Le rapport de votre campagne se remplit de bounces qui disent tous la même chose : 550 permanent failure for one or more recipients (someone@company.com:blocked). Aucune raison, aucun lien pour faire appel, aucun indice sur ce qu’il faut changer.
La réponse directe d’abord : ce bounce signifie qu’une passerelle de filtrage antispam placée devant le serveur du destinataire a refusé votre message, et la formulation exacte est la signature d’un seul éditeur : Barracuda. Le verdict blocked porte sur la réputation ou sur une règle, pas sur une adresse erronée. Ce guide décode chaque partie du message, montre comment savoir en deux minutes si le problème est le filtre d’une seule entreprise ou une inscription sur une blacklist qui vous suit partout, et détaille la correction pour chaque cause, y compris la demande de retrait qui règle la plupart des cas en quelques heures.
Ce que le bounce vous dit
La plupart des messages de bounce sont écrits par le serveur de réception. Celui-ci est écrit par un boîtier de sécurité placé devant lui, et chaque partie de la chaîne porte une information :
550 est le code de réponse SMTP. Les codes qui commencent par 5 sont des échecs permanents : le serveur a refusé le message et a demandé à votre côté de ne pas réessayer. C’est là toute la différence avec un soft bounce en 4xx, qui invite à réessayer plus tard.
« permanent failure for one or more recipients » est la façon dont la passerelle signale qu’au moins une adresse du message a été refusée. Si vous avez écrit à plusieurs personnes de la même entreprise, certaines ont pu être acceptées alors que celle-ci ne l’a pas été.
(someone@company.com:blocked) est la partie utile. La passerelle nomme le destinataire qu’elle a refusé, puis le verdict rendu après le deux-points. blocked signifie que le message a été arrêté par une décision de réputation ou de règle : votre adresse IP d’envoi, votre domaine, un élément du contenu, ou une consigne posée par l’administrateur du destinataire. Cela ne veut pas dire que la boîte est inconnue ou pleine : ces échecs produisent d’autres textes de bounce. Si vous avez l’habitude des bounces des fournisseurs de messagerie, les messages de bounce de Gmail détaillent leurs raisons avec un luxe de précisions dont Barracuda est incapable, lui qui vous laisse un seul mot.
Cette formulation est le rejet caractéristique de la Barracuda Email Security Gateway et de son successeur dans le cloud, Email Gateway Defense : des boîtiers et des services que les entreprises placent devant leurs serveurs pour filtrer le courrier entrant. Quand ce bounce tombe, vous savez désormais deux choses que le message ne dit jamais : l’organisation du destinataire filtre avec Barracuda, et Barracuda a jugé votre message indésirable.
Une nuance que je signale toujours avant que quelqu’un panique : malgré le mot permanent, le verdict porte sur un message. L’e-mail refusé est perdu et ne sera pas réessayé, mais la passerelle évalue chaque nouveau message pour lui-même, donc le même destinataire peut recevoir votre prochain envoi si la cause est corrigée.
Savoir en deux minutes à quel problème vous avez affaire
Toute la correction dépend d’une seule question : est-ce une organisation isolée qui vous bloque, ou figurez-vous sur une blacklist que toutes les passerelles Barracuda consultent ?
Rassemblez les adresses en échec de votre dernier envoi et regardez les domaines.
Si tous les bounces appartiennent à un seul domaine, le problème est local à cette entreprise. Sa Barracuda applique une règle qui vous arrête : un administrateur a pu bloquer votre adresse, votre domaine ou votre plage d’adresses IP, ou son filtre a noté votre message comme spam avec des réglages plus stricts que la moyenne. Rien de ce que vous changez chez vous n’est assuré d’aider, puisque la règle vit sur son boîtier. La solution est humaine : joignez quelqu’un dans l’entreprise par un autre canal et demandez à son équipe informatique d’ajouter votre domaine d’envoi à la liste blanche de la passerelle.
