Microsoft 365 « 550 5.7.705 / 5.7.708 Access denied » : tenant bloqué

Ce que ça veut dire

Ces deux erreurs signifient que Microsoft 365 a empêché toute votre organisation (votre « tenant ») d'envoyer des emails vers l'extérieur, et pas seulement un utilisateur. Microsoft les documente ainsi :

550 5.7.705 Access denied, tenant has exceeded threshold.
550 5.7.708 Access denied, traffic not accepted from this IP.

• 5.7.705 : une telle part des emails sortants de votre tenant ressemblait à du spam ou à de l'envoi en masse que Microsoft a bloqué l'envoi du tenant.
• 5.7.708 : vos emails provenaient d'une adresse IP à faible réputation. Microsoft précise que cela touche surtout les nouveaux clients, par exemple pendant un essai de Microsoft 365.

Si une seule personne est bloquée et que le rebond indique 5.1.8 Access denied, bad outbound sender, il s'agit d'un blocage par utilisateur : voir plutôt 550 5.1.8 bad outbound sender.

Pourquoi cela arrive

5.7.705

• Un compte administrateur piraté utilisé pour créer des connecteurs qui relaient du spam via votre tenant.
• Un serveur sur site (on-premises) piraté ou une application qui fait passer ses emails par Exchange Online.
• Plusieurs comptes utilisateurs piratés qui envoient du phishing en même temps.
• Des envois en masse légitimes mais mal ciblés (vieilles listes, nombreuses plaintes) passant par Microsoft 365, qui n'est pas conçu pour l'emailing de masse.
• Plus rarement, un abonnement renouvelé après expiration : Microsoft indique que l'envoi peut être bloqué pendant le renouvellement, généralement pas plus d'une journée.

5.7.708

• Un tenant d'essai ou très récent qui écrit à des destinataires externes. Les nouveaux tenants envoient depuis des pools d'IP à plus faible réputation jusqu'à ce que de vraies licences soient attribuées et que le tenant ait un historique.

Comment vérifier

1. Dans le centre d'administration Exchange, lancez un suivi des messages (message trace) sur les derniers jours et regardez le volume sortant par expéditeur. Des pics, des expéditeurs inconnus ou des objets que vous n'avez pas écrits sont des signes d'abus.
2. Dans le portail Microsoft Defender, consultez Restricted entities pour les utilisateurs bloqués, ainsi que les alertes « suspicious email sending patterns » ou « user restricted from sending email ».
3. Passez en revue les connecteurs (Mail flow > Connectors) à la recherche de tout ce que vous n'avez pas créé :

   Get-InboundConnector | Format-List Name,Enabled,SenderIPAddresses,WhenCreated
   Get-OutboundConnector | Format-List Name,Enabled,SmartHosts,WhenCreated

4. Dans les journaux de connexion Entra, cherchez des connexions d'administrateurs ou d'utilisateurs depuis des pays ou des applications inhabituels.
5. Vérifiez vos propres IP (serveur sur site, relais) avec le vérificateur de listes noires de Delivmail. Une inscription sur une liste signifie généralement que le spam est réellement parti.

Comment corriger

Seul un administrateur peut corriger ces erreurs. Les consignes de Microsoft sont claires : corrigez d'abord la cause, puis contactez le support Microsoft pour lever le blocage. Le support ne le lèvera pas tant que du spam continue de sortir.

Faire le ménage (5.7.705)

1. Réinitialisez les mots de passe et révoquez les sessions de tous les comptes administrateurs et utilisateurs piratés, supprimez les méthodes MFA inconnues, les règles de boîte de réception et les transferts (étapes détaillées pour les comptes piratés).
2. Supprimez ou désactivez les connecteurs que vous n'avez pas créés, et vérifiez qui détient des rôles d'administrateur.
3. Sécurisez tout serveur sur site ou toute application qui relaie via Microsoft 365 : appliquez les correctifs, exigez l'authentification et assurez-vous qu'il ne s'agit pas d'un relais ouvert.
4. Imposez la MFA à tout le monde, en commençant par les administrateurs, et bloquez la legacy authentication quand c'est possible.
5. Déplacez les newsletters et les envois de masse vers un service d'emailing dédié, avec votre domaine authentifié.

Demander la levée du blocage

Ouvrez une demande de support depuis le centre d'administration Microsoft 365 (Support > Help & support, ou via votre partenaire). Joignez un exemple de rebond avec l'erreur complète, la date de début, et une courte liste de ce que vous avez trouvé et corrigé. Les formulaires de délistage en libre-service pour les blocages d'IP (utilisés pour les erreurs 5.7.606 d'IP bannie) ne s'appliquent pas à un blocage de tenant.

5.7.708 sur un tenant d'essai

Microsoft conseille de contacter le support et de demander une exception d'IP jusqu'à ce que vous attribuiez des licences Exchange Online. En pratique, ce qui vous fait sortir du pool à faible réputation, c'est d'acheter et d'attribuer des licences, d'envoyer depuis votre propre domaine vérifié (pas onmicrosoft.com) et de garder un volume faible au début.

Vérifier que c'est corrigé

• Quand le support confirme la levée du blocage, envoyez un email de test depuis un utilisateur normal à l'adresse unique de la page d'accueil de Delivmail. Vérifiez SPF, DKIM et DMARC : un tenant qui a été détourné avait souvent aussi une authentification faible (configurez-les pour Microsoft 365).
• Renvoyez l'un des messages rejetés à son destinataire externe.
• Continuez à surveiller le volume sortant et les alertes pendant quelques semaines ; un second incident entraîne généralement un blocage plus long.