Pourquoi ces trois bloqueurs précèdent tout le reste
SPF, DKIM et DMARC sont des enregistrements DNS que vous contrôlez entièrement. Les trois bloqueurs traités ici, eux, dépendent en partie de votre hébergeur et de la réputation de l'IP que vous avez reçue. Il est inutile de configurer DKIM si le port 25 sortant est filtré au niveau de l'hyperviseur : votre serveur tentera de livrer le message, n'atteindra jamais le MX distant, et journalisera une erreur de connexion.
L'ordre de résolution est donc : port 25 → réputation IP → PTR. Ce n'est qu'une fois ces trois points validés que les vérifications d'authentification (SPF, DKIM, DMARC) ont un sens.
Bloqueur 1 : le port 25 sortant est fermé par défaut
La plupart des hébergeurs bloquent le port 25 en sortie sur les nouveaux comptes. Ce n'est pas un oubli : c'est une mesure anti-spam délibérée, documentée, et levable sur demande.
Diagnostic rapide depuis votre VPS
- Testez la connectivité sortante vers un MX externe :
nc -zv gmail-smtp-in.l.google.com 25— « Connection refused » ou timeout indique un filtrage en amont de votre serveur - Vérifiez aussi avec
telnet smtp.example.com 25: si la connexion s'ouvre et que vous voyez le banner220, le port est ouvert ; sinon, le blocage vient de l'hébergeur ou d'un pare-feu intermédiaire - Distinguez un blocage réseau d'un refus applicatif : un
ECONNREFUSEDimmédiat vient du pare-feu de l'hébergeur, un timeout provient d'une règle iptables locale ou d'un filtrage BGP en amont
Procédure de déblocage par hébergeur
Hetzner
Hetzner bloque le port 25 sur tous les nouveaux projets. Le déblocage se fait par ticket support depuis la console Hetzner Cloud (section « Support »). Conditions observées : compte vérifié avec carte bancaire active, usage légitime décrit (serveur mail personnel ou professionnel, domaine possédé). Le délai est généralement de 24 à 72 heures. Précisez dans le ticket l'adresse IPv4 de votre instance, le domaine que vous comptez utiliser, et le volume estimé d'envois. Hetzner Robot (serveurs dédiés) suit la même procédure, le ticket est ouvert depuis l'onglet « Support » de l'interface Robot.
Scaleway
Scaleway propose un formulaire de demande de déblocage SMTP dans la console, sous « Security groups » ou depuis les paramètres de l'organisation (selon la version de l'interface). Il faut y décrire le cas d'usage et le domaine d'expéditeur. Le traitement est manuel côté Scaleway ; le délai observé est de un à trois jours ouvrés. Une fois validé, le déblocage s'applique au niveau du security group de votre projet — vérifiez que le port 25 n'est pas non plus bloqué dans votre propre groupe de sécurité.
OVH / OVHcloud
Sur OVH Public Cloud (instances Nova), le port 25 sortant peut être filtré selon le type de projet. La démarche passe par l'espace client OVH, dans la section « Bare Metal Cloud » ou « Public Cloud » selon votre produit. Cherchez l'option « Anti-spam sortant » ou ouvrez un ticket depuis l'espace client en précisant le type d'instance et l'usage. Sur les VPS OVH classiques (gamme VPS SSD / Comfort / Elite), le port 25 est ouvert par défaut mais peut être bloqué si votre compte a déclenché des alertes.
Autres hébergeurs
Le principe est identique pour la majorité des fournisseurs : le déblocage est possible, conditionnel, et documenté dans leur base de support. Cherchez « SMTP port 25 unblock » ou « outbound email policy » dans leur documentation. Si la procédure n'est pas publique, un ticket support suffit — précisez toujours l'IP, le domaine et le volume prévisionnel.
