Se faire whitelister consiste à obtenir que vos destinataires ajoutent votre adresse d'expédition à leurs contacts ou à leurs expéditeurs approuvés. Google et Microsoft confirment que ce geste pèse dans leurs filtres, sans jamais publier le moindre chiffre sur son effet réel. En B-to-B, la demande se heurte à une passerelle de sécurité que le salarié ne contrôle pas. Et aucune liste blanche ne rattrape une authentification absente, une réputation dégradée ou un fichier truffé d'adresses mortes.
Email greylisting : comprendre et contourner
En bref : le greylisting refuse temporairement votre email avec un code SMTP 4xx, puis l’accepte quand votre serveur retente l’envoi quelques minutes plus tard. Ce n’est pas un blocage, c’est un délai. Il fausse la lecture de vos campagnes en étalant les ouvertures et en générant des soft bounces qui n’en sont pas vraiment. Côté expéditeur, on ne le contourne pas en forçant l’envoi, mais en gardant une IP d’envoi stable et en laissant la file de réessai de votre routeur faire son travail.
Le greylisting refuse votre email une première fois, volontairement
Un serveur de messagerie qui pratique le greylisting garde en mémoire un triplet : l’adresse IP du serveur qui se présente, l’adresse de l’expéditeur, l’adresse du destinataire. Si cette combinaison lui est inconnue, il répond par un refus temporaire et ferme la conversation. Rien de personnel contre vous. Il attend simplement de voir si l’expéditeur va se comporter comme un vrai serveur de messagerie.
Un serveur légitime, lui, retente. C’est même une obligation du protocole. Un outil d’envoi de spam bricolé, non. Il balance ses messages en rafale et passe à la cible suivante sans jamais revenir. Tout le mécanisme tient dans cet écart de comportement.
La technique a été formalisée par Evan Harris en août 2003, dans un document intitulé « The Next Step in the Spam Control War: Greylisting ». L’IETF ne l’a normalisée que neuf ans plus tard, avec la RFC 6647 publiée en juin 2012 par Murray Kucherawy et Dave Crocker. Ce texte ne réinvente rien, il encadre une pratique déjà installée partout et en liste honnêtement les limites.
Les codes 421, 450 et 451 ne sont pas des rejets définitifs
C’est le point qui provoque le plus de fausses alertes chez les responsables emailing. La RFC 5321, qui définit le protocole SMTP, distingue deux familles de codes d’erreur. Les 5yz sont permanents : la boîte n’existe pas, le domaine est inconnu, l’envoi ne réussira jamais. Les 4yz sont transitoires : le serveur ne peut pas traiter le message maintenant, il vous invite à revenir plus tard.
Le greylisting utilise exclusivement la seconde famille. La RFC 6647 recommande le 421, qui coupe la connexion, ou le 450. Certaines implémentations préfèrent le 451, et c’est celle que vous croiserez le plus souvent dans les logs de votre routeur, souvent accompagnée d’un message explicite du type « greylisted, try again later ».
Dans votre plateforme d’envoi, cet évènement remonte en soft bounce. La distinction entre rebond temporaire et rebond définitif conditionne tout ce que vous ferez ensuite de l’adresse concernée, et la confondre coûte cher : consultez notre comparatif hard bounce et soft bounce si le sujet vous semble flou.
Combien de temps un email reste bloqué en liste grise
Cela dépend entièrement de la configuration du serveur destinataire, et les valeurs par défaut varient beaucoup d’une implémentation à l’autre.
| Implémentation | Délai avant acceptation | Durée de mémorisation du triplet |
|---|---|---|
| Postgrey (Postfix) | 300 secondes par défaut | 35 jours par défaut |
| milter-greylist | 30 minutes par défaut | Configurable |
| Recommandation RFC 6647 | Entre 1 minute et 24 heures | Une semaine minimum |
En pratique, un premier envoi vers un domaine qui vous greyliste arrive avec quelques minutes à une demi-heure de retard. Une fois le triplet validé, il est mémorisé pour plusieurs semaines et les envois suivants passent directement. Le greylisting est donc un péage à l’entrée, pas un obstacle permanent.
