Depuis la publication originale de cet article de blog, nous avons continué à surveiller le comportement d'Outlook et découvert des exemples supplémentaires de la façon dont les systèmes de filtrage de Microsoft deviennent de plus en plus impitoyables en matière de conformité RFC, en particulier avec les en-têtes de message, les enregistrements DNS et la structure du contenu.

Alors que de nombreux fournisseurs de boîtes mails appliquent une approche plus tolérante pour la validation des messages, Outlook applique désormais strictement les différentes RFC, et tout écart par rapport aux spécifications entraîne souvent des échecs d'authentification ou des problèmes de délivrabilité.

Nouvelles Observations :

• Enregistrements DNS DKIM avec des espaces/tabulations au début ou à la fin
  Ces caractères, tels que les espaces ou les tabulations avant ou après un enregistrement DKIM dans le DNS, peuvent perturber la validation avec Outlook. Ces enregistrements seront considérés comme non valides, entraînant un échec DKIM. D'autres fournisseurs de messagerie peuvent ignorer ces espaces, mais Outlook ne le fait pas, cela n'est pas conforme à la RFC.

• Header MIME-Version en doublon dans un message single-part
  Outlook considère cette structure comme non conforme. Même si le message peut s'afficher correctement, la présence de plusieurs en-têtes MIME-Version dans un message simple entraîne des problèmes et génère des échecs DKIM car Outlook « répare » le message avant la vérification.

Principaux comportements Outlook à prendre en compte :

• Analyse DNS stricte pour SPF/DKIM/DMARC

  • SPF: Si l'enregistrement DNS présente des problèmes de syntaxe, Outlook considérera qu'il s'agit d'une erreur DNS, même si l'enregistrement est techniquement compris et interprété par d'autres fournisseurs.

  • DKIM: Un enregistrement DNS non conforme entraînera un échec DKIM. Jusqu'au 17 juin, Outlook corrigeait automatiquement ces problèmes avant la vérification, ce qui n'est plus le cas et est désormais considéré comme une absence de clé publique, ce qui entraîne désormais un échec de vérification de la signature DKIM.

  • DMARC: Si plusieurs enregistrements DMARC sont présents pour un domaine, Outlook les ignore complètement, traitant le domaine comme si aucun enregistrement DMARC n'était publiée.

• Réparation de l'en-tête du message avant la vérification DKIM
  Outlook semble « corriger » les en-têtes mal formés (par exemple : problèmes d'encodage, header manquant ou en doublon) avant d'évaluer la signature DKIM, ce qui signifie que même si la signature était valide au moment de l'envoi, la vérification échoue en raison d'une modification ultérieure.

Ce ne sont que quelques exemples, donc, si vous rencontrez ces erreurs d'authentification en provenance d'Outlook, vérifiez que tous les éléments soient parfaitement RFC Compliant : les enregistrements DNS, mais aussi et surtout les en-têtes et contenus pour la signature DKIM.