Le scan vers email ne marche plus : configurer une imprimante avec Microsoft 365 ou Gmail

Ce que ça veut dire

Les imprimantes multifonctions et les scanners envoient les scans par email via le SMTP, comme un vieux logiciel de messagerie. Quand cela ne marche plus, l'appareil affiche généralement un message vague (« SMTP error », « authentication failed », « cannot connect to server »). La plupart des pannes viennent de changements chez le fournisseur de messagerie : règles de connexion plus strictes, anciens protocoles retirés, ou emails non authentifiés bloqués.

Pourquoi cela arrive

• La connexion par mot de passe n'est plus acceptée. Gmail exige un mot de passe d'application pour le SMTP, et Microsoft 365 a souvent le SMTP AUTH désactivé. Voir Gmail 535 5.7.8 et Microsoft 365 535 5.7.139.
• Firmware ancien. Les appareils qui ne gèrent que le TLS 1.0/1.1 ou d'anciens algorithmes de chiffrement ne peuvent pas se connecter aux serveurs actuels.
• Mauvais port ou mauvais chiffrement. Par exemple le port 25 sans identifiant vers smtp.office365.com, ou du SSL sur le port 587.
• Mauvaise horloge. Un appareil à la date erronée échoue aux vérifications du certificat TLS.
• Direct send bloqué. Dans Microsoft 365, les administrateurs peuvent désormais refuser les messages « direct send » non authentifiés.
• Email livré mais en spam, parce que l'appareil envoie au nom de votre domaine depuis une IP absente du SPF.

Comment vérifier

1. Notez les réglages de l'appareil : serveur SMTP, port, chiffrement (None, SSL/TLS, STARTTLS), identifiant et adresse « From ».
2. Consultez le journal ou le code d'erreur de l'appareil et mettez à jour son firmware.
3. Testez la connexion depuis un ordinateur du même réseau :

   nc -vz smtp.office365.com 587
   nc -vz smtp.gmail.com 587

4. Envoyez un scan à l'adresse unique affichée sur la page d'accueil de Delivmail (fonctionne avec toute méthode capable de joindre des adresses externes). Le rapport indique si le SPF, le DKIM et le DMARC passent pour l'adresse From de l'appareil.
5. Sur Microsoft 365, utilisez le suivi des messages (message trace) dans le Centre d'administration Exchange pour voir si le message est arrivé et pourquoi il a été refusé.

Comment corriger

Microsoft 365 : choisissez l'une des trois méthodes

Microsoft documente trois façons d'envoyer pour les appareils.

1. Soumission client SMTP AUTH (envoi à n'importe qui) :

Server:     smtp.office365.com
Port:       587
Encryption: STARTTLS
Username:   scanner@yourdomain.com (a licensed mailbox)
Password:   the mailbox password

Le SMTP AUTH doit être activé pour cette boîte. Microsoft retire l'authentification de base (identifiant et mot de passe) pour le SMTP AUTH : au moment où nous écrivons, il est prévu qu'elle soit désactivée par défaut pour les tenants existants fin décembre 2026, avec une date de suppression définitive encore à annoncer. Consultez le calendrier actuel de Microsoft, et préférez pour les nouvelles installations une méthode qui n'en dépend pas.

2. Direct send (destinataires internes uniquement, sans identifiant) : l'appareil envoie vers l'hôte MX de votre Microsoft 365 sur le port 25 :

Server:  yourdomain-com.mail.protection.outlook.com
Port:    25
Login:   none
From:    scanner@yourdomain.com

Utilisez exactement l'hôte MX affiché par dig MX yourdomain.com +short. L'IP publique de votre bureau doit être fixe et ajoutée au SPF, sinon les scans risquent d'arriver en courrier indésirable. Si un administrateur a activé Set-OrganizationConfig -RejectDirectSend $true, le direct send est refusé et il vous faut la méthode 3. Le direct send ne peut pas joindre d'adresses externes : un test Delivmail ne fonctionnera donc pas avec lui.

3. Relais SMTP avec un connecteur (envoi à n'importe qui, sans identifiant de boîte) : dans le Centre d'administration Exchange, créez un connecteur entrant depuis « your organization's email server » (le serveur mail de votre organisation) qui identifie votre IP publique fixe (ou un certificat). L'appareil envoie vers le même hôte MX sur le port 25. Ajoutez l'IP au SPF :

yourdomain.com.  TXT  "v=spf1 include:spf.protection.outlook.com ip4:203.0.113.20 -all"

Voir SPF, DKIM et DMARC pour Microsoft 365.

Gmail et Google Workspace

• Gmail personnel ou boîte Workspace : smtp.gmail.com, port 587 avec STARTTLS (ou 465 avec SSL), adresse complète comme identifiant et un mot de passe d'application (nécessite la validation en deux étapes).
• Relais SMTP Google Workspace : dans la console d'administration, configurez le service de relais SMTP pour l'IP de votre bureau, puis envoyez vers smtp-relay.gmail.com sur le port 587 (ou 25/465). Si vous obtenez « 550 5.7.0 Mail relay denied », voir relais SMTP Google Workspace refusé.

Si l'appareil est trop ancien

Mettez à jour le firmware. S'il ne gère toujours pas le TLS moderne, passez par un petit relais local (un serveur ou un NAS qui accepte les emails de l'appareil et les transfère avec une vraie connexion), ou utilisez la fonction de scan vers le cloud du fabricant.

Vérifiez que c'est corrigé

Envoyez un scan de test à l'adresse Delivmail (méthodes 1 et 3, ou Gmail) et vérifiez que le SPF, le DKIM et le DMARC passent. Scannez ensuite vers un vrai destinataire interne et un vrai destinataire externe. Si vous avez modifié le SPF, attendez la propagation DNS avant de refaire un test.