Ports alternatifs : 587 et 465 ne remplacent pas le 25
Les ports 587 (submission) et 465 (SMTPS) sont utilisés pour la soumission d'e-mails par les clients de messagerie vers votre propre serveur. La livraison de serveur à serveur (MTA-to-MTA) se fait sur le port 25. Si votre VPS ne peut pas ouvrir de connexion sortante sur le port 25, vous ne pourrez pas livrer directement vers les MX des destinataires, indépendamment de la configuration de vos autres ports.
Bloqueur 2 : la réputation de l'IP nouvellement allouée
Une adresse IPv4 allouée à votre VPS n'est pas vierge. Elle a peut-être appartenu à un précédent locataire qui l'a utilisée pour envoyer du spam. Les filtres anti-spam des grands fournisseurs de messagerie (Gmail, Outlook, Yahoo) tiennent des listes noires d'adresses IP — certaines sont maintenues par des organisations tierces (Spamhaus, SORBS, Barracuda), d'autres sont propriétaires.
Un rejet typique lié à l'IP ressemble à : 550 5.7.1 Service unavailable; Client host [x.x.x.x] blocked using Spamhaus. La mention de l'organisation de liste noire vous indique où demander un retrait.
Vérifier la réputation de votre IP avant le premier envoi
- Consultez plusieurs bases de listes noires en une seule requête via MXToolbox Blacklist Check : saisissez votre adresse IPv4 et lancez l'analyse
- Pour une vérification en ligne de commande,
curl -s "https://api.abuseipdb.com/api/v2/check?ipAddress=<votre-ip>&maxAgeInDays=90" -H "Key: <votre-cle>"retourne un score de confiance et l'historique des signalements si vous avez une clé API AbuseIPDB - Si votre IP figure chez Spamhaus (SBL, XBL, PBL), la procédure de retrait est documentée sur leur site ; le délai varie de quelques heures à 48 h
- Si l'IP est dans la Barracuda Reputation Block List, le retrait se demande via leur formulaire en ligne
- Si aucune liste noire ne signale votre IP mais que les envois arrivent en spam, le problème vient de l'absence de PTR (bloqueur 3) ou de l'authentification DNS (SPF/DKIM/DMARC)
Chauffe progressive d'une IP froide
Commencez par un volume minimal
Les premiers jours, limitez les envois à quelques dizaines de messages quotidiens vers des destinataires connus et engagés (pas de listes achetées ni d'envois en masse). Les filtres apprendront que votre IP produit du trafic légitime.
Montez en volume progressivement
Doublez approximativement le volume chaque semaine : 50 → 100 → 200 → 500 → 1 000 messages par jour. Ce calendrier indicatif dépend de votre domaine, de votre taux d'ouverture et de l'absence de signalements spam. Une IP froide qui envoie d'emblée 10 000 messages sera filtrée ou bloquée avant même que ses messages soient lus.
Surveillez les métriques de délivrabilité
Consultez les rapports DMARC (champ rua de votre enregistrement DMARC) pour détecter les rejets et les retours sur liste noire. Un taux de bounces dur supérieur à 2 % ou un taux de signalement spam supérieur à 0,1 % doit vous amener à suspendre et à diagnostiquer avant de reprendre.
Utilisez un outil de score pour valider la configuration
mail-tester.com vous donne un score sur 10 en analysant les en-têtes, l'authentification, le contenu et la réputation de l'IP expéditrice. Envoyez un message test à l'adresse fournie et consultez le rapport détaillé. Viser 9/10 ou plus avant de lancer vos premiers envois en production.
Bloqueur 3 : le PTR (rDNS) absent ou non concordant
Le PTR (Pointer record, aussi appelé enregistrement de DNS inverse ou rDNS) associe votre adresse IP à un nom de domaine. Contrairement aux enregistrements A ou MX que vous créez dans votre gestionnaire DNS, le PTR est configuré du côté de l'hébergeur — c'est lui qui contrôle la zone de DNS inverse correspondant à son bloc d'adresses IP.
