Reconfigurer Outlook et les mobiles après une migration mail

Conventions et cadre d'intervention

Toutes les valeurs propres au client sont notées en placeholders : [email protected] pour l'adresse, MDP pour le mot de passe, imap.serveur.tld pour le nom d'hôte de messagerie. Sur un mutualisé cPanel, ce nom d'hôte est celui affiché dans votre propre panneau, sous Comptes de messagerie puis Connecter des appareils (« Configurer le client de messagerie » selon la version), de la forme xxxx.hebergeur.tld. Ne jamais laisser les identifiants d'un client dans un script partagé.

Cette procédure couvre la reconfiguration des clients et le diagnostic des échecs de connexion. Pour le déplacement des mails lui-même, voir Migration mail POP et IMAP vers IMAP.

Réglages de référence

IMAP

imap.serveur.tld, port 993, chiffrement SSL/TLS.

SMTP

imap.serveur.tld, le même hôte, port 465, chiffrement SSL/TLS. Repli 587 en STARTTLS si le réseau local filtre le 465.

Identifiant

l'adresse complète, [email protected], jamais la partie gauche seule.

Mot de passe

celui de la boîte, sensible à la casse, identique pour IMAP et pour SMTP.

Authentification

requise sur le sortant, avec les mêmes identifiants que l'entrant. Décocher « exiger l'authentification par mot de passe sécurisé (SPA) ».

Dossier racine

INBOX sur un serveur Dovecot. Champ vide par défaut, et c'est la cause n°1 des dossiers en double.

Webmail

le filet permanent : la boîte depuis n'importe quel navigateur, sans configuration. Adresse donnée par le panneau, en général le port 2096 du serveur.

Arbre de décision

Le geste à faire dépend du type d'échec, pas de son libellé. Quatre symptômes qui se ressemblent appellent quatre gestes différents.

• Relever le nom d'hôte réel et les ports dans le panneau d'hébergement. Ne jamais les déduire du nom de domaine.
• Valider le mot de passe au webmail, depuis le navigateur de l'intervenant, avant de toucher au client lourd.
• Vérifier que le MX est basculé et propagé : sinon le compte se configurera parfaitement et ne recevra rien, ce qui envoie chercher au mauvais endroit pendant une heure.
• Sauvegarder les signatures avant de modifier le profil, simple copie de dossier (phase 05).
• Ne pas supprimer l'ancien compte du profil Outlook. On ajoute le nouveau, on valide, et on retire l'ancien quelques jours plus tard seulement.
• Relever l'état du poste : version d'Outlook, espace libre sur C:, taille de la boîte. Un disque saturé casse la synchronisation IMAP sans message clair.

# le MX pointe-t-il bien le nouvel hebergeur, et est-il propage ?
Resolve-DnsName DOMAINE.tld -Type MX -Server 1.1.1.1

# les ports repondent-ils depuis CE poste (box, pare-feu, reseau d'entreprise) ?
Test-NetConnection imap.serveur.tld -Port 993
Test-NetConnection imap.serveur.tld -Port 465

Deux applications portent le même nom sous Windows 11 : Outlook classique, celui au ruban Fichier / Accueil / Envoi et réception, et le nouvel Outlook, fenêtre épurée sans ruban classique. Elles n'ont ni le même moteur, ni le même modèle de données.

Si le poste démarre systématiquement le nouvel Outlook, ou si la bascule s'est faite toute seule à une mise à jour, voir la phase 06.

La règle : ne jamais laisser l'auto-détection décider. Elle interroge d'abord les points d'entrée Microsoft 365, puis autodiscover.DOMAINE.tld, puis le domaine nu, et finit régulièrement par proposer un serveur qui n'existe pas, en boucle, sans jamais montrer le formulaire manuel.

1. Fichier puis Ajouter un compte, saisir l'adresse complète, dérouler Options avancées et cocher « Configurer mon compte manuellement ».
2. Choisir IMAP, puis saisir les réglages de référence : hôte, 993 en SSL/TLS pour l'entrant, 465 en SSL/TLS pour le sortant.
3. Mot de passe : le taper. Ne pas le coller depuis un PDF ou un courrier, une espace finale invisible suffit à faire échouer la connexion pendant vingt minutes.
4. Compte créé, revenir dans Fichier puis Paramètres du compte, Modifier, Plus de paramètres, onglet Avancé, et renseigner Chemin d'accès du dossier racine = INBOX. Détail décisif, voir phase 03.
5. Laisser Outlook télécharger. En IMAP il reconstitue tout depuis le serveur : rien n'est créé sur le poste qui n'existe pas déjà en ligne, et l'opération est donc rejouable sans risque.

