Yahoo « 554 5.7.9 Message not accepted for policy reasons » et « [PH01] » : causes et solutions

Ce que ça veut dire

Yahoo Mail (qui gère aussi AOL Mail) a accepté la connexion de votre serveur mais a refusé le message lui-même. Le message d'erreur ressemble généralement à l'un de ceux-ci :

554 5.7.9 Message not accepted for policy reasons. See https://...

554 Message not allowed - [PH01] Email not accepted for policy reasons. Please visit https://...

Quand le problème vient du DMARC, le texte le mentionne généralement, par exemple un message indiquant que l'email n'a pas été accepté à cause de la politique DMARC du domaine. Le texte exact évolue avec le temps : concentrez-vous sur le code et les mots clés.

« Policy reasons » est une réponse vague. Yahoo ne vous dit pas quelle règle précise s'applique, mais en pratique les causes sont peu nombreuses et vous pouvez tester la plupart d'entre elles.

Pourquoi cela arrive

Échec d'authentification ou de DMARC

C'est la cause la plus fréquente. Le DMARC est un enregistrement DNS qui indique aux destinataires quoi faire quand un email qui prétend venir de votre domaine ne peut pas être vérifié. Si votre domaine a p=reject ou p=quarantine et que l'email échoue à la fois au SPF et au DKIM pour votre domaine, Yahoo le refuse. Raisons typiques :

• Un nouvel outil (newsletter, CRM, boutique) envoie au nom de votre domaine mais n'est pas dans votre SPF et ne signe pas en DKIM pour votre domaine.
• L'email est envoyé « From » une adresse Yahoo, AOL ou Gmail via un autre serveur. Ces domaines ont un DMARC strict, donc cela échoue toujours.
• L'email a été transféré ou modifié en chemin et la signature DKIM a été cassée.

Yahoo exige aussi que tous les expéditeurs aient au moins le SPF ou le DKIM, et que les gros expéditeurs aient SPF, DKIM et DMARC ensemble.

Contenu ou liens

Le code [PH01] est souvent lié à un contenu que Yahoo juge dangereux, comme des liens vers un domaine signalé pour phishing ou logiciel malveillant, ou une formulation qui ressemble à une fausse demande de connexion. Un raccourcisseur de liens ou un site piraté dans vos liens peut le déclencher.

Réputation de l'expéditeur

Un domaine tout neuf, une hausse soudaine du volume ou de nombreuses plaintes pour spam peuvent aussi entraîner des refus pour raisons de politique.

Comment vérifier

1. Lancez un test Delivmail. Copiez l'adresse unique de la page d'accueil (/) et envoyez-lui le même email que celui qui a été refusé, depuis le même outil. Le rapport affiche les résultats SPF, DKIM et DMARC, et indique s'ils sont alignés avec votre domaine From. Il vérifie aussi les domaines de vos liens sur les listes de blocage et passe le contenu dans SpamAssassin.
2. Scannez votre domaine. Utilisez /domain-scanner pour lire vos enregistrements SPF et DMARC et repérer une erreur de syntaxe ou un enregistrement manquant.
3. Vérifiez vos liens. Saisissez les domaines vers lesquels vous faites des liens dans /blacklists.
4. Utilisez les outils de Yahoo. Le Yahoo Sender Hub (senders.yahooinc.com) explique leurs exigences et leurs codes d'erreur.

Comment corriger

1. Corrigez d'abord l'authentification. Ajoutez chaque service d'envoi à votre unique enregistrement SPF et activez la signature DKIM avec votre propre domaine dans chaque outil. Le domaine DKIM doit correspondre au domaine From (ou en être un sous-domaine).
2. N'envoyez jamais « From » un domaine de messagerie gratuite (yahoo.com, aol.com, gmail.com) via un autre serveur. Utilisez une adresse sur votre propre domaine.
3. Gardez un DMARC réaliste. Si vous venez de passer en p=reject et que des choses cassent, revenez à p=none le temps de corriger les services manquants, puis durcissez de nouveau.
4. Nettoyez votre contenu. Supprimez les liens vers des domaines signalés, évitez les raccourcisseurs d'URL, utilisez votre propre domaine dans les liens et assurez-vous que votre site n'est pas piraté.
5. Pour les envois en masse, ajoutez un en-tête de désinscription en un clic et gardez un faible taux de plaintes.

Vérifiez que c'est corrigé

Lancez un nouveau test Delivmail avec le même message. Vous voulez un SPF ou un DKIM qui passe et qui soit aligné avec votre domaine From, un DMARC qui passe, et aucun domaine de lien sur liste noire. Renvoyez ensuite l'email à l'adresse Yahoo qui l'avait refusé. Si vous avez modifié des enregistrements DNS, attendez que le changement soit visible (en général moins d'une heure, parfois plus) avant de tester. Si le refus continue alors que les résultats sont propres, c'est probablement une question de réputation : envoyez moins, uniquement à des destinataires actifs, et surveillez l'évolution.