Si les bounces couvrent de nombreux domaines sans rapport entre eux, le dénominateur commun, c’est vous, et le premier suspect est la Barracuda Reputation Block List (BRBL), la blacklist DNS publique hébergée à b.barracudacentral.org que les passerelles Barracuda consultent par défaut. Trouvez votre adresse IP d’envoi, dans les réglages de votre ESP ou dans les en-têtes Received d’un message bien arrivé, puis passez-la dans le Blacklist Checker pour adresses IP gratuit, qui interroge la zone Barracuda à la demande avec les autres listes qui comptent et pointe vers le formulaire de retrait de chaque liste touchée. Contrôlez aussi votre domaine avec le Blacklist Checker pour domaines, puisque l’analyse de contenu de Barracuda agit également sur la réputation du domaine. Les probabilités penchent du côté de l’adresse IP : sur les contrôles menés dans Unspam, 4 % des adresses IP d’envoi figurent sur au moins une blacklist, alors que les domaines d’envoi signalés sont rares, à 0,3 %.
Si votre e-mail ne revient pas en bounce mais disparaît tout simplement, l’enquête est différente : voyez pourquoi vos e-mails n’arrivent pas.
Les cinq causes, de la plus fréquente à la plus rare
L’ordre ci-dessous est celui que je rencontre le plus souvent : commencez par le haut et arrêtez-vous quand les indices collent.
| # | Cause | L’indice | La correction en une ligne |
|---|---|---|---|
| 1 | Votre adresse IP est sur la BRBL | Des bounces sur de nombreux domaines, le contrôle confirme l’inscription | Corrigez la cause, puis demandez le retrait |
| 2 | Un domaine cité dans votre message est signalé | L’adresse IP est propre, mais les envois qui contiennent certains liens échouent | Auditez chaque domaine lié, tracking compris |
| 3 | L’administrateur du destinataire vous a bloqué | Des bounces sur un seul domaine | Demandez une entrée en liste blanche à son équipe informatique |
| 4 | Le message a été noté comme spam | Des blocages intermittents, liés au contenu | Testez le message avant l’envoi |
| 5 | Authentification faible ou absente | Des échecs d’authentification visibles dans les en-têtes des messages livrés | Alignez SPF et DKIM sur votre domaine |
1. Votre adresse IP d’envoi est sur la Barracuda Reputation Block List
La BRBL est alimentée automatiquement : les touches de spam traps, les données de honeypots et les signalements de spam y inscrivent des adresses IP sans qu’aucun humain décide de votre sort. Les pools d’envoi partagés aggravent le problème, parce qu’un mauvais voisin sur la même adresse IP d’ESP peut provoquer une inscription qui fait échouer vos messages aussi.
La correction passe par le formulaire de demande de retrait de Barracuda, sur barracudacentral.org. Il réclame l’adresse IP du serveur d’envoi, une adresse e-mail de contact et un numéro de téléphone, et il vous laisse un champ pour la raison : servez-vous-en pour dire brièvement ce qui a provoqué l’inscription et ce que vous avez changé. Barracuda traite les demandes accompagnées d’une explication valable en général sous 12 heures. Deux règles issues du formulaire lui-même : les demandes sans informations valables sont ignorées, et les envois en double aussi, donc adressez une seule demande complète plutôt que dix pleines d’espoir. Et corrigez d’abord la cause : le processus d’inscription est automatisé, une cause non corrigée signifie une réinscription automatique.
2. Un domaine cité dans votre message est signalé
Barracuda pratique ce qu’il appelle l’analyse d’intention : chaque domaine lié dans le corps du message est comparé à sa propre base de réputation, et un seul domaine mal réputé suffit à bloquer tout le message. Votre adresse IP peut être irréprochable et le bounce tomber quand même, à cause d’un lien dans votre pied de page, d’un raccourcisseur d’URL ou du domaine de tracking de clics partagé dont votre ESP enveloppe vos liens, un sujet qui mérite sa propre lecture : l’effet du tracking de liens sur la délivrabilité.
C’est un travail d’inventaire. Auditez chaque domaine vers lequel votre message pointe, y compris ceux que votre ESP ajoute : remplacez les raccourcisseurs par des URL complètes, utilisez un domaine de tracking à votre marque au lieu du domaine partagé par défaut, et retirez ou remplacez tout site lié au passé douteux.
