Un ingénieur messagerie Exchange répond de tout le trajet d'un e-mail : MX, passerelle de filtrage, connecteurs, relais internes, boîte de destination. Sur site, il tient les serveurs, les groupes de disponibilité (DAG) et les certificats. En hybride, il garde la cohabitation entre l'organisation locale et Exchange Online et déplace les boîtes par lots. Les questions d'entretien d'un ingénieur messagerie gagnent à suivre ce trajet plutôt qu'une liste de commandes.
Le calendrier pèse sur le poste. Exchange 2016 et 2019 ne reçoivent plus de correctifs hors d'un programme de mises à jour étendues payant, qui ne courait que jusqu'en octobre 2026. Exchange Server SE s'installe en place sur Exchange 2019 CU14 ou CU15. Depuis le 31 octobre 2025, l'hybride exige une application Entra ID dédiée. Dans Exchange Online, EWS est désactivé par défaut depuis octobre 2026 avant sa coupure le 1er avril 2027, et l'authentification de base en SMTP AUTH sera désactivée par défaut fin décembre 2026.
Un profil passé seulement par Exchange Online administre des boîtes, mais n'a pas toujours vu un DAG basculer ni un connecteur refuser un certificat. Les preuves attendues : une migration menée, un incident de flux résolu, un domaine amené en DMARC reject. Le PDF associé reprend l'entretien complet : 30 questions, un cas chronométré de 20 minutes, une grille notée de 1 à 4.
Ce qu'un ingénieur messagerie Exchange administre
Exchange Server SE
La version sur site sous abonnement, sortie le 1er juillet 2025. Elle part du code d'Exchange 2019 CU15, d'où une mise à niveau en place depuis 2019 CU14 ou CU15. Depuis Exchange 2016, il faut installer de nouveaux serveurs et déplacer les boîtes. La licence demande un abonnement ou la Software Assurance.
Exchange Online
La messagerie du tenant Microsoft 365 : boîtes, règles de flux, connecteurs, suivi des messages. Deux échéances à connaître : EWS coupé par défaut depuis le 1er octobre 2026 et définitivement le 1er avril 2027, l'authentification de base en SMTP AUTH désactivée par défaut fin décembre 2026.
Configuration hybride
L'assistant de configuration hybride relie l'organisation locale à Exchange Online : connecteurs, relation d'organisation, OAuth, migrations de boîtes. Depuis le 31 octobre 2025, les disponibilités, les info-bulles et les photos passent par une application hybride dédiée dans Entra ID. Reste à savoir si la personne l'a déjà configurée.
DAG et haute disponibilité
Le groupe de disponibilité réplique chaque base sur plusieurs serveurs, avec un témoin qui arbitre les bascules. Le candidat doit expliquer une bascule automatique, les copies décalées et la maintenance d'un membre sans coupure pour les utilisateurs.
MX, SPF, DKIM et DMARC
Ces enregistrements décident si un message arrive et passe pour légitime. Gmail et Yahoo exigent les trois pour les gros expéditeurs depuis 2024, Outlook.com depuis mai 2025. Un ingénieur messagerie lit un en-tête et dit pourquoi un message a fini en indésirable.
EOP et Defender for Office 365
Le filtrage intégré d'Exchange Online, complété par Defender pour les liens et pièces jointes piégés, l'usurpation d'identité et les quarantaines. Quand une passerelle tierce reste devant, comme Proofpoint ou Cisco Secure Email, il faut régler les connecteurs et le filtrage amélioré.
Migrations de boîtes
Lots de migration à distance en hybride, migration de tenant à tenant lors d'une fusion, migration des dossiers publics. Le transfert pose rarement problème. Les ennuis viennent des délégations, des boîtes partagées, des quotas et des applications qui envoient du courrier.
PowerShell Exchange
Exchange Management Shell sur site, module Exchange Online V3 côté cloud. Suivi des messages, droits sur les boîtes, statistiques de migration, rapports : l'ingénieur messagerie y passe une bonne partie de ses journées.
Les intitulés varient : ingénieur messagerie, expert messagerie, administrateur de messageries O365, architecte messagerie. Le niveau attendu dépend surtout de ce qui reste sur site. Une organisation entièrement dans Exchange Online cherche un profil flux, sécurité et support de niveau 3. Une organisation hybride, ou encore sur Exchange 2016 ou 2019, a besoin de quelqu'un qui a déjà mis à niveau des serveurs, tenu un DAG et diagnostiqué l'hybride. Les relais SMTP internes (copieurs, applications, Postfix), les passerelles de filtrage et l'archivage reviennent souvent dans les offres. La certification Microsoft dédiée à la messagerie, MS-203, a été retirée le 31 décembre 2023 : l'expérience se vérifie en entretien.
Les savoir-faire d'un ingénieur messagerie à contrôler
- Flux SMTP, connecteurs et passerelles
- SPF, DKIM, DMARC et délivrabilité
- Configuration et diagnostic de l'hybride
- Exchange Server SE et DAG
- Migrations de boîtes et de dossiers publics
- Protocoles et sécurité d'Exchange Online
Flux, hybride, DMARC : cinq questions d'entretien sur Exchange
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · confirmé
Un client vous écrit que vos e-mails tombent dans ses indésirables depuis lundi. Comment cherchez-vous la cause ?
