Postmark 400 « From address is not a Sender Signature » : la solution

Ce que ça veut dire

Postmark n'envoie que depuis des adresses dont vous avez prouvé être propriétaire. Votre message utilisait une adresse From qui n'est pas confirmée dans votre compte, donc Postmark l'a refusé. La réponse de l'API ressemble généralement à ceci (statut HTTP 422) :

{
  "ErrorCode": 400,
  "Message": "The 'From' address you supplied (info@yourdomain.com) is not a Sender Signature on your account. Please add and confirm this address in order to be able to use it in the 'From' field of your messages."
}

Dans l'onglet Activity ou dans d'autres outils, le même problème peut apparaître sous la forme « Sender Signature not defined for From address. »

Postmark propose deux façons d'approuver un expéditeur :

• Sender Signature : une adresse précise, confirmée en cliquant sur un lien que Postmark envoie à cette boîte.
• Domain : vous vérifiez le domaine entier grâce à des enregistrements DNS. Toute adresse de ce domaine peut alors servir de From.

Pourquoi cela arrive

• La signature a été ajoutée mais jamais confirmée. L'email de confirmation est parti dans une boîte que personne ne lit, ou dans les spams.
• Votre code utilise une autre adresse que celle que vous avez confirmée, par exemple noreply@ au lieu de hello@. Une signature à adresse unique ne couvre que cette adresse exacte. Le nom affiché (« Shop <hello@yourdomain.com> ») n'a pas d'importance, seule l'adresse compte.
• Sous-domaine différent. Un domaine vérifié en yourdomain.com ne couvre pas automatiquement mail.yourdomain.com, et l'inverse est vrai aussi. Ajoutez exactement le domaine depuis lequel vous envoyez.
• Un plugin ou un framework remplace l'adresse From, par exemple WordPress qui utilise wordpress@yourdomain.com, ou un formulaire de contact qui met l'adresse du visiteur en From. Voir emails de formulaire de contact envoyés « From » l'adresse du visiteur.
• Mauvais compte ou mauvais token de serveur : la signature existe dans un autre compte Postmark.

Comment vérifier

1. Enregistrez dans vos logs l'adresse From exacte qu'envoie votre application (pas celle que vous croyez qu'elle envoie).
2. Dans Postmark, ouvrez Sender Signatures. Vérifiez si cette adresse exacte ou son domaine exact est listé, et s'il est confirmé ou vérifié.
3. Pour un domaine, ouvrez ses réglages DNS dans Postmark et voyez si DKIM et Return-Path apparaissent comme vérifiés.
4. Analysez votre domaine avec le scanner de domaine de Delivmail pour voir les enregistrements SPF, DKIM et DMARC réellement publiés.

Comment corriger

Solution rapide : confirmer une adresse

Dans Sender Signatures, ajoutez l'adresse From exacte qu'utilise votre code, puis cliquez sur le lien de l'email de confirmation que Postmark lui envoie. Assurez-vous que la boîte existe et peut recevoir des emails. Vous pouvez envoyer depuis cette adresse dès la confirmation.

Meilleure solution : vérifier le domaine

1. Dans Sender Signatures, ajoutez votre domaine.
2. Postmark affiche un enregistrement TXT DKIM. Copiez le nom d'hôte et la valeur exactement comme affichés ; le nom d'hôte se termine par ._domainkey. Cela ressemble à :

   Host:  <name shown by Postmark>._domainkey.yourdomain.com
   Type:  TXT
   Value: k=rsa;p=MIGfMA0GCSqGSIb3DQEBAQUAA...

3. Ajoutez l'enregistrement chez votre hébergeur DNS. Beaucoup d'interfaces DNS ajoutent le domaine automatiquement : vous devrez peut-être saisir seulement la partie avant yourdomain.com ; voir enregistrement DNS ajouté au mauvais nom.
4. Cliquez sur Verify à côté de DKIM dans Postmark.
5. Configurez aussi le Return-Path personnalisé. C'est expliqué dans Return-Path personnalisé Postmark et alignement DMARC.

Avec un domaine vérifié, Postmark signe vos emails avec votre propre domaine, ce qui permet aussi à DMARC de passer. Une adresse confirmée seule, sans DKIM, peut envoyer, mais vos emails ne sont pas signés avec votre domaine, ce qui nuit à la délivrabilité.

Corriger l'application

• Définissez l'adresse From à un seul endroit (variable d'environnement ou configuration) et utilisez-la partout.
• Pour les formulaires de contact, gardez votre propre adresse en From et mettez le visiteur en Reply-To.
• N'utilisez jamais une adresse de messagerie gratuite (Gmail, Outlook) en From via Postmark : vous ne pouvez pas vérifier ces domaines, et leurs politiques DMARC font échouer ces emails.

Vérifier que c'est corrigé

Envoyez un message depuis votre application à l'adresse unique de la page d'accueil de Delivmail. Si Postmark l'accepte, le rapport apparaît ; vérifiez que le DKIM passe avec votre domaine (d=yourdomain.com) et que le DMARC passe. Renvoyez ensuite le message d'origine. Les modifications DNS peuvent mettre de quelques minutes à plusieurs heures pour être visibles : patientez et cliquez de nouveau sur Verify si Postmark ne voit pas encore l'enregistrement DKIM.