La question, crue
Les fournisseurs d'accès internet bloquent-ils le port 25 (SMTP) intentionnellement pour vendre des forfaits entreprise ?
Réponse courte : oui. Et c'est mondial.
Réponse longue : la justification officielle est l'anti-spam. La réalité est plus nuancée — et plus gênante. Le blocage du port 25 en résidentiel n'est pas une mesure de sécurité neutre. C'est un mécanisme de verrouillage commercial qui vous empêche de faire concurrence aux services hébergés, et qui, accessoirement, rend l'auto-hébergement souverain quasi impossible sans contournements.
Pourquoi le port 25 compte
Le port 25 est le port standard du SMTP — le protocole qui fait circuler les courriels entre serveurs. Sans port 25 ouvert en sortie, votre serveur ne peut pas envoyer de courriel vers Gmail, Outlook, ou n'importe quel autre serveur. Sans port 25 ouvert en entrée, votre serveur ne peut pas recevoir de courriel — un expéditeur externe ne pourra jamais vous joindre directement.
Quand le port 25 est bloqué dans les deux sens, auto-héberger un serveur mail devient impossible via votre connexion résidentielle standard. Vous êtes obligé de :
- Utiliser Gmail, Outlook, ou un autre fournisseur US — ce qui transfère vos données hors Québec (article 17 Loi 25)
- Payer un forfait entreprise — souvent 3 à 5 fois le prix du résidentiel
- Louer un VPS dans un datacenter — et relayer le trafic via un tunnel
Aucune de ces options n'est neutre. Chacune a un coût — financier, juridique, ou les deux.
La cartographie du blocage : c'est mondial
Le blocage du port 25 en résidentiel n'est pas une pratique isolée. C'est un standard de l'industrie. Voici ce qu'on observe à l'échelle mondiale :
| FAI | Région | Port 25 sortie | Port 25 entrée | Forfait entreprise débloqué ? |
|---|---|---|---|---|
| Cogeco | 🇶🇸 Québec | ❌ Bloqué | ❌ Bloqué | 🟡 Sur demande |
| Bell | 🇨🇦 Canada | ❌ Bloqué | ❌ Bloqué | ✅ Forfait affaires |
| Vidéotron | 🇶🇸 Québec | ❌ Bloqué | ❌ Bloqué | 🟡 Sur demande |
| Rogers | 🇨🇦 Canada | ❌ Bloqué | ❌ Bloqué | ✅ Forfait affaires |
| Comcast (Xfinity) | 🇺🇸 États-Unis | ❌ Bloqué | ❌ Bloqué | ✅ Comcast Business |
| AT&T | 🇺🇸 États-Unis | ❌ Bloqué | ❌ Bloqué | ✅ AT&T Business |
| Verizon FiOS | 🇺🇸 États-Unis | ❌ Bloqué | ❌ Bloqué | ✅ Business |
| Orange | 🇫🇷 France | ❌ Bloqué | ❌ Bloqué | ✅ Pro / Entreprise |
| Deutsche Telekom | 🇩🇪 Allemagne | ❌ Bloqué | ❌ Bloqué | ✅ Geschäftskunden |
La justification officielle : anti-spam
La défense standard des FAI est solide sur le papier : 90%+ du trafic sur le port 25 non authentifié est du spam. Les botnets (réseaux d'ordinateurs infectés) envoient des milliards de courriels non sollicités chaque jour. Bloquer le port 25 en sortie sur les IP résidentielles coupe cette source à la racine.
C'est vrai. Et c'est une mesure qui a probablement réduit le spam global de façon mesurable depuis son adoption généralisée vers 2005-2010. Le problème, c'est que cette mesure a maintenant 20 ans — et que le contexte technique a radicalement changé.
Ce que la justification oublie de dire
En 2026, l'authentification SMTP a mûri. SPF, DKIM, DMARC, ARC — ces standards permettent de vérifier cryptographiquement qu'un courriel vient bien de qui il prétend venir. Un serveur correctement authentifié n'est pas un botnet. Mais le blocage du port 25 ne fait pas la distinction :
| Scénario | SPF/DKIM/DMARC | Port 25 | Résultat |
|---|---|---|---|
| Botnet infecté | ❌ Aucun | Bloqué | ✅ Bon — spam coupé |
| Serveur souverain authentifié | ✅ Complet | Bloqué | 🔴 Mauvais — légitime coupé |
| Gmail / Outlook | ✅ Complet | ✅ Ouvert | 🟡 Centralisé — pas bloqué |
Le blocage est binaire : il ne distingue pas un serveur légitime avec authentification complète d'un PC zombie. Résultat : seuls les gros fournisseurs (Gmail, Outlook, les services hébergés) peuvent encore envoyer du courriel. Les auto-hébergeurs, même avec une configuration parfaite, sont exclus.
