Vos e-mails arrivent dans les spams : que faire

L'essentiel en bref

La cause tient presque jamais au contenu, mais à l'authentification : le serveur destinataire ne peut pas vérifier que le message provient bien de votre domaine.
Trois enregistrements DNS résolvent le problème : SPF dit qui a le droit d'envoyer. DKIM signe le message. DMARC fixe ce qui se passe en cas de non-concordance.
L'ordre compte. Activer DMARC en mode strict avant que SPF et DKIM soient propres bloque vos propres messages.
Après la mise en place, comptez deux à quatre semaines d'observation avant de parler de « résolu ».

La question revient dans presque chaque projet : pourquoi nos e-mails finissent-ils dans les indésirables ? La supposition la plus répandue – texte trop promotionnel, trop de liens, le mot « gratuit » – se vérifie très rarement. Les filtres modernes évaluent d'abord autre chose : le message est-il seulement authentique ?

Car le protocole de messagerie date d'une époque où personne ne prévoyait les abus. Dans son état d'origine, n'importe quelle machine du monde peut envoyer un message portant votre domaine comme expéditeur. Les trois enregistrements dont il est question ici comblent précisément cette faille.

Des formes lumineuses franchissent trois seuils de contrôle translucides, certaines sont déviées — Trois vérifications avant qu'un message n'atteigne la boîte de réception. Si l'une échoue, le destinataire décide au soupçon.

Les trois enregistrements et ce qu'ils font

SPF, DKIM et DMARC en une phrase chacun

SPF – qui a le droit d'envoyer: Un enregistrement DNS qui liste les serveurs autorisés à envoyer au nom de votre domaine. Le destinataire consulte cette liste : le message vient-il d'un de ces serveurs ?
DKIM – le message a-t-il été modifié en route: Le serveur émetteur signe le message par cryptographie. La clé publique correspondante est publiée dans le DNS. Le destinataire vérifie la signature.
DMARC – que faire en cas de non-concordance: Votre consigne au destinataire : ne rien faire, déplacer vers les indésirables ou rejeter. En prime, le destinataire envoie des rapports sur ce qu'il a constaté.

Le saviez-vous ?

SPF et DKIM ne suffisent pas à eux seuls. Chacun ne vérifie qu'une partie, et tous deux peuvent être validés alors que l'adresse d'expéditeur visible par le destinataire est malgré tout falsifiée.

Seul DMARC relie ces contrôles à l'adresse affichée dans la boîte de réception. C'est donc l'enregistrement qui produit l'effet réel – et c'est aussi celui qu'on active en dernier.

Le bon ordre

Trois formes géométriques pivotent pour s'aligner, un faisceau de lumière les traverse — Ce n'est qu'une fois les trois alignés que le contrôle passe proprement. Avant, on se bloque soi-même.

Attention L'erreur la plus fréquente consiste à régler DMARC directement sur le rejet. Si un service envoie alors sans figurer encore dans SPF – le logiciel de comptabilité, le portail de candidatures, la billetterie –, ses messages disparaissent sans compensation. Sans message d'erreur pour l'expéditeur.

Inventaire. Qui envoie en votre nom ? En général plus qu'on ne croit : le fournisseur de messagerie, l'outil d'infolettre, le CRM, le serveur web pour les confirmations de formulaire, la comptabilité. Chacun doit figurer dans SPF.
Poser SPF. Un seul enregistrement par domaine, listant tous les expéditeurs autorisés. Plusieurs enregistrements SPF constituent une erreur et font échouer le contrôle d'emblée.
Mettre en place DKIM. Activer chez chaque service d'envoi, publier la clé fournie dans le DNS. Chaque service obtient la sienne.
Démarrer DMARC en observation. D'abord avec la consigne « ne rien faire » et une adresse pour les rapports. Laisser tourner deux à quatre semaines.
Analyser les rapports. Ils montrent quels expéditeurs échouent. S'il en manque un dans SPF ou DKIM, l'ajouter maintenant.
Durcir seulement ensuite. De « ne rien faire » à « indésirables », puis plus tard à « rejeter ». Deux semaines d'observation entre chaque étape.

Comment vérifier l'état actuel

Avant toute modification, il faut savoir ce qui s'applique aujourd'hui. Deux voies, toutes deux sans logiciel supplémentaire :

Par un message reçu. Ouvrez un message venant de votre propre domaine dans n'importe quelle boîte et affichez les en-têtes complets. Une ligne nommée Authentication-Results y indique si SPF, DKIM et DMARC ont été validés. Trois fois « pass » signifie : la technique est bonne.

Par une requête DNS. Sur toute machine disposant d'une ligne de commande, les enregistrements se consultent directement. On voit ainsi ce qui est réellement publié – et non ce qui devrait figurer dans l'interface d'administration.

Commandes de vérification

# Voir SPF
nslookup -type=TXT votre-domaine.fr

# Voir DMARC
nslookup -type=TXT _dmarc.votre-domaine.fr

# Voir DKIM (sélecteur propre au service, ici « standard »)
nslookup -type=TXT standard._domainkey.votre-domaine.fr

Si rien ne revient pour DMARC, l'enregistrement n'existe pas. C'est le constat le plus fréquent – et le plus facile à corriger.