Neutraliser l'auto-détection quand elle boucle

Clés utilisateur, à appliquer dans la session de l'utilisateur, Outlook fermé. Elles n'empêchent pas la configuration manuelle : elles empêchent Outlook d'aller chercher un serveur ailleurs que là où on le lui dit.

$ad = "HKCU:\Software\Microsoft\Office\16.0\Outlook\AutoDiscover"
New-Item $ad -Force | Out-Null

# O365Endpoint : la cause n1 des boucles sur un compte IMAP tiers
"ExcludeExplicitO365Endpoint","ExcludeHttpsAutoDiscoverDomain",
"ExcludeHttpsRootDomain","ExcludeSrvRecord","ExcludeScpLookup" |
  ForEach-Object { Set-ItemProperty $ad -Name $_ -Type DWord -Value 1 }

C'est la phase que l'on saute et qui produit les trois quarts des rappels de la semaine suivante. Un compte IMAP « qui marche » peut très bien écrire ses envois au mauvais endroit, sans le moindre message d'erreur.

Dossier racine

Sur Dovecot, tous les dossiers de l'utilisateur vivent sous INBOX : INBOX.Sent, INBOX.Trash, INBOX.Drafts. Si le champ Chemin d'accès du dossier racine reste vide, Outlook liste la racine du serveur, affiche l'arborescence à plat, et recrée ses propres dossiers à côté de ceux du webmail. Résultat : deux « Éléments envoyés », dont un que l'utilisateur ne verra jamais sur son téléphone.

Valeur

INBOX, dans Modifier, Plus de paramètres, onglet Avancé.

Contrôle

Après redémarrage d'Outlook, l'arborescence doit être identique à celle du webmail, au même niveau, sans doublon.

Réparation

Si des dossiers ont déjà été créés en double : déplacer leur contenu vers le bon dossier depuis le webmail, et ne supprimer qu'après avoir vérifié que la cible contient bien tout.

Envoyés, brouillons, corbeille

Dans les paramètres avancés, faire pointer explicitement les Éléments envoyés et les Éléments supprimés sur les dossiers du serveur. En IMAP, la suppression par défaut ne déplace rien : elle barre le message, qui reste affiché jusqu'à une purge (onglet Dossier puis Purger). Un utilisateur qui voit ses mails barrés croit sa boîte cassée : régler la suppression sur le déplacement vers la corbeille du serveur.

Cache hors connexion

Sur un compte IMAP, le curseur « Courrier à conserver hors connexion » décide de ce qui est réellement téléchargé sur le poste. Le régler entre 1 et 6 mois sur un poste au disque juste, sur Tout si la machine est confortable et l'utilisateur souvent hors ligne. Le reste demeure sur le serveur et se télécharge à l'ouverture du message.

iPhone et iPad

1. Réglages, Applications, Mail, Comptes, Ajouter un compte, Autre, Ajouter un compte Mail.
2. Nom, adresse complète, mot de passe, puis choisir l'onglet IMAP.
3. Serveur de réception : l'hôte, identifiant = adresse complète, mot de passe.
4. Serveur d'envoi : le même hôte, et surtout remplir l'identifiant et le mot de passe, que iOS présente comme « facultatif ». Ils ne le sont pas : laissés vides, la réception marchera et l'envoi échouera.
5. Enregistrer, puis rouvrir Compte, SMTP, Serveur principal : vérifier SSL activé et port 465.
6. Dans Avancé, faire pointer Brouillons, Envoyés et Corbeille sur les dossiers du serveur, jamais sur le téléphone.

Android

Dans l'application Gmail : Ajouter un compte, Autre, puis Personnel (IMAP). Les réglages sont identiques. Refuser l'option qui propose de « synchroniser via Google » : elle fait transiter la boîte par un service tiers, avec exactement les mêmes réserves que le nouvel Outlook.

Mac

Mail : Ajouter un compte, Autre compte Mail. Le premier essai échoue presque toujours parce que Mail tente une auto-détection : c'est le second écran, celui qui réclame les serveurs entrant et sortant, qui compte. Après un changement de mot de passe, penser au trousseau, qui peut resservir l'ancien indéfiniment.

La signature n'a aucun lien avec le serveur mail : elle survit à la migration sans rien faire. Ce qui se perd, ce n'est pas le fichier, c'est son affectation au compte, puisque le compte, lui, est nouveau.

• Outlook classique : Fichier, Options, Courrier, Signatures. Les fichiers vivent dans %APPDATA%\Microsoft\Signatures, en trio .htm, .rtf, .txt, avec un dossier _fichiers pour les images.
• Réaffecter : dans cette même fenêtre, colonne de droite, sélectionner le nouveau compte dans « Compte de messagerie », puis la signature pour les nouveaux messages et pour les réponses. Sans cette étape la signature existe, mais ne s'insère plus jamais.
• Nouvel Outlook : Paramètres, Comptes, Signatures, stockée en ligne, ni copiable ni scriptable.

