Sur cette page
- 1. La réputation d'expéditeur (le facteur le plus important)
- 2. L'authentification (SPF / DKIM / DMARC + alignement)
- 3. Les signaux d'engagement
- 4. Les signaux de contenu : SCL et BCL
- 5. L'âge et la régularité du domaine
- 6. La réputation des URL et des liens
- 7. Les règles côté destinataire
- Comment diagnostiquer en pratique
- FAQ
- À lire aussi
- Sources
Outlook décide en quelques millisecondes s'il classe votre e-mail en courrier indésirable, à l'aide d'un modèle qui pèse au moins sept signaux. La plupart des expéditeurs se focalisent sur un seul (en général le contenu), passent à côté des autres et restent indéfiniment dans les indésirables. Voici le tableau complet, par ordre de priorité.
1. La réputation d'expéditeur (le facteur le plus important)
Microsoft tient un score de réputation des IP et des domaines, mis à jour en continu. S'il est mauvais, aucune retouche du contenu ne vous sauvera.
Les signaux qui alimentent la réputation :
- Le taux de plaintes (les utilisateurs d'Outlook.com qui cliquent sur « signaler comme indésirable », ceux de M365 qui cliquent sur « Signaler le message »). Au-dessus de 0,3 %, c'est mauvais.
- Les spam traps touchés (pièges à spam) : pièges purs, pièges recyclés, pièges à fautes de frappe.
- La régularité du volume : les pics soudains ressemblent à une compromission.
- La part d'envois vers des destinataires engagés : envoyer à des destinataires qui ouvrent et répondent construit une réputation positive.
Correctif : inscrivez-vous à SNDS et JMRP. Supprimez chaque plaignant en quelques heures. Retirez les contacts inactifs au bout de 90 jours.
2. L'authentification (SPF / DKIM / DMARC + alignement)
Depuis les règles de Microsoft pour les expéditeurs en masse de mai 2025, l'authentification n'a plus rien de facultatif. Outlook note désormais bien mieux les e-mails alignés DMARC que ceux authentifiés par SPF ou DKIM seuls.
La hiérarchie :
| État de l'authentification | Traitement par Outlook |
|---|---|
| Les trois réussissent + DMARC aligné | Plein bénéfice de réputation |
| SPF ou DKIM réussit, DMARC aligné | Acceptable |
| SPF + DKIM réussissent, pas de DMARC | Pénalisé, peut finir en indésirable |
| Tout échec d'authentification sur un domaine où DMARC est appliqué | Rejeté d'emblée |
Correctif : lancez Domain Health. Confirmez que DKIM signe chaque message (certains ESP le laissent désactivé par défaut pour les sous-comptes). Passez DMARC au minimum en p=quarantine avec le générateur DMARC.
3. Les signaux d'engagement
Outlook suit l'engagement destinataire par destinataire : ouvertures, réponses, messages récupérés via « courrier légitime », déplacements vers « Prioritaire ». Les destinataires qui ne s'engagent jamais pèsent vers les indésirables, quel que soit le contenu.
Correctif :
- Segmentez selon l'engagement à 30, 60 et 90 jours.
- Créez une séquence de reconquête pour les destinataires silencieux depuis 60 jours, avec des objets plus percutants et moins d'images.
- Désactivez-les au bout de 120 jours.
4. Les signaux de contenu : SCL et BCL
Exchange Online Protection (EOP), la protection d'Outlook, attribue deux scores à chaque message :
- SCL (Spam Confidence Level) : de -1 (sûr / sur liste autorisée) à 9 (spam avec un haut niveau de confiance).
- BCL (Bulk Complaint Level) : de 0 (pas un envoi en masse) à 9 (envoi en masse très signalé).
Vous pouvez lire les deux dans les en-têtes de tout message arrivé dans une boîte mail M365 :
X-MS-Exchange-Organization-SCL: 1
X-Microsoft-Antispam: BCL:4
Un SCL ≥ 5 signifiait généralement courrier indésirable, même si Microsoft indique désormais que la valeur SCL ne décide plus de l'action dans les boîtes mail cloud. Un BCL ≥ 7 arrive en indésirable avec la stratégie anti-spam par défaut. Utilisez l'analyseur d'en-têtes e-mail pour examiner les deux.