Le quadruple verrou : au-delà du port 25
Le blocage du port 25 est le plus visible, mais ce n'est pas le seul obstacle. En pratique, un FAI résidentiel québécois verrouille l'auto-hébergement mail sur quatre fronts simultanés :
| Verrou | Description | Impact |
|---|---|---|
| 1. Port 25 bloqué | SMTP entrant et sortant coupés | Aucun envoi/réception direct |
| 2. Reverse DNS verrouillé | Le PTR (IP → nom de domaine) est contrôlé par le FAI, souvent impossible à modifier | Gmail/Outlook rejettent vos courriels |
| 3. Listes noires (RBL) | Les plages d'IP résidentielles sont listées par défaut dans les RBL | Vos courriels vont en spam, même avec DKIM |
| 4. IP dynamique | Les IP résidentielles changent, cassant le reverse DNS et la réputation | Configuration instable, délivrabilité aléatoire |
Le lien Loi 25 : vous êtes coincé vers les États-Unis
Voici où ça devient un problème Loi 25. L'article 17 exige que tout transfert de renseignements personnels hors du Québec fasse l'objet d'une évaluation. Gmail et Outlook stockent vos courriels aux États-Unis — c'est un transfert au sens de l'article 17, point.
Mais le FAI vous empêche structurellement d'éviter ce transfert. Vous voulez auto-héberger pour éliminer le transfert ? Le port 25 est bloqué. Vous voulez un reverse DNS ? Le FAI verrouille le PTR. Vous voulez une IP propre ? Vous êtes en liste noire par défaut.
C'est un cul-de-sac infrastructurel :
- Le FAI bloque l'auto-hébergement → vous êtes forcé vers Gmail/Outlook
- Gmail/Outlook stockent aux US → article 17 déclenché
- Article 17 déclenché → vous devez documenter le transfert, signer des clauses (article 21), obtenir le consentement (article 8.1)
- Vous n'avez jamais choisi ce transfert — il vous a été imposé par le blocage infrastructurel
Le coût réel : résidentiel vs entreprise
La seule issue « officielle » au blocage est de payer un forfait entreprise. Voici la comparaison pour une PME québécoise :
| Critère | Forfait résidentiel (Cogeco) | Forfait entreprise (Cogeco) |
|---|---|---|
| Port 25 (SMTP) | ❌ Bloqué IN+OUT | ✅ Ouvert |
| Reverse DNS (PTR) | 🔒 Verrouillé (Sagemcom) | ✅ Configurable |
| IP fixe | ❌ Dynamique | ✅ Statique |
| Débit | 120 Mbps ↓ / 20 Mbps ↑ | 120 Mbps ↓ / 20 Mbps ↑ |
| Prix mensuel | ~60-80 $ | ~200-400 $ |
| Engagement | Aucun | 12-36 mois |
| Différentiel | +140 à +320 $/mois — pour exactement le même débit | |
Le débit est identique. La fibre est la même. La différence ? Le déverrouillage de ports et le reverse DNS. Vous payez 3 à 5 fois le prix pour débloquer des fonctionnalités qui existent déjà dans votre routeur mais qui sont artificiellement bridées par le firmware.
Les contournements souverains
Puisque le blocage est structurel, les solutions le sont aussi. Voici les trois chemins viables pour une PME québécoise qui veut auto-héberger sa messagerie :
Option 1 : VPS relais (le plus pragmatique)
Louez un petit VPS (5-10 $/mois) dans un datacenter au Québec ou au Canada. Configurez un tunnel WireGuard entre votre serveur local et le VPS. Le trafic SMTP sort via le VPS — qui a le port 25 ouvert, un reverse DNS configurable, et une IP propre.
┌──────────────┐ WireGuard ┌──────────────┐ :25 ┌─────────┐
│ Serveur mail │ ←──────────────→ │ VPS relais │ ────────→ │ Gmail │
│ Stalwart │ tunnel chiffré │ OVH/ Digital│ ouvert │ Outlook │
│ (local QC) │ │ Ocean (CA) │ │ etc. │
└──────────────┘ └──────────────┘ └─────────┘
│
IP fixe, propre
PTR configurable
Port 25 ouvert| Avantages | Inconvénients |
|---|---|
| ✅ Données stockées au Québec (local) | ❌ Coût additionnel (5-10 $/mois) |
| ✅ Port 25 débloqué via VPS | ❌ Complexité réseau (WireGuard) |
| ✅ IP propre + reverse DNS | ❌ Point de défaillance supplémentaire |
| ✅ 10x moins cher que forfait entreprise | 🟡 Le VPS est un sous-traitant (art. 17.3) |
Option 2 : Forfait entreprise
La solution « officielle ». Passer au forfait affaires de votre FAI pour débloquer le port 25 et le reverse DNS. Simple, mais coûteux (+140 à +320 $/mois) et souvent accompagné d'un engagement de 12 à 36 mois.
