internet & fixe mon mail Orange Voir tous les sujets internet & fixe

[#1]

Bonjour,

Je constate depuis plusieurs semaines le rejet systématique de mes e-mails envoyés via le serveur SMTP smtp.orange.fr (port 465, SSL/TLS activé) vers les domaines Microsoft tels  hotmail.com.

via des messageries tel outlook ou wlm 

Le message d'erreur renvoyé par Microsoft est :

550 5.7.515 Access denied, sending domain ORANGE.FR doesn't meet the required authentication level.

Après analyse via des outils comme check-auth@verifier.port25.com, il apparaît que :

• Le domaine orange.fr passe les vérifications SPF ✅
• Il dispose d’une politique DMARC correcte ✅
• Mais la signature DKIM échoue ❌, probablement en raison d’une altération minime du message par le MUA (client de messagerie)

🔍 En examinant les en-têtes Authentication-Results dans le mail rejeté, on remarque une désynchronisation entre les champs d= et From: (malgré une même racine de domaine), ou un mismatch d’empreinte DKIM en raison d’un encodage modifié ou d’une variation dans les espaces ou les headers secondaires.

📌 Demande technique : Pour garantir la compatibilité avec les MUA qui ne normalisent pas strictement les messages,

je vous propose de passer la canonisation DKIM en mode relaxed/relaxed sur le domaine orange.fr :

• Mode d’en-tête DKIM : relaxed → tolère les variations d’espacement, d’ordonnancement et de casse dans les champs d’en-têtes
• Mode de corps DKIM : relaxed → ignore les changements mineurs comme les sauts de ligne, les espaces ou le charset

Cela permettrait de maintenir l’intégrité de la signature DKIM dans un plus grand nombre de cas, sans compromettre la sécurité, et d’assurer la conformité avec les exigences de Microsoft définies dans leur documentation ici.

Merci d’avance pour votre attention et votre retour technique.

[#2]

Bonjour @johanna974 

Tu ne dis pas avec quelle adresse expéditeur tu envoies tes emails.

Avec le smtp.orange.fr seule sont acceptées les adresses expéditeur @orange.fr

Sinon si les normes d'authentification de la zone DNS d'Orange étaient foireuses, il y a longtemps que ça se saurait.

Aucun souci de mon côté pour envois avec adresses expéditeur @orange vers @hotmail via mon client de messagerie

---

@johanna974  a écrit :

via des messageries telles outlook ou wlm 

---

Outlook: précise ta version. Les versions égales ou postérieures à 2013 sont désormais requises par rapport aux normes de sécurité TLS 1.2 mini. Les versions antérieures retournent des rejets comme ceux que tu constates.

WLM: c'est une blague.? Ce soft n'est plus suivi par Microsoft depuis 2017. C'est une énorme faille de sécurité et bien-sûr pas aux normes TLS mini

[#3]

envoi de mail de orange vers @hotmail via l'espace orange en direct OK, via un logiciel tiers pas toujours ok et c'est récent en raison des raisons technique indiqués plus haut ! 

[#4]

en réponse  : WLM:  Ce soft n'est plus suivi par Microsoft depuis 2017. C'est une énorme faille de sécurité et bien-sûr pas aux normes TLS mini :

en réponse  : Windows 10 active TLS 1.2 par défaut DONC  WLM  fonctionne sur win 10 et  win 11... 

[#5]

Re @johanna974 

---

@johanna974  a écrit :

en réponse  : Windows 10 active TLS 1.2 par défaut DONC  WLM  fonctionne sur win 10 et  win 11... 

---

En réponse : déduction erronée. Ce n'est pas lié

Et tu n'as pas donné ta version de Outlook

Installe Thunderbird sur ton PC W10. Compte orange en mode imap (rien de modifié ainsi sur les messages / serveur)

Fais un essai d'envoi de @orange vers @hotmail 

Tu en tireras toi-même les conclusions...

Et bien-sûr sans VPN dans tous les cas

[#6]

Bonjour @johanna974 ,

Je plussoie la suggestion de @Dibalam  : Installe Thunderbird et tu verras par toi-même.

https://communaute.orange.fr/t5/mon-mail-Orange/Tout-savoir-sur-Thunderbird/m-p/2516908#M215480

On est ici pour aider avec de vraies solutions et non pas pour faire de la spéléologie dans un monde des dinosaures.

WLM sur W10 ? Pffffffft ... Quel intérêt pour Madame Michu ?

On n'est pas ici pour couper les cheveux en quatre et gnagnagna et gnagnagna !

Tes expériences à la professeur Tournesol n’intéressent personne.

