Pourquoi vos e-mails vont-ils dans le spam d’Outlook ? (Et comment y remédier)

« Outlook » désigne trois filtres différents, et la solution dépend de celui qui a placé votre e-mail dans le dossier Junk. Il y a Outlook.com, le service de messagerie grand public de Microsoft, qui gère également les adresses hotmail.com, live.com et msn.com. Il y a Microsoft 365, qui héberge les boîtes mail professionnelles payées par les entreprises et où un administrateur de l'entreprise destinataire définit la politique antispam. Enfin, il y a l'application Outlook installée sur l'ordinateur d'une personne, qui peut appliquer son propre filtre Junk en plus de la décision prise par le serveur. Les règles que Microsoft a annoncées pour les expéditeurs en 2025 ne s'appliquent qu'au premier cas.

Donc, avant de modifier le moindre enregistrement DNS, je regarde l'adresse du destinataire. Une adresse hotmail.com ou outlook.com relève des règles grand public décrites ci-dessous. Une adresse professionnelle dont la messagerie fonctionne sur Microsoft relève d'une politique de locataire rédigée par l'équipe informatique de cette entreprise.

01Outlook.com et les règles de mai 2025

En avril 2025, Microsoft a annoncé des exigences pour les domaines envoyant plus de 5 000 e-mails par jour à son service grand public. La page des politiques Postmaster indique qu'elles sont entrées en vigueur le 5 mai 2025. Au-delà de ce volume :

• SPF doit réussir pour le domaine d'envoi.
• DKIM doit réussir.
• DMARC doit être publié avec « au moins p=none » et être aligné avec SPF ou DKIM, « de préférence les deux ». La page des politiques ajoute que p=reject est recommandé.

L'article d'assistance sur le message de rejet formule les choses un peu différemment. Il comptabilise au moins 5 000 messages envoyés aux services grand public de Microsoft qui utilisent tous le même domaine dans l'adresse From. Il indique que les vérifications SPF et DKIM doivent toutes deux réussir et que, dès qu'un domaine atteint ce seuil, Microsoft exige que « tous les messages des expéditeurs du domaine » respectent les règles, pas seulement la newsletter qui lui a fait dépasser le seuil. Son exemple DMARC est à peu près aussi minimal que possible pour un enregistrement :

Hostname:   _dmarc
TXT value:  v=DMARC1; p=none

J'y ajouterais une adresse pour les rapports, rua=mailto:dmarc@example.com ou toute autre adresse dont vous consultez réellement les messages. Outlook.com envoie bien des rapports agrégés (la FAQ de Microsoft indique qu'il envoie des rapports RUA et ne prévoit pas d'envoyer de rapports RUF), et le vérificateur DMARC vous indiquera si l'adresse renseignée peut les recevoir.

Google a fixé le même seuil de 5 000 messages par jour pour Gmail en février 2024 et a commencé à renforcer progressivement l'application des règles, y compris par des rejets, en novembre 2025. Yahoo applique une liste d'exigences similaire sans préciser de seuil.

La manière dont la règle est appliquée a changé alors que l'annonce était encore récente. Le billet d'origine indiquait que les messages non conformes seraient d'abord placés dans le dossier Junk et pourraient être rejetés ultérieurement. Une mise à jour datée du 29 avril indique que Microsoft a finalement décidé de les rejeter, mais le même billet contient toujours, plus bas, l'ancien paragraphe annonçant un placement initial dans le dossier Junk. Aujourd'hui, l'interprétation prudente est que, depuis le 5 mai 2025, les messages non conformes sont placés dans le dossier Junk et qu'Outlook.com les rejette désormais également avec le message suivant :

Je n'ai trouvé aucune date publiée pour le passage au rejet. L'article d'assistance le décrit simplement au présent.