Une bonne réponseIl demande un message reçu et lit l'en-tête : la ligne Authentication-Results donne le résultat de SPF, DKIM, DMARC et le compauth de Microsoft. Il cherche ce qui a changé lundi : un nouvel outil d'envoi absent du SPF, un SPF qui dépasse dix recherches DNS, une signature DKIM non activée sur un domaine, une passerelle qui modifie les messages. Puis la réputation de l'adresse IP d'envoi et les listes de blocage.
Signal d'alerte« C'est le filtre du client » sans avoir lu un seul en-tête, ou la seule réponse « on vérifie le SPF ».
Question 2 · senior
Le domaine principal doit passer en DMARC p=reject. Comment y allez-vous sans bloquer de courrier légitime ?
Une bonne réponseUne politique p=none avec des rapports agrégés (rua) lus dans un outil, pendant plusieurs semaines. L'inventaire des expéditeurs qui utilisent le domaine : CRM, paie, outil d'e-mailing, applications, copieurs. Chacun reçoit SPF et DKIM alignés, ou passe sur un sous-domaine dédié. Ensuite p=quarantine, éventuellement par pourcentage, puis p=reject. Il garde une politique pour les sous-domaines (sp=) et continue à lire les rapports après.
Signal d'alertePasser directement en reject, ou viser reject avec SPF seul, sans DKIM.
Question 3 · senior
Depuis la migration d'une partie des boîtes, les utilisateurs restés sur site ne voient plus les disponibilités de leurs collègues passés dans Exchange Online. Que vérifiez-vous ?
Une bonne réponseL'application hybride dédiée dans Entra ID, obligatoire depuis le 31 octobre 2025 pour les disponibilités, les info-bulles et les photos, et son activation côté Exchange par le paramètre de remplacement. Une version d'Exchange qui la prend en charge. Le certificat d'authentification OAuth des serveurs, qui peut avoir expiré. Puis Test-OAuthConnectivity, la relation d'organisation ou le connecteur intra-organisation, et la publication d'Autodiscover et d'EWS côté site.
Signal d'alerteRelancer l'assistant hybride sans diagnostic, ou ne pas savoir que l'ancien principal de service partagé ne fonctionne plus.
Question 4 · confirmé
Vous avez quatre serveurs Exchange 2019 CU15 en DAG. Comment passez-vous à Exchange Server SE ?
Une bonne réponseUne mise à niveau en place, serveur par serveur, comme pour une mise à jour cumulative : Exchange SE RTM part du code de 2019 CU15. Pour chaque membre, mode maintenance, déplacement des bases actives, suspension des copies, installation, contrôle avec Exchange Health Checker, retour en service. Sauvegarde et préparation de l'Active Directory si l'installeur la demande. Il n'oublie pas le changement de licence : abonnement ou Software Assurance.
Signal d'alerteTout mettre à jour le même soir sans mode maintenance, ou monter des serveurs neufs et migrer toutes les boîtes alors que la mise à niveau en place est possible.
Question 5 · confirmé
Des copieurs et trois applications envoient du courrier par smtp.office365.com avec un identifiant et un mot de passe. Que préparez-vous avant la fin de 2026 ?
Une bonne réponseL'authentification de base en SMTP AUTH sera désactivée par défaut fin décembre 2026. Il inventorie les expéditeurs avec le rapport des clients SMTP AUTH du centre d'administration Exchange. Les applications qui savent faire de l'OAuth passent en OAuth. Les copieurs anciens envoient par un connecteur entrant reconnu par l'adresse IP publique fixe ou par certificat, ou par un relais interne. Il vérifie le SPF pour chaque chemin d'envoi.
Signal d'alerteRéactiver l'authentification de base et attendre, ou exclure les comptes de service de la MFA comme solution durable.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Ingénieur messagerie Exchange, les questions fréquentes
Faut-il encore chercher un profil Exchange sur site ?
Oui, tant qu'il reste des serveurs. Une organisation hybride doit encore gérer sur site les attributs Exchange des comptes synchronisés, et souvent des relais SMTP internes. Le passage à Exchange Server SE ou l'arrêt du dernier serveur demande quelqu'un qui connaît les DAG, les certificats et l'assistant hybride. Si tout est déjà dans Exchange Online, un profil flux et sécurité suffit, sans expérience des serveurs.
Qu'attendre d'un ingénieur messagerie par rapport à un administrateur Microsoft 365 ?
L'administrateur Microsoft 365 crée des boîtes, gère les licences et suit un message dans la console. L'ingénieur messagerie va plus loin sur un seul service : routage entre site et cloud, connecteurs, authentification des domaines, migrations, serveurs. Si l'offre parle d'hybride, de DMARC ou de migration de boîtes, c'est un ingénieur messagerie qu'il faut. Encore faut-il qu'il ait mené ces projets lui-même.
Comment vérifier en direct qu'un candidat sait lire un en-tête de message ?
Le support est un en-tête réel, anonymisé, d'un message tombé en indésirable. La personne le lit à voix haute et dit où le message a été bloqué et pourquoi. L'exercice dure dix minutes et remplace bien un test technique à faire chez soi. Un bon profil repère les serveurs traversés, les résultats SPF, DKIM et DMARC et le verdict du filtre.
Existe-t-il encore une certification Microsoft sur la messagerie ?
Non. L'examen MS-203 et la certification Messaging Administrator Associate ont été retirés le 31 décembre 2023. Une certification obtenue avant reste un indice de formation, rien de plus. La MS-102, plus large, sera retirée le 30 novembre 2026. Pour ce poste, les projets décrits comptent davantage : versions d'Exchange administrées, nombre de boîtes migrées, incidents de flux résolus.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