Quand la technique est bonne et que ça coince quand même

Si l'authentification est propre et que la délivrabilité reste mauvaise, quatre autres causes entrent en jeu.

Un domaine récent sans historique d'envoi

Un domaine qui n'a jamais envoyé est considéré comme inconnu. Envoyer dix mille messages le premier jour vaut un freinage – à juste titre.

Ce qui aide : monter en volume sur deux à quatre semaines, en commençant par les destinataires les plus engagés.

Signe : mauvaise délivrabilité uniquement lors des gros envois

Des adresses anciennes et inactives dans la liste

Des destinataires qui n'ont rien ouvert depuis un an constituent un signal négatif. Certaines adresses désactivées sont même réemployées comme pièges par les fournisseurs.

Ce qui aide : qui n'a rien ouvert depuis douze mois reçoit un dernier message – puis est retiré.

Signe : taux d'ouverture en baisse sur plusieurs mois

Envoi depuis une adresse partagée

Chez les services d'envoi économiques, de nombreux clients partagent les mêmes serveurs. La réputation de ces serveurs dépend alors aussi du comportement des autres.

Ce qui aide : à partir de quelques dizaines de milliers de messages par mois, une adresse d'envoi dédiée – en dessous, rarement rentable.

Signe : chutes soudaines sans changement de votre côté

Absence de désinscription dans les en-têtes

Les grands fournisseurs attendent, pour les envois de masse, une désinscription qui fonctionne en un clic et qui est techniquement déposée dans les en-têtes – pas seulement en lien dans le pied de page.

Ce qui aide : l'activer dans l'outil d'envoi ; la plupart le prennent en charge, mais pas tous par défaut.

Signe : problèmes surtout chez les grands services de messagerie gratuits

Retour de pratique

En mettant en place notre propre envoi, nous avons respecté l'ordre et commis malgré tout une erreur : le serveur ne pouvait d'abord pas écrire son journal d'envoi, parce que les droits sur les fichiers ne le permettaient pas. Nous envoyions donc avec succès – mais sans preuve.

Nous ne l'avons vu qu'en cherchant à vérifier à quelle adresse un message de test était réellement parti. La leçon : le journal n'est pas un accessoire. Sans lui, impossible de démontrer en cas de doute ce qui s'est passé – et c'est précisément ce qui compte quand un client dit n'avoir rien reçu.

Conseil Mettez en place un sous-domaine dédié à l'envoi, par exemple mail.votre-domaine.fr. La réputation des envois marketing reste alors séparée de celle de votre correspondance commerciale ordinaire. Si un envoi tourne mal, toute la communication de l'entreprise n'est pas touchée.

Conclusion

La délivrabilité n'est pas un problème de texte mais un problème de preuve. Poser les trois enregistrements dans le bon ordre résout la grande majorité des cas – durablement, puisqu'il s'agit d'une mise en place unique.

L'effort représente quelques heures, réparties sur quatre à six semaines, parce que les phases d'observation en font partie. Les sauter pour passer directement en mode strict économise ces semaines et fait courir le risque que des messages importants disparaissent en silence.

Questions fréquentes

Pourquoi mes e-mails arrivent-ils dans les indésirables ?

Dans la grande majorité des cas, parce que le serveur destinataire ne peut pas vérifier que le message provient bien de votre domaine. Il faut pour cela trois enregistrements DNS : SPF, DKIM et DMARC. Le contenu est en cause bien plus rarement qu'on ne le suppose.

Que sont SPF, DKIM et DMARC ?

SPF liste les serveurs autorisés à envoyer en votre nom. DKIM signe chaque message par cryptographie afin que toute modification se remarque. DMARC relie les deux contrôles à l'adresse d'expéditeur visible et fixe ce que le destinataire doit faire en cas de non-concordance.

Dans quel ordre les met-on en place ?

D'abord SPF, puis DKIM, puis DMARC en mode observation. Après deux à quatre semaines, analyser les rapports, ajouter les expéditeurs manquants et seulement ensuite durcir DMARC par étapes. Activer DMARC en premier en mode strict bloque vos propres messages.

Comment vérifier que les enregistrements sont corrects ?

Le plus vite via les en-têtes complets d'un message reçu : dans la ligne Authentication-Results, SPF, DKIM et DMARC doivent chacun indiquer « pass ». En complément, les enregistrements se consultent directement par requête DNS.

Combien de temps avant qu'une modification agisse ?

Les modifications DNS sont visibles selon les réglages en quelques minutes à 24 heures. La réputation d'un domaine s'améliore plus lentement – comptez deux à quatre semaines avant que le taux de délivrabilité ne bouge de façon mesurable.

Faut-il un sous-domaine dédié à l'envoi ?

Pas obligatoirement, mais c'est judicieux. Il sépare la réputation des envois marketing de celle de votre correspondance commerciale ordinaire. Si un envoi tourne mal, l'ensemble de la communication de l'entreprise n'est pas affecté.