02Ce que vous indique le code de rejet

Un rejet d'Outlook.com est plus utile qu'un message qui reste discrètement dans le dossier Courrier indésirable, car il en précise la raison. La page de dépannage de Microsoft contient un tableau des codes. Voici ceux que rencontrent les expéditeurs ordinaires :

Un simple 550 5.7.1 sans les codes propres à Microsoft correspond à un autre type de refus. Une page distincte explique comment l'interpréter.

03Expéditeurs tiers et exigence SPF

De nombreux domaines envoient des e-mails par l’intermédiaire de plusieurs services à la fois : une plateforme de newsletter, un CRM, un service d’assistance, un système de facturation. Chacun envoie des messages avec votre domaine dans le champ From et doit être couvert par vos enregistrements. À la question de savoir si les règles s’appliquent toujours lorsqu’un fournisseur envoie des e-mails pour vous, la FAQ de Microsoft répond : « Oui. Même si vous externalisez l’envoi, l’authentification reste liée à votre domaine. » L’article d’assistance précise ce qu’il faut vérifier : que DKIM signe avec votre domaine et que votre enregistrement SPF « inclut l’adresse IP ou les valeurs include requises par le service ».

C’est ici que l’exigence simultanée de SPF et DKIM devient difficile à comprendre. De nombreuses plateformes utilisent une adresse de rebond sur leur propre domaine, et c’est ce Return-Path que SPF vérifie réellement. SPF réussit alors pour la plateforme, ce qui satisfait l’exigence de réussite, tandis que l’alignement DMARC doit provenir d’une signature DKIM utilisant votre domaine. Si la plateforme signe plutôt avec son propre domaine, les deux vérifications réussissent mais aucune n’est alignée, et le DMARC fail qui en résulte correspond exactement à l’erreur 5.7.515. L’article d’assistance vous demande également de vérifier si le domaine Return-Path est aligné avec le domaine From.deux réussites, aucun alignement : toute l’histoire de l’erreur 5.7.515

Chaque service que vous ajoutez à SPF consomme également des recherches DNS. La FAQ de Microsoft le formule ainsi : « Si vous dépassez 10 recherches DNS, votre vérification SPF peut échouer. » Le vérificateur SPF les compte pour vous. Si vous dépassez la limite, voici comment repasser sous les dix recherches. Le vérificateur DKIM effectue la vérification correspondante pour le sélecteur de chaque plateforme.

04Microsoft 365 applique la politique de filtrage d’un tiers

Une organisation Microsoft 365 dispose de politiques antispam configurées par ses administrateurs. Par défaut, le spam, le spam à niveau de confiance élevé et les e-mails en masse sont placés dans le dossier Courrier indésirable, tandis que le phishing est placé en quarantaine et que le phishing à niveau de confiance élevé est toujours mis en quarantaine. Pour l’expéditeur, la quarantaine est l’issue la plus préjudiciable, car le destinataire ne trouve le message dans aucun dossier à moins de le rechercher. La politique par défaut l’y conserve pendant 15 jours, et les préréglages Standard et Strict pendant 30 jours.

Les e-mails en masse ont leur propre indicateur, le niveau de plaintes concernant les e-mails en masse. Un BCL compris entre 1 et 3 désigne un expéditeur d’e-mails en masse faisant l’objet de peu de plaintes, tandis qu’un BCL de 8 ou 9 désigne un expéditeur faisant l’objet de nombreuses plaintes. La politique par défaut place les e-mails en masse dans le dossier Courrier indésirable à partir d’un BCL de 7, le préréglage Standard à partir de 6 et Strict à partir de 5. Depuis juillet 2026, une couche supplémentaire existe : les e-mails en masse de nature promotionnelle reçoivent une étiquette Promotions, quel que soit leur BCL. Lorsqu’un administrateur a activé « Bulk moves enabled », ils arrivent dans un dossier Promotions. Ce n’est pas du spam, mais ce n’est pas non plus la boîte de réception. Le déploiement de cette fonctionnalité est toujours en cours.

