organisation. Vous êtes à l'extérieur, donc le message a été refusé. Microsoft documente ce texte pour les dossiers publics :

Remote Server returned '<xxxxxxxx> #5.7.1 smtp;550 5.7.1 RESOLVER.RST.AuthRequired; authentication required [Stage: CreateMessage]'

RESOLVER.RST signifie « restriction sur le destinataire ». Les messages d'erreur récents affichent souvent un code plus précis à la place de 5.7.1 :

• 5.7.133 : expéditeur non authentifié pour un groupe.
• 5.7.134 : expéditeur non authentifié pour une boîte mail.
• 5.7.13 ou 5.7.135 : expéditeur non authentifié pour un dossier public.
• 5.7.136 : expéditeur non authentifié pour un utilisateur de messagerie (mail user).

La partie lisible indique généralement que le groupe « only accepts messages from people in its organization or on its allowed senders list » (n'accepte que les messages des personnes de son organisation ou de sa liste d'expéditeurs autorisés).

Pourquoi cela arrive

C'est un réglage, pas une décision anti-spam. Votre SPF, votre DKIM et la réputation de votre IP n'y sont pour rien. Situations typiques :

• Une entreprise crée sales@ ou support@ sous forme de groupe de distribution ou de groupe Microsoft 365. Par défaut, ces groupes n'acceptent que les expéditeurs internes, donc les emails des clients sont rejetés.
• L'adresse email d'une équipe Teams, ou un dossier public utilisé comme boîte partagée, n'a jamais été ouvert aux expéditeurs extérieurs.
• Un administrateur a volontairement réservé une boîte aux expéditeurs internes.
• Un formulaire de contact du site envoie vers une adresse de groupe via un service externe, qui compte comme un expéditeur extérieur.

Si l'erreur indique plutôt 5.7.124 Sender not in allowed-senders list, le groupe n'accepte qu'une liste nominative d'expéditeurs ; la solution consiste à ajouter l'expéditeur à cette liste.

Comment vérifier

1. Lisez le message d'erreur : il indique le destinataire restreint et, avec les codes 5.7.133 à 5.7.136, son type.
2. Si vous êtes l'expéditeur, vérifiez que l'adresse appartient bien à l'organisation visée (regardez son MX avec le scanner de domaine Delivmail), puis contactez-la autrement et transmettez-lui le message d'erreur.
3. Si vous êtes l'administrateur, vérifiez le réglage dans Exchange Online PowerShell :

   Get-DistributionGroup sales@yourdomain.com | Format-List RequireSenderAuthenticationEnabled,AcceptMessagesOnlyFromSendersOrMembers
   Get-UnifiedGroup sales@yourdomain.com | Format-List RequireSenderAuthenticationEnabled
   Get-MailPublicFolder support@yourdomain.com | Format-List RequireSenderAuthenticationEnabled
   Get-Mailbox info@yourdomain.com | Format-List RequireSenderAuthenticationEnabled

   True signifie que seuls les expéditeurs internes authentifiés sont acceptés.

Comment corriger

Seul l'administrateur du destinataire (ou le propriétaire du groupe) peut modifier ce réglage. Décidez d'abord si des personnes extérieures doivent pouvoir écrire à cette adresse : autoriser tout le monde, c'est aussi laisser le spam et le phishing atteindre tous les membres du groupe.

Groupe de distribution

Dans le Centre d'administration Exchange, ouvrez Recipients > Groups, sélectionnez le groupe, puis Settings et cochez l'option qui permet aux personnes extérieures à l'organisation de lui écrire. Ou bien :

Set-DistributionGroup sales@yourdomain.com -RequireSenderAuthenticationEnabled $false

Groupe Microsoft 365 ou équipe Teams

Dans le Centre d'administration Microsoft 365, allez dans Teams & groups > Active teams & groups, ouvrez le groupe et, dans ses paramètres, activez l'option qui permet aux personnes extérieures à l'organisation d'envoyer un email à l'équipe. Ou bien :

Set-UnifiedGroup sales@yourdomain.com -RequireSenderAuthenticationEnabled $false

Dossier public à extension messagerie

Étapes indiquées par Microsoft : Centre d'administration Exchange, Public folders, modifiez le dossier, Mail flow settings, puis sous Message Delivery Restrictions > Accept messages from, décochez Require that all senders are authenticated et sélectionnez All senders. Ou bien :

Set-MailPublicFolder support@yourdomain.com -RequireSenderAuthenticationEnabled $false

Boîte mail

Set-Mailbox info@yourdomain.com -RequireSenderAuthenticationEnabled $false

Alternatives plus sûres

• Pour une adresse partagée comme support@, utilisez une boîte partagée (shared mailbox) : elle accepte les emails extérieurs par défaut et garde une seule copie au lieu d'envoyer le message à chaque membre.
• Pour ouvrir un groupe à un seul partenaire, ajoutez son adresse comme contact de messagerie et placez-la dans la liste des expéditeurs autorisés du groupe, plutôt que de l'ouvrir à tout le monde.
• Les groupes de plus de 5 000 membres ont des restrictions supplémentaires (modération) ; Microsoft les documente à part.

Ouvrir un groupe aux expéditeurs extérieurs n'empêche pas les filtres de Microsoft de contrôler ces messages. Les emails d'expéditeurs mal authentifiés peuvent toujours finir en courrier indésirable, comme expliqué dans les emails arrivent dans le courrier indésirable d'Outlook.

Vérifiez que c'est corrigé

• Les modifications peuvent mettre un peu de temps à se propager. Envoyez ensuite un test depuis une boîte extérieure (par exemple une adresse personnelle) vers le groupe ou le dossier.
• Si l'expéditeur d'origine reçoit encore une erreur, comparez le code : un code différent (par exemple 5.1.10 recipient not found) indique un autre problème.
• Si vous êtes l'expéditeur et voulez vous assurer que votre propre configuration est propre, envoyez un test à l'adresse affichée sur la page d'accueil de Delivmail.