Les serveurs de réception vérifient le PTR à chaque connexion entrante : si l'adresse IP d'où provient le message ne résout pas vers un nom, ou si ce nom ne correspond pas au nom d'hôte annoncé dans le HELO/EHLO de votre MTA, le message est souvent rejeté ou fortement pénalisé.
Diagnostic PTR en deux commandes
- Vérifiez le PTR actuel de votre IP :
dig -x <votre-ip> +short— si la commande ne retourne rien, le PTR n'est pas configuré - Vérifiez la concordance avec le nom d'hôte de votre serveur mail : le résultat de
dig -xdoit correspondre au nom que votre MTA annonce dans leEHLO, que vous pouvez trouver dans la configuration de Postfix (myhostname), Stalwart ou Mailcow - Faites le test inverse :
dig <nom-retourné-par-dig-x> +shortdoit retourner votre IP — c'est la validation forward-confirmed rDNS (FCrDNS), que certains filtres exigent
Configurer le PTR depuis votre panel hébergeur
Hetzner Cloud
Dans la console Hetzner Cloud, accédez à votre serveur, puis à l'onglet « Networking ». Cliquez sur l'adresse IPv4, puis sur « Edit reverse DNS ». Entrez le nom de domaine qualifié (FQDN) que votre MTA annonce dans le EHLO — par exemple mail.votredomaine.com. La modification est propagée en quelques minutes.
Hetzner Robot (serveurs dédiés)
Dans l'interface Hetzner Robot, accédez à la section « Servers », choisissez votre serveur, puis l'onglet « IPs ». Cliquez sur l'adresse IPv4 concernée et renseignez le champ « PTR record » avec votre FQDN.
Scaleway
Dans la console Scaleway, accédez à votre instance, puis à « IP addresses ». En regard de votre adresse IPv4, cliquez sur le menu contextuel et choisissez « Edit reverse DNS ». Entrez le FQDN de votre serveur mail.
OVH / OVHcloud
Dans l'espace client OVH, accédez à « Bare Metal Cloud » ou « Public Cloud » selon votre produit, puis à la section « IP ». Localisez votre adresse et utilisez l'option « Modifier le reverse » (ou « Edit reverse »). Le format attendu est un FQDN se terminant par un point dans certaines interfaces — vérifiez la documentation de votre version de l'espace client.
Récapitulatif des trois bloqueurs
| Bloqueur | Symptôme observé | Résolution |
|---|---|---|
| Port 25 fermé | Connexion refusée ou timeout vers MX distant, erreur de connexion dans les logs MTA | Ticket support hébergeur, délai 24-72 h |
| IP froide ou blacklistée | Rejet 550 avec mention d'une liste noire, livraison en spam dès les premières heures | Retrait des listes noires, chauffe progressive |
| PTR absent ou non concordant | Rejet 550 avec mention de reverse DNS, pénalité de score chez les filtres anti-spam | Configuration depuis le panel hébergeur |
Valider l'ensemble avant la mise en production
nc -zv <mx-cible> 25retournesucceeded— le port 25 sortant est ouvertdig -x <votre-ip> +shortretourne le FQDN de votre serveur mail — le PTR est configuré- Ce FQDN résout vers votre IP par
dig <fqdn> +short— le FCrDNS est valide - Votre IP n'apparaît dans aucune des grandes listes noires consultées via MXToolbox
- Un message test envoyé à mail-tester.com obtient un score de 9/10 ou plus
- Les enregistrements SPF, DKIM et DMARC sont en place et validés — voir l'article SPF, DKIM, DMARC : passer le seuil des 5 000 e-mails pour la configuration détaillée
Avec une IPv4 dédiée, vous contrôlez l'ensemble de la chaîne
Sur un hébergement mutualisé, vous partagez l'adresse IP d'envoi avec d'autres clients — et leur réputation influence la vôtre sans que vous puissiez agir. Sur un VPS avec IPv4 dédiée, le PTR, la réputation et la configuration de la pile email vous appartiennent entièrement. C'est la condition technique qui rend possible ce guide.