Les deux systèmes de Microsoft ne sont pas isolés l’un de l’autre. Microsoft indique que le filtrage antispam de Microsoft 365 « apprend des menaces connues de spam et de phishing, ainsi que des commentaires des utilisateurs de notre plateforme grand public, Outlook.com ». Les signalements des utilisateurs de hotmail.com alimentent donc le filtre utilisé par les boîtes de réception professionnelles.

Les administrateurs peuvent également ajouter un expéditeur à une liste d’autorisation, ce qui contourne la plupart des protections, à l’exception de celles contre les logiciels malveillants et le phishing à niveau de confiance élevé. Si une entreprise partenaire continue de recevoir vos factures dans le dossier Courrier indésirable, son équipe informatique est la seule à pouvoir consulter le verdict réel.

05Lire le verdict dans les en-têtes

Si vous pouvez récupérer le message tel qu'une boîte aux lettres Microsoft 365 l'a reçu, les en-têtes antispam indiquent directement la décision. X-Forefront-Antispam-Report contient plusieurs champs utiles à connaître :

• SFV:SPM signifie que le filtrage antispam a classé le message comme spam, SFV:NSPM qu'il ne l'a pas classé comme spam et SFV:SFE que le filtrage a été ignoré parce que l'expéditeur figure dans la liste Safe Senders de l'utilisateur.
• CAT indique la catégorie de règle appliquée : SPM, HSPM (spam à niveau de confiance élevé), BULK, PHSH, SPOOF.
• SCL est un nombre, soit -1, soit de 0 à 9. Les anciens guides le considèrent comme le verdict. La page SCL actuelle de Microsoft précise que cette valeur « ne détermine pas si le filtrage antispam identifie un message comme spam ou comme spam à niveau de confiance élevé ». Consultez donc d'abord CAT.

Les en-têtes contiennent également compauth, le verdict composite de Microsoft établi à partir de SPF, DKIM, DMARC et d'autres éléments du message. Le code de motif 001 signifie que l'authentification implicite a échoué, généralement parce que le domaine d'envoi n'avait publié aucun enregistrement d'authentification ou n'appliquait qu'une règle peu stricte.

06SNDS et JMRP, désormais sur le site Postmaster

Smart Network Data Services, ou SNDS, se trouve désormais sur le nouveau site Postmaster et remplace l'ancien site à l'adresse sendersupport.olc.protection.outlook.com. Il fournit des données par adresse IP. Vous devez donc prouver que vous possédez une plage d'adresses IP avant qu'il ne vous présente quoi que ce soit. Les données couvrent le volume, le taux de plaintes et une couleur indiquant la part de votre trafic que le filtre a considérée comme du spam : vert en dessous de 10 %, jaune entre 10 % et 90 %, rouge au-dessus de 90 %. L'accès expire désormais 10 mois après son approbation ou sa migration et doit être renouvelé.

Pour un petit expéditeur, SNDS peut ne rien afficher, car il peut ignorer une adresse IP qui a envoyé moins de 100 messages au cours d'une journée donnée. Et si vous envoyez vos e-mails via les adresses IP partagées d'une plateforme, ces adresses ne vous appartiennent pas et vous ne pouvez pas les enregistrer.

JMRP, le Junk Mail Reporting Program, est la boucle de rétroaction. Inscrivez-vous via SNDS et Microsoft vous enverra certains en-têtes des messages que les utilisateurs d'Outlook.com ont signalés comme indésirables, généralement dans un délai de 72 heures. Ajoutez-y vos nouvelles adresses IP à mesure que vous les mettez en service.