Option 3 : Relay SMTP tiers (Mailgun, SendGrid, etc.)
Utiliser un service de relay SMTP qui accepte le trafic sur le port 587 ou 465 (non bloqués par les FAI) et l'envoie via le port 25 depuis ses propres serveurs. Problème : ces services sont quasi tous américains — vous transférez toujours vos données aux US.
Ce que Veridy observe en pratique
Veridy a documenté ce problème en première personne. Notre infrastructure tourne sur un serveur Ubuntu au Québec, avec Stalwart Mail Server auto-hébergé (voir notre guide complet sur l'auto-hébergement de messagerie). La configuration est parfaite : SPF, DKIM, DMARC, TLS Let's Encrypt. Mais le serveur est derrière une connexion résidentielle Cogeco qui :
- Bloque le port 25 en entrée et en sortie
- Verrouille le reverse DNS au niveau du firmware du routeur Sagemcom
- Liste les IP résidentielles en RBL par défaut (liste noire Spamhaus)
Résultat : malgré une configuration mail parfaite, les courriels ne peuvent pas partir. C'est ce qui nous a poussés à documenter le quadruple verrou et à chercher des solutions souveraines (VPS relais au Québec via OVH Beauharnois).
Si nous — une plateforme Loi 25 avec une équipe technique — galillons à débloquer l'auto-hébergement mail, imaginez une PME québécoise standard qui découvre l'article 17 pour la première fois. Elle n'a aucune chance.
Plan d'action : que faire ?
| Étape | Action | Article Loi 25 concerné |
|---|---|---|
| 1 | Vérifier si votre FAI bloque le port 25 (test avec telnet smtp.gmail.com 25) | — |
| 2 | Si bloqué et vous voulez auto-héberger : louer un VPS au Québec + WireGuard | Art. 17 (élimine le transfert) |
| 3 | Documenter le VPS comme sous-traitant (art. 17.3) si hors de votre serveur local | Art. 17.3 |
| 4 | Mettre à jour le registre des traitements avec le flux mail souverain | Art. 3.1 |
| 5 | Mettre à jour la politique de confidentialité (mentionner l'auto-hébergement) | Art. 35.18 |
| 6 | Si auto-hébergement impossible : documenter Gmail/Outlook comme transfert art. 17 | Art. 17 + 21 + 8.1 |
Votre infrastructure est-elle souveraine ?
Le scan gratuit de Veridy détecte si votre site utilise des services US (messagerie, analytics, fonts) et évalue votre exposition Loi 25. Lancez-le — c'est gratuit, ça prend 30 secondes.
Scanner mon site gratuitement →Conclusion : le verrouillage n'est pas une fatalité
Le blocage du port 25 par les FAI est présenté comme une mesure anti-spam technique. En réalité, c'est un verrouillage commercial qui a un effet collatéral direct sur la souveraineté numérique québécoise : il vous force vers des services américains, ce qui déclenche l'article 17 de la Loi 25, sans que vous n'ayez jamais choisi ce transfert.
Les contournements existent (VPS relais, forfait entreprise), mais ils ont un coût. Et ce coût est structurellement asymétrique : les PME qui veulent être souveraines paient plus que celles qui acceptent la centralisation US. C'est un problème de politique publique autant que de technique.
Veridy documente ces asymétries parce que la conformité Loi 25 ne se résume pas à remplir des formulaires. Elle commence par comprendre l'infrastructure qui détermine où vont vos données. Et parfois, cette infrastructure est verrouillée par des décisions commerciales déguisées en bonnes pratiques techniques.
C'est exactement ce qu'on pratique en interne. La seule plateforme Loi 25 qui pratique ce qu'elle prêche.
Et votre messagerie, elle va où ?
Le scan gratuit détecte les services de messagerie et d'analytics US sur votre site. Voyez ce qui fuit.
Lancer le scan gratuit →Note : Cet article documente l'expérience réelle de Veridy avec l'auto-hébergement de messagerie au Québec. Les pratiques des FAI mentionnées (Cogeco, Bell, Vidéotron) sont basées sur nos tests et la documentation publique. Les conditions peuvent varier selon votre forfait et votre région. Cet article ne constitue pas un avis juridique — pour une analyse de votre situation, consultez un avocat spécialisé en protection des données.