Et au cas où raisonnablement tu voudrais migrer de WLM vers Thunderbird, voici de quoi faire :

https://communaute.orange.fr/t5/Trucs-et-astuces/Migrer-de-Windows-Live-Mail-vers-Thunderbird/ta-p/1...

[#7]

Je ne doute pas que thunderbird soit à jour sur ses protocoles, mais c'est un outil  qui gère des volumes de mails trop faible pour moi.  

Concernant  l’erreur 550 5.7.515 – DKIM Fail lors de l’envoi de mails vers des adresses Microsoft (comme @hotmail.fr, @@outlook.com...), malgré une configuration correcte deSPF, DKIM et DMARC.

Ce problème n'est pas que Windows Live Mail, mais il est en réalité plus large :

• Il touche aussi Outlook, Apple Mail, des infrastructures comme Microsoft 365 ou Cisco OnPrem.
• Même des serveurs bien configurés se voient rejetés par les serveurs Microsoft.
• voir https://answers.microsoft.com/en-us/outlook_com/forum/all/got-550-57515-access-denied-sending-domain...
• serait concerné des maisl adressés à  @hotmail.fr / @hotmail.com  @outlook.fr / @outlook.com 
• @live.fr / @live.com

Orange signe ses mails DKIM en mode simple/simple, ce qui est trop rigide.

Un passage en relaxed/relaxed, comme chez Google, OVH ou Infomaniak, permettrait :

• De tolérer les légères modifications apportées par les logiciels ou serveurs,
• De conserver une signature DKIM valide et donc une bonne délivrabilité vers Microsoft.

Cela bénéficierait à tous les utilisateurs.

Le mode relaxed ne diminue pas la sécurité : il ne permet pas de falsifier un message, mais seulement de tolérer des variations non malveillantes

Merci pour votre écoute et votre retour sur cette proposition technique.

[#8]

@johanna974 

@Dibalam 

Je ne doute pas que thunderbird soit à jour sur ses protocoles, mais c'est un outil qui gère des volumes de mails trop faible pour moi.

T'es sérieuse ? Où as-tu vu jouer ça ?

La quantité de mails gérés par un Thunderbird est limitée à la capacité du disque dur à raison d'environ 1 Go pour 1000 mails, pièces jointes comprises.

Je te laisse faire le total...

[#9]

Re @johanna974 

---

@johanna974  a écrit :

Concernant  l’erreur 550 5.7.515 – DKIM Fail lors de l’envoi de mails vers des adresses Microsoft (comme @hotmail.fr, @@outlook.com...), malgré une configuration correcte de SPF, DKIM et DMARC.

---

Ça n'a pas de sens

Ces paramètres sont définis dans la zone DNS des domaines (et donc du domaine des adresses mail expéditeurs et domaine serveur si même domaine) par le registrar ou registrant du domaine. Les clients mail génèrent ensuite une signature d'authentification en fonction de ces paramètres bien à jour pour le domaine, et en fonction des logiciels de messagerie utilisés et à condition qu'ils soient à jour et aux normes TLS. Dans le cas contraire la signature est foireuse et le message rejeté par le serveur destinataire

Les envois avec @orange et smtp.orange.fr fonctionnent très bien sous W10 par exemple avec Thunderbird vers les adresses hotmail et autres adresses Microsoft

STP. Ne généralise pas...!  Ton problème qui est chez toi dans tes softs et paramétrages utilisés...!

Tu n'as toujours pas précisé ta version de Outlook...!

[#10]

Effectivement, thunderbird ne semble pas être limité en taille.

Mais cela ne répond pas la question de fond plus large sur les protocoles 

• Vos serveurs signent les mails avec DKIM en mode canonisation simple/simple, qui est très strict.

• Cela signifie que la moindre modification bénigne du message (espaces, sauts de ligne, encodage…) rend la signature DKIM invalide.

• Ces modifications sont fréquentes et légitimes : elles viennent de logiciels ou d’antivirus et serveurs SMTP intermédiaires.

Orange pourrait  passer la signature DKIM en mode relaxed/relaxed, comme le font :

• • Google (Gmail / Workspace)

  • OVHcloud

  • Infomaniak

  • Et de nombreuses plateformes professionnelles

• • Ce mode tolère les petites modifications légitimes apportées par les logiciels.

  • Il permet de conserver une signature DKIM valide.

  • Il n’affaiblit pas la sécurité, car toute modification malveillante est toujours détectée.

  💬 En résumé : Orange utilise un mode DKIM trop strict qui cause des rejets injustifiés. Nous demandons un ajustement technique courant chez vos concurrents, pour garantir la compatibilité et la délivrabilité, sans modifier la sécurité.