Cette temporisation n’a pas les mêmes conséquences selon la nature du message. Une newsletter qui arrive vingt minutes plus tard, personne ne le remarque. Un code de validation à usage unique ou une réinitialisation de mot de passe, si. L’utilisateur, lui, a déjà rechargé sa boîte trois fois et cliqué à nouveau sur « renvoyer le code », ce qui génère un second message qui, lui aussi, attendra son tour.
Ce que le greylisting fait à vos statistiques de campagne
Personne n’en parle et c’est pourtant la partie qui vous concerne directement.
Quand une portion de votre base est hébergée sur des serveurs qui pratiquent le greylisting, votre campagne ne part pas d’un bloc. Elle part en deux vagues : les domaines qui vous connaissent déjà, puis, un quart d’heure plus tard, ceux qui vous ont fait patienter. Résultat, la courbe d’ouverture s’étale artificiellement et le pic que vous observez ne correspond plus à l’heure d’envoi que vous aviez soigneusement choisie. Si vous arbitrez vos créneaux d’envoi sur ces courbes, vous arbitrez en partie sur du bruit.
Le second effet est plus sournois. Selon la façon dont votre reporting agrège les évènements, un 451 peut apparaître comme un échec dans le décompte des rebonds, alors que le message a finalement été délivré vingt minutes après. Vous lisez alors un taux de rebond supérieur à la réalité, et vous risquez de déclencher les mauvaises actions correctives. Avant de toucher à quoi que ce soit, vérifiez la répartition entre rebonds temporaires et définitifs dans vos rapports.
Les pools d’IP cassent le mécanisme du triplet
Le greylisting a été pensé à une époque où un expéditeur envoyait depuis une machine, avec une adresse IP. Ce n’est plus le cas.
Microsoft 365, Google Workspace et la plupart des routeurs professionnels envoient depuis des pools de plusieurs dizaines d’adresses. Le premier envoi part de l’IP A et se fait greylister. Le réessai part de l’IP B, parce que c’est celle qui était disponible dans le pool à ce moment. Pour le serveur destinataire, ce n’est plus le même triplet : c’est un inconnu de plus, qu’il refuse à nouveau. Le message peut ainsi tourner en boucle pendant des dizaines de minutes avant de passer, ou ne jamais passer du tout si la file de réessai s’épuise avant.
Les administrateurs qui tiennent au greylisting ont une parade : le greylisting « SPF-aware », qui accepte un réessai venant d’une IP différente à condition que celle-ci soit déclarée dans le même enregistrement SPF que la première. Cette approche règle proprement le cas des expéditeurs multi-IP correctement authentifiés. Elle reste minoritaire dans les configurations que l’on croise.
Contourner le greylisting côté expéditeur : ce qui fonctionne
Disons-le franchement, on ne force pas un serveur qui vous greyliste. Il n’existe pas d’astuce d’en-tête ou de paramètre magique qui vous fasse sauter la file. En revanche, plusieurs pratiques évitent de rester coincé dedans.
Gardez une IP d’envoi stable. C’est le levier numéro un. Chaque changement d’IP recrée des triplets inconnus sur l’ensemble de votre base et vous renvoie à la case départ. Si vous jonglez entre plusieurs adresses ou que vous changez de routeur, attendez-vous à une vague de rejets temporaires les premiers jours.
Laissez la file de réessai travailler. Les routeurs sérieux gèrent ces reprises automatiquement, sur des durées confortables. SendGrid, par exemple, documente une reprise pendant 72 heures après le premier différé. Renvoyer manuellement la campagne aux adresses « en échec » quelques minutes après l’envoi, c’est le meilleur moyen de doubler les messages et d’aggraver votre réputation.
Ne purgez pas votre base sur un 4xx. Une adresse greylistée est une adresse valide. La supprimer parce qu’elle a généré un rebond, c’est amputer votre fichier de contacts parfaitement joignables. Réservez le nettoyage aux rejets permanents et aux adresses réellement inexistantes.
