Outlook « This sender failed our fraud detection checks » : comment le corriger

Ce que ça veut dire

Les destinataires qui utilisent Outlook.com, Hotmail ou Outlook sur le web voient une barre d'avertissement en haut de votre email. Le texte est généralement :

This sender failed our fraud detection checks and may not be who they appear to be. Learn about spoofing

Microsoft n'a pas pu confirmer que l'email venait vraiment du domaine affiché dans l'adresse From. Il a quand même livré le message (souvent dans le courrier indésirable), mais prévient le lecteur qu'il pourrait être usurpé : envoyé par quelqu'un qui se fait passer pour vous.

Cet avertissement est plus fort que le « ? » gris à la place de la photo et que la mention « We can't verify the sender ». Ceux-là signifient « non vérifié » ; celui-ci signifie « la vérification a échoué ». Si vous ne voyez que le « ? », lisez plutôt Outlook affiche « ? » ou « We can't verify the sender ».

Pourquoi cela arrive

Microsoft combine le SPF, le DKIM, le DMARC et d'autres signaux en un seul verdict appelé authentification composite (compauth). Le bandeau apparaît quand ce verdict est un échec. Raisons fréquentes :

• Le serveur d'envoi ne figure pas dans votre enregistrement SPF et il n'y a pas de signature DKIM valide pour votre domaine. Cas typique : un site web, un CRM ou un outil de newsletter qui envoie « From » votre domaine sans y être autorisé.
• L'alignement DMARC échoue : le SPF et le DKIM passent, mais pour un autre domaine (celui de l'outil), pas celui de votre adresse From. Voir DMARC échoue : le SPF et le DKIM ne correspondent pas à votre domaine.
• Transferts ou listes de diffusion : le message a été transféré ou envoyé via une liste qui l'a modifié, donc le SPF échoue et la signature DKIM est cassée.
• Un formulaire de contact envoie « From » l'adresse du visiteur (par exemple une adresse Gmail) via votre serveur web. Du point de vue de Microsoft, c'est de l'usurpation.
• Une vraie usurpation : quelqu'un d'autre envoie de faux emails avec votre domaine.

Comment vérifier

1. Envoyez un email de test depuis le même outil ou serveur vers l'adresse unique affichée sur la page d'accueil de Delivmail. Le rapport montre les résultats SPF, DKIM et DMARC, et si chacun est aligné avec le domaine de votre From.
2. Lisez les en-têtes d'un message signalé dans la boîte du destinataire (dans Outlook sur le web : les trois points, puis View > View message source). Regardez la ligne Authentication-Results :

   Authentication-Results: spf=fail (sender IP is 203.0.113.25) smtp.mailfrom=yourdomain.com;
    dkim=none (message not signed) header.d=none;
    dmarc=fail action=none header.from=yourdomain.com;
    compauth=fail reason=001

   Microsoft documente les raisons : 000 signifie que le DMARC a échoué avec une politique quarantine ou reject ; 001 signifie que l'authentification implicite a échoué (aucun enregistrement, ou des enregistrements faibles comme un SPF en ~all ou un DMARC en p=none).
3. Vérifiez votre DNS avec le scanner de domaine : un seul enregistrement SPF qui liste tous vos expéditeurs, une clé DKIM pour chaque outil et un enregistrement DMARC.

Comment corriger

1. Listez tous les services qui envoient au nom de votre domaine : fournisseur de messagerie, site web, facturation, CRM, newsletter, support client.
2. Autorisez chacun dans le SPF (un seul enregistrement, 10 requêtes DNS au maximum) :

   Host: yourdomain.com
   Type: TXT
   Value: v=spf1 include:spf.protection.outlook.com include:_spf.example-esp.com -all

   Utilisez les valeurs include fournies par chaque prestataire ; l'exemple ci-dessus ne montre que la forme.
3. Activez le DKIM avec votre propre domaine dans chaque outil (et non le domaine par défaut de l'outil). C'est ce qui permet à l'authentification de tenir quand l'email est transféré.
4. Publiez un DMARC, en commençant par la simple surveillance :

   Host: _dmarc.yourdomain.com
   Type: TXT
   Value: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

   Lisez les rapports, corrigez chaque source légitime, puis passez à quarantine ou reject.
5. Corrigez les formulaires de contact : envoyez depuis une adresse From de votre domaine et mettez l'adresse du visiteur dans le Reply-To.
6. Si vous envoyez avec Microsoft 365, suivez SPF, DKIM et DMARC pour Microsoft 365 ; le DKIM n'est actif qu'une fois que vous l'avez activé pour votre domaine personnalisé.

Demander aux destinataires de vous ajouter à leurs expéditeurs approuvés (Safe Senders) ne cache le bandeau que pour eux. Ce n'est pas une correction et cela n'aide pas les autres destinataires.

Vérifiez que c'est corrigé

• Attendez la propagation des changements DNS, puis envoyez un nouveau test à l'adresse Delivmail : le SPF ou le DKIM doit passer et être aligné, et le DMARC doit passer.
• Envoyez un nouveau message à une adresse Outlook.com et vérifiez que compauth=pass apparaît dans ses en-têtes et que le bandeau a disparu. Les anciens messages gardent leur avertissement.