550 5.7.708 « Access denied, traffic not accepted from this IP » : l’erreur décryptée

Si vous recevez ce bounce de la part d'un destinataire Microsoft 365, vous avez affaire à tout autre chose que le classique S3140 d'Outlook.com :

550 5.7.708 Service unavailable. Access denied, traffic not accepted from this IP.
For more information please go to http://go.microsoft.com/fwlink/?LinkID=526654

Le 5.7.708 est émis par Exchange Online Protection (EOP), le filtre placé devant chaque tenant Microsoft 365. C'est un rejet au niveau de l'IP, mais le signal de réputation est calculé indépendamment des données SNDS d'Outlook.com.

Ce qui déclenche le 5.7.708

EOP renvoie un 5.7.708 quand l'IP d'envoi figure sur sa propre liste interne de blocage par réputation. Causes courantes :

• Un pool d'envoi partagé avec un mauvais voisin. Votre ESP vous a placé sur une IP dont un autre client a abusé. C'est la première cause pour les expéditeurs sur infrastructure partagée.
• Un pic de volume soudain depuis une IP jusque-là peu utilisée.
• Une authentification qui échoue de façon répétée : incohérences SPF / DKIM à grande échelle.
• Un listage sur une grande DNSBL utilisée par Microsoft (Spamhaus SBL/PBL).
• Des signalements de spam confirmés par des administrateurs Microsoft 365 (le complément « Report message »).

Contrairement au S3140, il n'existe aucun formulaire public de délistage pour le 5.7.708. La marche à suivre est différente : la page de correction de Microsoft pour le 5.7.708 vous renvoie vers le support Microsoft.

Comment confirmer qu'il s'agit d'un vrai blocage (et non d'un throttling)

Microsoft 365 renvoie parfois des 4.7.500 / 4.7.501 (report temporaire) qui y ressemblent mais dont on se remet. Le 5.7.708 est définitif, et votre file de nouvelles tentatives ne le lèvera pas.

Vérifiez :

1. La classe du bounce : 550 définitif, contre 421/450 temporaire.
2. L'étendue : tous les destinataires Microsoft 365 renvoient-ils un bounce, ou un seul tenant ? Si c'est un seul, c'est un blocage au niveau du tenant, pas un blocage de l'IP.
3. Les autres fournisseurs : Gmail, Yahoo, etc. acceptent-ils encore vos e-mails ? Si oui, le problème est propre à Microsoft (ce qui est toujours le cas du 5.7.708).

Étape 1 : ouvrez une demande de délistage via le portail Microsoft

Il n'y a pas de formulaire automatisé. Vous ouvrez un dossier de support :

• Si vous envoyez depuis votre propre infrastructure : contactez l'administrateur Microsoft 365 d'un tenant destinataire concerné et demandez-lui de lancer une escalade interne. Il dispose d'un autre canal que les expéditeurs publics.
• Si vous envoyez via un ESP : c'est à votre ESP d'ouvrir le dossier. Contactez son équipe délivrabilité et fournissez la chaîne de bounce mot pour mot, plus les en-têtes d'un message d'exemple.

Dans les deux cas, la demande porte sur :

• La ou les IP bloquées.
• Une description des pratiques d'envoi.
• La configuration d'authentification (SPF/DKIM/DMARC).
• Le volume et la méthode d'acquisition des destinataires.

Délai de résolution : 3 à 7 jours ouvrés en général.

Étape 2 : corrigez la raison de fond

Pendant que le dossier est ouvert :

• Passez Domain Health sur chaque domaine d'envoi. SPF, DKIM et DMARC doivent tous être au vert et alignés.
• Vérifiez avec le vérificateur de blacklists que l'IP ne figure ni chez Spamhaus ni sur d'autres DNSBL. Si c'est le cas, faites-vous d'abord délister là-bas, car le 5.7.708 se lève souvent automatiquement une fois les listages en amont retirés.
• Si vous êtes sur un pool partagé, demandez à votre ESP l'historique de réputation de l'IP. Si elle est « chaude » depuis des semaines, demandez un autre pool ou passez sur une IP dédiée.
• Réduisez un volume trop agressif. Le throttling de Microsoft 365 se manifeste d'abord par des 4.7.500 et monte jusqu'au 5.7.708 si vous continuez à insister.

Étape 3 : après le déblocage

Reprenez les envois lentement. EOP réévalue la réputation sur une fenêtre glissante. Revenir à votre volume habituel dès le premier jour du déblocage est le moyen le plus rapide de vous faire bloquer une deuxième fois.

Montée en charge recommandée :

Jour	% du volume habituel
1 à 2	10 %
3 à 4	25 %
5 à 7	50 %
8 à 10	75 %
11 et plus	100 %

5.7.708 ou S3140 : aide-mémoire

Symptôme	5.7.708	S3140
Filtre	EOP (Microsoft 365)	Filtre d'Outlook.com
Destinataires concernés	Tenants M365	Outlook.com / Hotmail / Live
Formulaire public de délistage ?	Non	Oui (formulaire de support expéditeur d'Outlook.com)
Voie de correction	Dossier de support via le tenant ou l'ESP	Formulaire de délistage d'Outlook.com
Délai de résolution habituel	3 à 7 jours ouvrés	24 à 48 heures

FAQ

Un même expéditeur peut-il être bloqué par EOP mais pas par Outlook.com ? Oui. Les deux systèmes partagent des signaux mais calculent leurs notes indépendamment. Il est courant de n'avoir aucun S3140 tout en étant bloqué en 5.7.708, surtout sur un pool d'IP partagé.

Changer d'IP corrige-t-il le 5.7.708 ? Oui, immédiatement, si la nouvelle IP a une réputation EOP propre. Mais si vous ne corrigez pas la cause profonde, la nouvelle IP récoltera un 5.7.708 en quelques semaines.

Appliquer DMARC aide-t-il ? Nettement. EOP traite bien plus favorablement les e-mails alignés DMARC que ceux en p=none. Si vous êtes en p=none, passez à p=quarantine avec le générateur DMARC.

À lire aussi

• Corriger l'erreur Microsoft 550 5.7.1
• Le throttling Microsoft 421 4.7.500 décrypté
• Le filtrage d'Exchange Online Protection expliqué

Sources

• Fix NDR error codes 550 5.7.703, 5.7.705, 5.7.708 and 5.7.750 (Microsoft Learn), Microsoft attribue le 5.7.708 « traffic not accepted from this IP » à une IP de faible réputation et renvoie vers le support Microsoft.
• Email nondelivery reports and SMTP errors in Exchange Online (Microsoft Learn), la restriction temporaire 4.7.500-699 à côté des interdictions de tenant et d'IP 5.7.705/5.7.708.
• Use the delist portal to remove yourself from the blocked senders list (Microsoft Learn), sender.office.com traite les blocages Microsoft 365 (5.7.606-649), avec un formulaire distinct pour Outlook.com.
• Built-in security features for all cloud mailboxes (Microsoft Learn), ce que filtre Exchange Online Protection pour chaque boîte mail dans le cloud.