Des e-mails classés en spam viennent d’abord d’une authentification défaillante. Ouvrez l’original d’un message reçu et lisez les verdicts spf=, dkim= et dmarc=. Corrigez ensuite les enregistrements DNS correspondants, puis contrôlez la réputation de l’adresse IP d’envoi et le contenu des messages. Un seul maillon défaillant suffit à dégrader la distribution.
Un devis qui part en spam chez un client, des factures qui n’arrivent pas, des messages acceptés par une messagerie et rejetés par une autre : le symptôme est variable, mais la méthode est toujours la même. Une messagerie décide du sort d’un message à partir de trois éléments : l’authentification du domaine expéditeur, la réputation de l’adresse IP qui envoie, et le contenu.
Ce guide traite le cas d’un domaine dont vous maîtrisez la zone DNS. Si le problème ne touche que les messages envoyés par un formulaire de site, le guide sur le formulaire WordPress qui n’envoie pas est plus adapté. Si l’adresse IP est refusée avec un code 5xx, passez au guide sur l’IP de serveur blacklistée.
Envoyer un message test et en lire l’original
Envoyez un message depuis l’adresse concernée vers une boîte Gmail personnelle. Ouvrez-le, cliquez sur les trois points, puis sur Afficher l’original. Gmail affiche un tableau de verdicts : SPF, DKIM, DMARC, chacun suivi de PASS ou FAIL. Dans les autres messageries, la ligne Authentication-Results: des en-têtes contient spf=, dkim= et dmarc=. Notez lesquels échouent : ils orientent toute la suite.
Publier ou corriger l’enregistrement SPF
SPF liste les serveurs autorisés à envoyer pour le domaine. C’est un enregistrement TXT à la racine du domaine, de la forme v=spf1 include:_spf.exemple.net ~all. Un domaine ne doit avoir qu’un seul enregistrement SPF : deux enregistrements donnent une erreur permanente. Il faut y inclure chaque service qui envoie en votre nom (hébergeur de messagerie, outil de newsletter, serveur du site). La limite de dix recherches DNS par évaluation est un piège courant quand on empile des include:.
Activer DKIM et publier la clé
DKIM signe chaque message avec une clé privée, dont la clé publique est publiée en TXT sous un sélecteur, par exemple selecteur._domainkey.votredomaine.fr. Activez la signature chez le service d’envoi (messagerie, outil de newsletter), qui vous fournit l’enregistrement à ajouter. Chaque service d’envoi a son propre sélecteur. Renvoyez un message test : le verdict dkim=pass doit apparaître, avec votre domaine dans header.d=.
Publier DMARC en p=none, puis durcir
DMARC indique quoi faire quand SPF et DKIM échouent, et à quelle adresse envoyer les rapports. Commencez par un enregistrement TXT sur _dmarc.votredomaine.fr : v=DMARC1; p=none; rua=mailto:[email protected]. Lisez les rapports agrégés pendant quelques semaines pour repérer tous les expéditeurs légitimes. Une fois qu’ils passent, montez à p=quarantine, puis à p=reject si vous voulez bloquer l’usurpation. DMARC exige que le domaine de SPF ou de DKIM soit aligné avec celui de l’adresse visible.
Vérifier la réputation de l’adresse IP d’envoi
Repérez l’IP qui envoie, dans la ligne Received: la plus basse des en-têtes ou le champ Received-SPF. Contrôlez qu’elle n’est pas sur une liste noire via les outils de Spamhaus. Vérifiez que l’IP possède un reverse DNS (enregistrement PTR) cohérent avec le nom du serveur, et que ce nom résout vers la même IP. Sur une IP partagée avec d’autres clients, la réputation dépend des autres : un service d’envoi dédié règle souvent le problème. En cas de liste noire, suivez le guide sur l’IP de serveur blacklistée.
Respecter les exigences des grandes messageries
Les grandes messageries publient des règles pour les expéditeurs qui envoient en volume : authentification SPF et DKIM, politique DMARC, taux de plaintes maintenu bas et, pour les envois marketing, désinscription simple. Les seuils exacts évoluent : lisez la page officielle de Google sur les règles pour les expéditeurs plutôt que de vous fier à un chiffre repris sur un blog. Même sous le seuil de volume, appliquer ces règles améliore la distribution.
Travailler le contenu et les habitudes d’envoi
Même authentifié, un message peut être filtré. Évitez les pièces jointes exécutables, les liens raccourcis, les images sans texte, les objets criards, et une adresse de réponse différente de celle de l’expéditeur. Envoyez surtout à des destinataires qui vous attendent : les plaintes et les adresses inexistantes dégradent la réputation. Retirez de vos listes les adresses qui rebondissent, et ne démarrez pas d’un seul coup un gros envoi depuis un domaine neuf.
Contrôler après chaque changement
Les modifications DNS mettent un temps variable à se propager, selon la durée de vie (TTL) des enregistrements. Renvoyez un message test après chaque modification et relisez l’original. Conservez les rapports DMARC : ils signalent les envois que vous aviez oubliés et les tentatives d’usurpation. Une régression discrète vient souvent d’un nouvel outil d’envoi branché sans être déclaré dans SPF.
Questions fréquentes
Comment savoir pourquoi mon e-mail est arrivé en spam ?
Ouvrez le message reçu en spam et affichez son original. Les lignes spf=, dkim= et dmarc= disent si l’authentification a réussi. Si tout est en pass, le problème vient de la réputation de l’IP ou du contenu. Comparez avec un message de test envoyé depuis la même adresse.
Mon SPF est valide mais DMARC échoue, pourquoi ?
Parce que DMARC demande un alignement : le domaine validé par SPF ou DKIM doit correspondre au domaine de l’adresse visible dans le champ From. Un outil d’envoi qui signe avec son propre domaine passe DKIM sans être aligné. Configurez le service pour signer avec votre domaine.
Combien d’enregistrements SPF peut-on avoir sur un domaine ?
Un seul. Si vous ajoutez un second enregistrement commençant par v=spf1, l’évaluation renvoie une erreur et SPF échoue. Fusionnez tous les expéditeurs autorisés dans un enregistrement unique avec plusieurs include:, en gardant à l’esprit la limite de dix recherches DNS.
Un domaine neuf risque-t-il plus le spam ?
Oui, un domaine sans historique n’a pas de réputation, et les filtres se montrent méfiants. Authentifiez-le dès le départ, commencez par des volumes faibles à des destinataires qui vous répondent, puis augmentez progressivement. Évitez d’envoyer une grosse campagne le premier jour.
Peut-on corriger ses e-mails en spam à distance ?
Oui, car tout se règle dans la zone DNS et dans les services d’envoi. Nous vous indiquons l’accès nécessaire chez le registrar ou l’hébergeur DNS et nous vous guidons pour nous le donner, par téléphone si besoin. Tout ce que nous voyons reste confidentiel. Si l’IP appartient à un fournisseur qui refuse son retrait, seul lui peut agir.
Sources
- Email sender guidelines — Gmail Help
- Set up DKIM — Google Workspace Help
- Set up DMARC — Google Workspace Help
- RFC 7208 : Sender Policy Framework — rfc-editor.org