Ne confondez pas liste grise et liste noire. Un 451 signifie « repassez plus tard ». Un blocage lié à une blacklist arrive avec un code permanent et un message qui pointe explicitement l’organisme concerné. Réagir à un greylisting comme à un blacklistage, en changeant d’IP en urgence, revient à créer le problème que l’on croyait avoir. Le greylisting n’est d’ailleurs qu’un filtre parmi beaucoup d’autres, et le traiter isolément a peu d’intérêt : c’est l’ensemble de vos signaux d’expédition qu’il faut soigner, comme nous l’expliquons dans notre guide complet de la délivrabilité.
Authentifiez correctement vos envois. SPF, DKIM et DMARC ne désactivent pas le greylisting, mais ils permettent aux configurations tolérantes de vous reconnaître d’un réessai à l’autre, et ils pèsent dans la décision des filtres situés juste derrière.
Désactiver le greylisting quand vous êtes du côté réception
Le cas se présente souvent : votre entreprise ne reçoit pas certains messages attendus, ou les reçoit avec une demi-heure de retard, et votre hébergeur vous confirme que le greylisting est actif.
Sur un serveur Postfix équipé de Postgrey, trois options s’offrent à vous. Réduire le délai d’attente, qui est de 300 secondes par défaut. Placer les expéditeurs critiques en liste blanche, ce qui est la solution la plus raisonnable pour les plateformes transactionnelles, les banques ou les outils métier. Ou désactiver complètement le filtre en le retirant des restrictions du serveur.
Le troisième choix se défend de moins en moins. Le greylisting reste efficace contre les outils d’envoi de masse rudimentaires, mais il ne fait rien contre le phishing ciblé ni contre les campagnes lancées depuis des infrastructures conformes au protocole. Sa contribution à votre sécurité a beaucoup baissé, alors que sa contribution à vos retards de courrier, elle, n’a pas bougé. La liste blanche ciblée offre en général le meilleur compromis.
Questions fréquentes sur le greylisting
Qu’est-ce que le greylisting d’un email ?
Le greylisting est une technique antispam qui consiste à refuser temporairement un message venant d’un expéditeur inconnu. Le serveur mémorise le triplet formé par l’IP d’envoi, l’expéditeur et le destinataire, puis accepte le message lors de la tentative suivante. Les vrais serveurs de messagerie retentent automatiquement, la plupart des outils de spam non.
Combien de temps dure un blocage par liste grise ?
Cela dépend de la configuration du serveur destinataire. Postgrey, l’implémentation la plus répandue sur Postfix, impose 300 secondes par défaut, tandis que milter-greylist attend 30 minutes. La RFC 6647 recommande une fenêtre comprise entre une minute et vingt-quatre heures. Une fois le triplet accepté, il reste mémorisé plusieurs semaines.
Que signifie l’erreur 451 greylisted ?
C’est un rejet temporaire, pas un échec définitif. Le code 451 appartient à la famille des réponses SMTP transitoires définies par la RFC 5321, qui invitent l’expéditeur à retenter plus tard. Votre routeur relancera l’envoi automatiquement. L’adresse concernée reste valide et ne doit surtout pas être supprimée de votre base.
Le greylisting est-il la même chose qu’une blacklist ?
Non. Une blacklist est un blocage durable, motivé par la réputation de votre IP ou de votre domaine, et signalé par un code d’erreur permanent. Le greylisting est un simple report de quelques minutes qui s’applique à tout expéditeur inconnu, sans jugement sur sa réputation. Les deux se lisent différemment dans les logs.
Comment éviter que mes campagnes soient greylistées ?
Conservez la même adresse IP d’envoi d’une campagne à l’autre, authentifiez vos messages avec SPF, DKIM et DMARC, et laissez la file de réessai de votre plateforme gérer les rejets temporaires sans intervenir. Les envois réguliers depuis une IP stable finissent par constituer des triplets connus chez la plupart de vos destinataires.
Faut-il désactiver le greylisting sur son propre serveur ?
Dans la plupart des cas, une liste blanche ciblée sur les expéditeurs critiques suffit et évite de perdre le bénéfice du filtre. La désactivation complète se justifie surtout quand vous recevez beaucoup de messages transactionnels sensibles au délai, ou quand vos correspondants envoient depuis des pools d’IP qui relancent le greylisting en boucle.
Articles connexes
