« 554 5.7.1 Relay access denied » à l'envoi

Ce que ça veut dire

Quand vous envoyez un email, vous obtenez une erreur comme :

554 5.7.1 <someone@example.com>: Relay access denied

« Relayer » veut dire transmettre un email vers un autre domaine. Un serveur de messagerie ne le fait que pour les personnes en qui il a confiance, en général les utilisateurs connectés avec un identifiant et un mot de passe. Si le serveur ne sait pas qui vous êtes, il refuse, pour ne pas devenir un « relais ouvert » que les spammeurs pourraient exploiter.

En bref : le serveur par lequel vous envoyez ne vous reconnaît pas comme l'un de ses utilisateurs.

Pourquoi c'est important

• Votre email n'est pas envoyé du tout.
• L'erreur apparaît souvent après la configuration d'une nouvelle application de messagerie, d'une extension de site web, d'une imprimante ou d'un scanner, ou après un changement de mot de passe ou de fournisseur.
• Cette erreur est plutôt bon signe pour le serveur : il se protège. Ne la « corrigez » pas en ouvrant le serveur à tout le monde.

Comment vérifier

• Regardez vos réglages d'envoi (SMTP) dans l'application, l'extension ou l'appareil qui affiche l'erreur.
• Testez un autre destinataire : si les emails vers votre propre domaine passent mais que ceux vers d'autres domaines échouent, c'est un problème de relais, pas un problème du destinataire.
• Une fois que l'envoi fonctionne, envoyez un email de test à l'adresse de la page d'accueil de Delivmail / pour vérifier le SPF, le DKIM et le DMARC.

Comment corriger

1. Activez l'authentification SMTP. Dans les réglages du serveur sortant, cochez « Mon serveur sortant requiert une authentification » et saisissez l'adresse email complète et le mot de passe.
2. Utilisez le bon port et le bon chiffrement. En général le port 587 avec STARTTLS, ou 465 avec SSL/TLS. Le port 25 sert aux échanges entre serveurs et n'accepte souvent pas de connexion par identifiant.
3. Utilisez le bon nom de serveur, tel que donné par votre fournisseur : par exemple smtp.gmail.com pour Google Workspace ou smtp.office365.com pour Microsoft 365.
4. Vérifiez le mot de passe. Si le compte utilise la validation en deux étapes, certains fournisseurs exigent un mot de passe d'application à la place du mot de passe habituel.
5. Vérifiez l'adresse From. Beaucoup de serveurs refusent d'envoyer pour un domaine qui n'est pas le vôtre. Envoyez depuis une adresse du compte avec lequel vous vous connectez.

Si vous gérez le serveur de messagerie

N'autorisez le relais que pour les utilisateurs authentifiés et les adresses IP internes de confiance. Dans Postfix, cela se fait avec smtpd_relay_restrictions, par exemple :

smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination

N'ajoutez jamais tout internet dans mynetworks.

Vérifiez que c'est corrigé

Envoyez un email à une adresse extérieure, par exemple une adresse Gmail à vous : il doit partir sans erreur. Envoyez ensuite un email de test à l'adresse de la page d'accueil et ouvrez le rapport pour confirmer que l'email est authentifié et non blacklisté.