Microsoft 365 « 550 5.4.1 Recipient address rejected: Access denied. AS(201806281) » : signification et solution

Ce que ça veut dire

L'organisation du destinataire utilise Microsoft 365. Ses serveurs ont vérifié l'adresse à laquelle vous avez écrit et ont constaté qu'elle n'existe pas dans leur annuaire : ils ont donc refusé l'email avant même de l'accepter. Le message d'erreur ressemble généralement à ceci :

550 5.4.1 Recipient address rejected: Access denied. AS(201806281)
[DB5EUR03FT012.eop-EUR03.prod.protection.outlook.com]

Le nom de serveur entre crochets varie. Malgré les mots « Access denied », il ne s'agit pas de votre réputation, de votre IP ou de votre authentification. Cela veut dire « cette adresse est inconnue ici ».

Pourquoi cela arrive

Microsoft 365 utilise une fonction appelée Directory-Based Edge Blocking : elle refuse tout email destiné à une adresse absente de l'annuaire de l'organisation. Raisons fréquentes :

• Une faute de frappe dans l'adresse, ou l'ancienne adresse d'une personne qui a quitté l'entreprise.
• La boîte, l'alias ou le groupe a été supprimé, ou n'a jamais été créé.
• Une nouvelle boîte n'est pas encore prête, ou un utilisateur créé dans un annuaire local n'a pas encore été synchronisé avec Microsoft 365.
• Le domaine est mal configuré chez le destinataire : dans une configuration hybride, ou quand certaines boîtes sont hébergées ailleurs, le domaine doit être défini en « Internal relay » plutôt qu'en « Authoritative ».
• Le MX du domaine pointe toujours vers Microsoft 365 alors que l'entreprise a déplacé sa messagerie chez un autre fournisseur.

Comment vérifier

Si vous êtes l'expéditeur

• Vérifiez l'orthographe de l'adresse, lettre par lettre, et comparez-la avec un email récent de cette personne.
• Examinez le domaine sur /domain-scanner : les enregistrements MX indiquent où le domaine reçoit ses emails. S'ils pointent vers Microsoft 365 alors que l'entreprise dit utiliser un autre fournisseur, son DNS n'est pas à jour.
• Assurez-vous que votre propre configuration est bonne en envoyant un test à l'adresse unique affichée sur la page d'accueil de Delivmail (/). S'il arrive et que le rapport est propre, le problème est du côté du destinataire.

Si vous administrez l'organisation destinataire

• Cherchez l'adresse dans le centre d'administration Microsoft 365, y compris dans les alias (proxy addresses), les groupes et les boîtes partagées.
• Vérifiez le type de domaine accepté dans le centre d'administration Exchange.
• Vérifiez la synchronisation de l'annuaire si vous utilisez un Active Directory local.

Comment corriger

1. Expéditeur : corrigez l'adresse, ou demandez à la personne son adresse actuelle par téléphone ou par un autre canal. Vous ne pouvez rien corriger de votre côté si l'adresse n'existe pas.
2. Administrateur destinataire : créez l'adresse manquante sous forme de boîte, d'alias, de groupe ou de contact de messagerie, selon qui doit la recevoir.
3. Réparez la synchronisation pour que l'utilisateur apparaisse dans Microsoft 365, puis attendez la synchronisation suivante.
4. Passez le domaine en Internal relay si certaines adresses du domaine sont hébergées sur un autre système, et configurez le connecteur sortant correspondant.
5. Mettez à jour les enregistrements MX si le domaine n'utilise plus Microsoft 365 pour ses emails.

Vérifiez que c'est corrigé

Une fois l'adresse créée ou corrigée, patientez un peu (les modifications d'annuaire peuvent prendre jusqu'à une heure, celles du DNS quelques heures), puis renvoyez l'email. S'il est encore refusé avec le même code, demandez à l'équipe informatique du destinataire de vérifier l'adresse directement dans son centre d'administration.