# sauvegarde AVANT de toucher au profil
Copy-Item "$env:APPDATA\Microsoft\Signatures" "D:\sauv\Signatures" -Recurse -Force

# deploiement sur un autre poste, Outlook FERME
Copy-Item "D:\sauv\Signatures\*" "$env:APPDATA\Microsoft\Signatures" -Recurse -Force

# 1. empecher la migration automatique vers le nouvel Outlook
$pol = "HKCU:\Software\Policies\Microsoft\office\16.0\outlook\preferences"
New-Item $pol -Force | Out-Null
Set-ItemProperty $pol -Name NewOutlookMigrationUserSetting -Type DWord -Value 0

$gen = "HKCU:\Software\Microsoft\Office\16.0\Outlook\Options\General"
New-Item $gen -Force | Out-Null
Set-ItemProperty $gen -Name DoNewOutlookAutoMigration -Type DWord -Value 0

# 2. desinstaller le nouvel Outlook pour CET utilisateur
Get-AppxPackage *Microsoft.OutlookForWindows* | Remove-AppxPackage

• Puis Paramètres Windows, Applications, Applications par défaut : affecter « Outlook (classic) » au protocole MAILTO, sinon chaque lien mail d'un site rouvrira l'autre.
• Vérifier enfin que la bascule « Essayer le nouvel Outlook » du ruban est bien sur Désactivé.

# toute la machine : empeche la reinstallation pour les futurs profils
Get-AppxProvisionedPackage -Online |
  Where-Object PackageName -like "*OutlookForWindows*" |
  Remove-AppxProvisionedPackage -Online

Huit contrôles, dans cet ordre. Tant qu'ils ne passent pas tous, l'intervention n'est pas terminée, même si « ça a l'air de marcher ».

1. Réception interne : un message envoyé depuis le webmail arrive dans Outlook.
2. Réception externe : un message envoyé depuis une adresse hors du domaine arrive aussi. Ce test, et lui seul, valide le MX.
3. Envoi : depuis Outlook vers une adresse extérieure. Valide le SMTP authentifié, qui est un chemin totalement distinct de la réception.
4. Un seul dossier d'envoi : le message envoyé apparaît dans « Éléments envoyés » et au même endroit dans le webmail.
5. Suppression : un message supprimé part dans la corbeille du serveur, et n'apparaît pas simplement barré.
6. Signature : présente sur un nouveau message et sur une réponse, logo compris, vérifiée depuis une autre boîte.
7. Mobile : le même message est visible sur le téléphone, dans le même dossier, et l'envoi depuis le téléphone fonctionne.
8. Historique : l'utilisateur retrouve lui-même un vieux message qu'il désigne. C'est le seul test qu'il croira.

Dépannage

On diagnostique par le type d'échec, jamais par son libellé. Le refus instantané, le silence et la boucle sont trois pannes sans rapport entre elles.

Refus immédiat des identifiants

Le serveur a répondu, donc le nom d'hôte, le port et le SSL sont bons : reste le couple identifiant et mot de passe. Cause n°1, la casse. Cause n°2, un identifiant qui n'est pas l'adresse complète. Cause n°3, une espace collée avec le mot de passe.

Vérifier au webmail. S'il refuse lui aussi, réinitialiser depuis Comptes de messagerie puis Gérer dans le panneau, avec un mot de passe sans caractères ambigus. Puis le répercuter partout : poste, téléphone, et tout script ou formulaire qui relève cette boîte, sinon la boîte se refera bloquer par les tentatives du script oublié.

Connexion qui traîne, puis abandonne

Dans l'ordre : ne jamais tester en clair, le serveur refuse le non chiffré et l'hôte mail.DOMAINE.tld est souvent proxifié, donc l'essai timeoute forcément et son résultat ne veut rien dire ; puis l'antivirus qui « analyse le courrier chiffré » et intercepte la session TLS avec son propre certificat, à désactiver le temps du test ; puis le réseau d'entreprise qui filtre 993 et 465, ce que Test-NetConnection tranche en une commande.

Outlook redemande le mot de passe en boucle

Le mot de passe est bon, mais Windows en présente un autre. Vider les entrées périmées du Gestionnaire d'identification, Outlook fermé, puis rouvrir : Outlook redemande une fois, et c'est fini.

# lister les identifiants Office et Outlook mis en cache
cmdkey /list | Select-String "MicrosoftOffice16|Outlook"

# supprimer une entree perimee : reprendre la "Cible" exacte affichee ci-dessus
cmdkey /delete:MicrosoftOffice16_Data:orgid:[email protected]

Si la boucle persiste, c'est l'auto-détection qui recrée un compte fantôme vers un point d'entrée Microsoft : appliquer les clés de la phase 02, puis supprimer le compte fantôme du profil.