Microsoft qualifie le taux de plaintes pour courrier indésirable de « l'un des principaux facteurs » de la réputation d'un expéditeur, et la FAQ de SNDS considère qu'un taux de plaintes inférieur à 0,3 % est « un bon objectif à viser ». Les nouvelles adresses IP ont besoin de temps. Microsoft indique qu'une nouvelle adresse IP peut s'attendre à atteindre son plein régime « en quelques semaines ou moins, selon le volume et l'exactitude de la liste ». Et non, il n'existe aucune liste sur laquelle vous pourriez acheter votre place. La page de dépannage demande si Outlook.com gère une liste d'autorisation à laquelle un expéditeur peut accéder et répond « Non ».

07Ce que le destinataire peut modifier

Certains réglages dépendent du destinataire, et vous pouvez tout à fait demander de l'aide à vos lecteurs. Dans Outlook.com (Settings, puis Mail, puis Junk email), un utilisateur peut marquer un message comme Not junk ou ajouter l'expéditeur à Safe senders and domains. Cette liste peut contenir jusqu'à 10 000 entrées, et Microsoft indique que les liens et les images des expéditeurs qui y figurent sont généralement activés par défaut. Un utilisateur strict peut aussi activer le mode "exclusive", qui accepte uniquement les e-mails provenant des Contacts et des Safe Senders.

Le bouton Junk fonctionne dans l'autre sens. Microsoft utilise ces signalements pour déterminer si les futurs e-mails du même expéditeur doivent être bloqués. Par ailleurs, ses recommandations destinées aux expéditeurs demandent un lien de désabonnement "clearly visible". Le texte de Microsoft ne mentionne pas les en-têtes List-Unsubscribe en un clic exigés par Gmail et Yahoo, mais puisque la même campagne est envoyée aux trois services, je les ajouterais partout (les deux en-têtes).

L'application de bureau possède son propre Junk Email Filter. Par défaut, il est réglé sur "No Automatic Filtering", avec les niveaux Low, High et "Safe Lists Only" au-dessus. Ce dernier considère comme indésirable tout message provenant d'une adresse absente des listes d'expéditeurs approuvés de l'utilisateur. Ses listes d'expéditeurs approuvés et bloqués sont synchronisées avec le serveur et y sont également utilisées.

Il y a ensuite Focused Inbox, qui divise la boîte de réception en Focused et Other et, selon les termes de Microsoft, "filters out noisy sources like automatically generated or bulk email". Other est un onglet de la boîte de réception et, selon mon interprétation, une newsletter qui s'y trouve a déjà passé le filtrage antispam.

08Tester avant l’envoi réel

La page de dépannage de Microsoft indique qu’elle « recommande vivement d’effectuer des tests d’e-mail avant d’envoyer des communications réelles ». C’est précisément ce que permet Email Spam Tester. Vous envoyez le message réel à une adresse générée par la page, depuis le serveur ou la plateforme que vous utiliserez réellement, et le rapport présente 42 vérifications : SPF, DKIM et DMARC avec l’alignement, le DNS inverse, la présence de l’IP d’envoi sur 21 listes de blocage (pourquoi elles sont importantes), les en-têtes de désabonnement et le contenu. Chaque vérification qui échoue s’accompagne d’un plan de correction et d’enregistrements DNS à copier. Le nombre de points associé à chaque correction provient du barème de notation.

Ajoutez le test de placement dans les boîtes de réception pour envoyer également le même message vers des boîtes Gmail, Outlook, Yahoo et d’autres fournisseurs. Le rapport indique alors où il est arrivé chez chacun d’eux, d’après la boîte elle-même, y compris dans Focused ou Other lorsque le fournisseur utilise ce type de classement. Le service est gratuit et ne nécessite aucune inscription. La documentation explique chaque vérification et son coût en points.

Si l’étape suivante consiste à ouvrir un ticket d’assistance, notez que le formulaire de délivrabilité de Microsoft accepte uniquement les demandes concernant les adresses @outlook.com, @hotmail.com, @live.com et @msn.com. La page des politiques précise que si vous ne les respectez pas, « il se peut que notre équipe d’assistance ne puisse pas vous aider ».