Microsoft 365 « 550 5.7.606 Access denied, banned sending IP » : faire retirer votre IP

Ce que ça veut dire

Microsoft 365 (Exchange Online), qui héberge les boîtes professionnelles de nombreuses entreprises, refuse votre email parce que votre adresse IP d'envoi figure sur sa liste d'IP bannies. Le message d'erreur ressemble généralement à ceci :

550 5.7.606 Access denied, banned sending IP [203.0.113.10]. To request
removal from this list please visit https://sender.office.com/ and follow
the directions. For more information please go to
http://go.microsoft.com/fwlink/?LinkID=526655 AS(1430)

Le code peut aller de 5.7.606 à 5.7.649 ; ils signifient tous la même chose. Le blocage porte sur l'IP : tous les emails de ce serveur vers n'importe quelle organisation Microsoft 365 échouent.

Pourquoi cela arrive

• Du spam ou du phishing a été envoyé depuis cette IP, peut-être par un compte piraté ou un site web compromis.
• Mauvaise réputation de la plage d'IP, fréquente chez les hébergeurs et fournisseurs de VPS à bas prix.
• De gros volumes d'emails vers des adresses invalides ou des destinataires inactifs.
• Une IP neuve sans historique qui se met soudain à beaucoup envoyer.

Comment vérifier

• Envoyez un email de test : sur la page d'accueil de Delivmail (/), copiez votre adresse de test unique et envoyez-lui un email normal depuis le serveur, l'outil ou la boîte mail qui a reçu l'erreur. Ouvrez le rapport dès qu'il est prêt.
• Lisez les sections listes noires et DNS inverse. Un bannissement par Microsoft s'accompagne souvent d'inscriptions sur des listes noires publiques. Vous pouvez vérifier l'IP seule sur /blacklists.
• Examinez les journaux de votre serveur pour repérer des volumes inhabituels ou des comptes qui envoient bien plus que d'habitude.

Comment corriger

1. Corrigez d'abord la cause. Sécurisez les comptes piratés, corrigez les formulaires ou scripts détournés et retirez le spam de la file d'attente. Si vous demandez le retrait sans rien corriger, l'IP sera de nouveau bannie, et les demandes répétées peuvent être refusées.
2. Vérifiez les bases : un DNS inverse avec un vrai nom d'hôte, et un SPF, un DKIM et un DMARC qui passent pour votre domaine.
3. Utilisez le portail de retrait de Microsoft sur sender.office.com :
   • Saisissez une adresse email à laquelle vous avez accès et l'IP indiquée dans le message d'erreur.
   • Microsoft envoie un lien de confirmation à cette adresse. Ouvrez-le.
   • Sur la page qui s'affiche, cliquez sur le bouton pour retirer l'IP de la liste.
4. Attendez que le retrait prenne effet. Cela fonctionne généralement en quelques heures, mais peut prendre jusqu'à 24 heures.
5. Si l'IP appartient à un hébergeur ou à un fournisseur d'emails et que vous ne pouvez pas corriger la source, transmettez-lui le message d'erreur. Il peut enquêter sur ses clients ou vous fournir une IP propre.
6. Gardez de bonnes habitudes : n'écrivez qu'aux personnes qui ont demandé vos emails, retirez les adresses en erreur et ajoutez un lien de désinscription dans les emails marketing.

À ne pas confondre avec Outlook.com

Le portail sender.office.com concerne les boîtes professionnelles Microsoft 365. Les boîtes grand public Outlook.com et Hotmail ont leurs propres blocages (codes comme S3150) et un formulaire de support distinct.

Vérifiez que c'est corrigé

Lancez un nouveau test Delivmail pour confirmer que l'authentification passe et que l'IP est propre. Une fois le retrait effectif, envoyez un email normal à l'adresse Microsoft 365 qui l'avait refusé. Si l'erreur revient, c'est que la cause est toujours active : réexaminez vos journaux avant de demander un nouveau retrait.