Réception qui marche, envoi qui échoue

IMAP et SMTP sont deux chemins indépendants, et c'est le second qui casse. Presque toujours : authentification du serveur sortant décochée, SPA cochée, port 465 sans SSL, ou 587 avec SSL au lieu de STARTTLS, ou encore un identifiant SMTP laissé vide sur mobile. La sonde SMTP tranche en dix secondes.

Erreur de certificat

Le nom saisi ne correspond pas au certificat présenté par le serveur. Sur un mutualisé, le certificat couvre le nom d'hôte du serveur, pas mail.DOMAINE.tld. Ne jamais cliquer « continuer malgré tout » : corriger le nom d'hôte. Accepter l'exception, c'est valider durablement une session que n'importe quel intermédiaire peut lire, et le poste ne le redemandera plus.

Dossiers vides, ou « impossible de développer le dossier »

Dossier racine mal réglé, ou abonnement IMAP absent. Contrôler INBOX en dossier racine (phase 03), puis Dossier et Dossiers IMAP pour s'abonner aux dossiers manquants. Ne rien supprimer sur la foi de l'affichage : un dossier qui paraît vide côté client peut être plein côté serveur, la vérification se fait au webmail.

Les sondes

Deux scripts PowerShell qui parlent au serveur en direct, sans Outlook, sans profil, sans installation. Ils répondent à la seule question qui compte pendant un diagnostic : le serveur accepte-t-il ce couple identifiant et mot de passe ? Ils tiennent dans un copier-coller et ne modifient rien, ni sur le poste, ni sur la boîte.

Sonde IMAP

$srv="imap.serveur.tld"; $user="[email protected]"; $pass="MDP"
$tcp=[Net.Sockets.TcpClient]::new($srv,993)
$ssl=[Net.Security.SslStream]::new($tcp.GetStream()); $ssl.AuthenticateAsClient($srv)
$r=[IO.StreamReader]::new($ssl); $w=[IO.StreamWriter]::new($ssl); $w.AutoFlush=$true
$r.ReadLine()                       # * OK ... ready  => connexion + SSL OK
$w.WriteLine('a1 LOGIN '+$user+' "'+$pass+'"')
$r.ReadLine()                       # a1 OK => mdp VALIDE, a1 NO => mdp FAUX
$w.WriteLine('a2 LOGOUT'); $tcp.Close()

• * OK ... ready : hôte, port et SSL sont bons, et l'IP du poste n'est pas bloquée.
• a1 OK : le mot de passe est valide. Le problème est donc une recopie côté client, pas la boîte.
• a1 NO [AUTHENTICATIONFAILED] : le mot de passe est réellement faux, à réinitialiser dans le panneau.
• Rien du tout, la commande reste suspendue : c'est un timeout, donc le cas « connexion qui traîne » et pas un problème d'identifiants.

Sonde SMTP

Le même principe sur le sortant, qui échoue souvent seul. Un 235 valide l'envoi authentifié, un 535 le refuse.

$srv="imap.serveur.tld"; $user="[email protected]"; $pass="MDP"
function b64($s){ [Convert]::ToBase64String([Text.Encoding]::ASCII.GetBytes($s)) }
$tcp=[Net.Sockets.TcpClient]::new($srv,465)
$ssl=[Net.Security.SslStream]::new($tcp.GetStream()); $ssl.AuthenticateAsClient($srv)
$r=[IO.StreamReader]::new($ssl); $w=[IO.StreamWriter]::new($ssl); $w.AutoFlush=$true
$r.ReadLine()                       # 220 ... ESMTP
$w.WriteLine("EHLO sonde"); do { $l=$r.ReadLine(); $l } while ($l -like "250-*")
$w.WriteLine("AUTH LOGIN"); $r.ReadLine()
$w.WriteLine((b64 $user));  $r.ReadLine()
$w.WriteLine((b64 $pass));  $r.ReadLine()   # 235 => OK, 535 => refuse
$w.WriteLine("QUIT"); $tcp.Close()

Contrôles réseau

Test-NetConnection imap.serveur.tld -Port 993   # TcpTestSucceeded doit etre True
Invoke-RestMethod https://ifconfig.me/ip        # IP publique, a joindre au ticket

Les pièges et leurs parades

Chaque ligne est ancrable : le lien de la ligne pointe directement dessus.

Je peux la jouer pour vous

Cette procédure est publiée telle qu'elle est appliquée en intervention réelle. Si vous préférez la déléguer, ou si votre cas sort du cadre décrit ici, écrivez-moi : je reprends la migration de bout en bout, boîtes et postes compris.

Décrire mon cas  ·  Les autres procédures