Ce qui fait monter le SCL ou le BCL :
- Du HTML composé uniquement d'images, des textes alternatifs cassés.
- Des objets agressifs (« FREE!!! », emoji en excès).
- Les raccourcisseurs d'URL et les domaines enregistrés récemment.
- Un From et un Reply-To incohérents.
- Des liens surchargés façon macro (des URL bourrées de paramètres UTM).
5. L'âge et la régularité du domaine
Un domaine d'envoi de deux semaines est traité avec méfiance, quelle que soit son authentification. Tout comme un domaine qui envoie 100 e-mails par jour pendant six mois, puis 50 000 un mardi.
Correctif : faites le warm-up des nouveaux domaines sur 30 jours. Gardez des courbes de volume régulières, et ne dépassez jamais 30 % de hausse d'une semaine sur l'autre.
6. La réputation des URL et des liens
Microsoft utilise ses propres flux de menaces (Microsoft Defender) pour la réputation des URL. Si votre e-mail contient un lien vers un domaine que Defender a signalé, même brièvement, chaque message part en indésirable.
Correctif :
- Auditez chaque mois tous les domaines de liens de vos modèles.
- N'hébergez aucune redirection sur un domaine que vous ne contrôlez pas.
- Si vous utilisez des liens raccourcis, hébergez-les sur votre propre sous-domaine (
go.yourdomain.com), pas sur bit.ly.
7. Les règles côté destinataire
Les utilisateurs d'Outlook peuvent créer des règles par expéditeur (« toujours faire confiance », « toujours en indésirable »). Elles l'emportent sur presque tout le reste pour cette boîte mail. Elles sont invisibles pour les expéditeurs, mais comptent à grande échelle, car les signaux de plainte issus de ces règles se répercutent sur la réputation de votre domaine.
Correctif : rendez la désinscription extrêmement simple. Utilisez List-Unsubscribe en un clic, conformément aux exigences pour les expéditeurs en masse.
Comment diagnostiquer en pratique
Si vos destinataires Outlook voient vos e-mails en indésirable :
- Prenez un exemple de message arrivé en indésirable. Lisez les en-têtes Authentication-Results et X-MS-Exchange-Organization-SCL avec l'analyseur d'en-têtes e-mail.
- Consultez SNDS. De quelle couleur est votre IP aujourd'hui ?
- Vérifiez Spamhaus et 25 DNSBL avec le vérificateur de blacklists.
- Lancez des tests d'inbox placement sur des adresses seed Outlook pour mesurer l'ampleur du problème.
FAQ
Pourquoi Outlook classe-t-il mon e-mail en indésirable alors que Gmail le livre ? Les deux fournisseurs utilisent des moteurs de réputation différents et ne pèsent pas les mêmes signaux. Microsoft accorde plus de poids aux signaux SNDS et JMRP, et pardonne moins les problèmes de réputation des IP partagées.
Dois-je demander aux destinataires de marquer mon e-mail comme « courrier légitime » ? Cela aide un peu (c'est un signal d'engagement positif), mais cela ne compense ni une mauvaise réputation ni des échecs d'authentification. Corrigez d'abord les causes profondes.
Combien de temps faut-il pour rétablir sa réputation chez Outlook ? Une légère dérive de réputation se corrige en 7 à 14 jours d'envois propres. Se remettre d'un blocage S3140 demande 14 à 30 jours d'envois disciplinés après le délistage.
À lire aussi
Sources
- Spam confidence level (SCL) in Microsoft 365 (Microsoft Learn), ce que signifient aujourd'hui les valeurs SCL et où elles sont apposées.
- Bulk complaint level (BCL) in cloud organizations (Microsoft Learn), l'échelle BCL, ses seuils et ses actions par défaut.
- Anti-spam message headers (Microsoft Learn), lire X-Forefront-Antispam-Report, X-Microsoft-Antispam et compauth.
- Strengthening Email Ecosystem: Outlook's New Requirements for High-Volume Senders (Microsoft Tech Community), les règles d'authentification d'Outlook.com pour les expéditeurs à fort volume.
- Outlook.com Postmaster: Troubleshooting, Outlook.com sur le taux de plaintes pour courrier indésirable comme facteur principal de réputation.