Microsoft 365 « 554 5.2.0 STOREDRV.Submission.Exception:SendAsDeniedException » : comment le corriger

Ce que ça veut dire

Cette erreur vient de votre propre organisation Microsoft 365, pas du destinataire. Vous avez essayé d'envoyer un email avec une adresse From que le compte connecté n'a pas le droit d'utiliser. Le message ressemble généralement à ceci :

554 5.2.0 STOREDRV.Submission.Exception:SendAsDeniedException.
MapiExceptionSendAsDenied; Failed to process message due to a permanent
exception with message Cannot submit message.

Dans Outlook, vous pouvez le recevoir sous forme de rapport de non-remise indiquant « You can't send a message on behalf of this user unless you have permission to do so ».

Pourquoi cela arrive

Microsoft 365 vérifie que le compte qui se connecte pour envoyer a le droit d'utiliser l'adresse du champ From. Il refuse quand :

• Vous envoyez depuis une boîte partagée ou l'adresse d'une autre personne, sans l'autorisation Send As (Envoyer en tant que) ou Send on Behalf (Envoyer de la part de).
• L'autorisation vient d'être ajoutée et n'a pas encore atteint tous les serveurs.
• Outlook garde une ancienne adresse From dans sa liste de saisie automatique, qui pointe vers une boîte ou un alias supprimé.
• Une imprimante, un scanner, un site web ou un script se connecte avec un compte (authentification SMTP) mais met une autre adresse dans le From, comme scanner@yourdomain.com ou noreply@yourdomain.com.
• Une application (CRM, ERP, outil de tickets) envoie au nom des utilisateurs via un compte de service sans autorisations.

Comment vérifier

• Comparez les deux adresses : le compte utilisé pour se connecter (dans les réglages de l'application ou de l'appareil) et l'adresse From. Si elles diffèrent, une autorisation est nécessaire.
• Vérifiez les autorisations de la boîte dans le centre d'administration Exchange : ouvrez la boîte utilisée dans le From, puis ses paramètres de délégation, et regardez Send As et Send on Behalf.
• Testez l'appareil ou l'application avec Delivmail : une fois la correction faite, envoyez un email depuis celui-ci vers l'adresse unique affichée sur la page d'accueil de Delivmail (/). S'il arrive, l'envoi fonctionne, et le rapport indique aussi si le SPF, le DKIM et le DMARC passent.

Comment corriger

1. Accordez la bonne autorisation. Dans le centre d'administration Exchange, ouvrez la boîte (par exemple la boîte partagée), allez dans la délégation et ajoutez l'utilisateur sous Send As (l'email semble envoyé par la boîte elle-même) ou Send on Behalf (affiché comme « utilisateur de la part de la boîte »). En PowerShell :

   Add-RecipientPermission -Identity shared@yourdomain.com -Trustee user@yourdomain.com -AccessRights SendAs

2. Attendez que la modification s'applique. Les autorisations peuvent mettre jusqu'à une heure à prendre effet. Redémarrez ensuite Outlook.
3. Effacez l'ancienne adresse From dans Outlook. Supprimez l'adresse des suggestions de saisie automatique et retapez-la, ou choisissez-la dans le carnet d'adresses.
4. Corrigez les appareils et les scripts. Utilisez comme adresse From la même adresse que le compte de connexion, ou donnez à ce compte l'autorisation Send As sur l'adresse From. Pour les imprimantes et scanners qui ne savent pas s'authentifier correctement, Microsoft documente d'autres solutions comme le direct send ou un connecteur de relais SMTP.
5. Vérifiez que l'adresse existe toujours. Si la boîte ou l'alias a été supprimé, utilisez une adresse actuelle.

Vérifiez que c'est corrigé

Renvoyez l'email depuis le même utilisateur, la même application ou le même appareil. Pour les systèmes automatisés, envoyez d'abord vers une nouvelle adresse de test Delivmail : si l'email arrive, le problème d'autorisation est réglé, et vous pouvez vérifier que la nouvelle adresse From est aussi authentifiée par SPF, DKIM et DMARC avant d'écrire à de vrais destinataires.