3. L’administrateur du destinataire vous a bloqué
Les passerelles Barracuda laissent chaque organisation tenir ses propres listes de blocage d’adresses, de domaines et d’adresses IP, et les administrateurs s’en servent. Si quelques destinataires d’une même entreprise ont signalé vos newsletters comme spam, l’administrateur a pu bloquer le domaine d’envoi tout entier.
Rien dans le DNS n’aide ici : c’est de la pure diplomatie. Joignez une vraie personne dans l’organisation, par téléphone ou à une autre adresse, et demandez à son équipe informatique de réexaminer le blocage. Arrivez avec vos devoirs faits : authentification en ordre, aucune inscription sur une blacklist, et une raison pour laquelle les destinataires veulent vos messages.
4. Le message lui-même a été noté comme spam
Au-delà des listes et des liens, la passerelle note le contenu de chaque message. Un objet agressif, un ratio images/texte déséquilibré, un HTML bâclé : tout cela pousse le score vers le seuil de blocage, et chaque organisation fixe ses propres seuils. C’est pourquoi la même campagne peut passer une Barracuda et échouer sur une autre.
Arrêtez de deviner ce que les filtres pensent de votre message. Lancez le test de spam avant le départ de la campagne : il note le message exact avec SpamAssassin, contrôle votre adresse IP et votre domaine face aux blacklists, celle de Barracuda comprise, et vérifie l’authentification. Les problèmes ressortent ainsi dans un rapport, pas dans un bounce.
5. Authentification faible ou absente
Barracuda pèse les résultats SPF, DKIM et DMARC dans sa notation, et les administrateurs peuvent configurer des blocages fermes en cas d’échec. Une authentification qui échoue, ou qui réussit pour le domaine de votre ESP au lieu du vôtre, supprime le seul signal qui vous distingue d’un usurpateur, et un expéditeur invérifiable hérite des pires soupçons. Votre réputation d’expéditeur se construit sur ces signaux, dans le temps.
Vérifiez ces trois standards au lieu de les supposer en place : passez votre domaine dans le SPF Checker et le DMARC Checker, et assurez-vous que DKIM signe avec votre domaine, pas avec la clé partagée de l’ESP.
L’ordre des réparations
Quand le bounce tombe en pleine campagne, voici l’ordre dans lequel je travaille :
- Lisez les bounces. Rassemblez les adresses en échec et répartissez-les par domaine. Un seul domaine, c’est une règle locale. Plusieurs domaines, c’est une inscription sur une liste ou un problème de contenu.
- Contrôlez les listes. Passez votre adresse IP d’envoi et votre domaine dans les contrôles de blacklists. Une touche sur la BRBL explique tout et vous donne le chemin du retrait.
- Corrigez la cause avant de demander le retrait. Nettoyez le segment de liste qui a échoué, retirez le lien signalé ou comblez le trou d’authentification, selon ce que montrent les indices. Un retrait sans réparation vous achète quelques jours, au mieux.
- Envoyez une seule demande de retrait, complète. Adresse IP, coordonnées et explication honnête de ce que vous avez corrigé. Puis patientez : la plupart des demandes valables aboutissent sous 12 heures, et les doublons sont ignorés.
- Réglez les blocages d’une seule entreprise en demandant. Pour les domaines qui échouent encore après le délistage, contactez l’organisation et demandez une entrée en liste blanche.
- Testez avant l’envoi suivant. Un contrôle avant envoi attrape une réinscription, un lien signalé ou une signature DKIM cassée tant que la correction ne coûte rien.
Éviter que cela revienne
Le bounce est un symptôme. La maladie, c’est ce qui a appris aux systèmes de Barracuda à se méfier de vous. Sur la durée, trois habitudes tiennent cette chaîne hors de vos rapports. Gardez la liste propre, parce que les spam traps et les adresses mortes sont ce qui alimente les blacklists automatiques, et un taux de bounce qui monte est le signal précoce. Vérifiez les nouvelles adresses avant qu’elles n’entrent dans la liste avec un Email Verifier, plutôt qu’après leur échec. Et intégrez le test avant envoi à votre routine : Unspam contrôle votre message face aux blacklists, passe les contrôles d’authentification et un vrai filtre antispam en une seule fois, si bien que le prochain 550 permanent failure est une ligne dans un rapport de test que vous corrigez tranquillement, pas un trou dans une campagne que vous expliquez à votre patron.
