Pourquoi vos e-mails professionnels finissent dans les courriers indésirables (et comment SPF, DKIM et DMARC y remédient)

Vous cliquez sur Envoyer pour un rappel de facture, un devis ou votre newsletter mensuelle — et votre client ne le voit jamais. Pas de rebond, pas d'erreur, juste le silence. Il est allé dans les courriers indésirables.

Si cela vous semble familier, vous n'êtes pas seul. Gmail, Yahoo et Outlook rejettent désormais ou classent dans les indésirables les e-mails provenant de domaines qui n'ont pas configuré trois enregistrements DNS : SPF, DKIM et DMARC. Depuis février 2024, les expéditeurs en masse (environ 5 000 messages ou plus par jour vers des comptes Gmail) doivent s'authentifier avec les trois, proposer un désabonnement en un clic et maintenir les plaintes pour spam sous 0,3 %. Les mesures ont été renforcées tout au long de 2025, et en 2026, même les expéditeurs professionnels à faible volume ressentent l'impact : sans authentification, vos devis, factures et confirmations de rendez-vous sont bien plus susceptibles d'être signalés.

La bonne nouvelle : corriger cela prend environ une heure, ne coûte rien et améliore durablement la délivrabilité. Voici ce que fait chaque enregistrement, comment les configurer, et les erreurs qui maintiennent les petites entreprises dans le dossier des courriers indésirables.

Ce que SPF, DKIM et DMARC font réellement​

Considérez ces trois enregistrements comme des contrôles d'identité pour vos e-mails. Chacun répond à une question différente que le serveur récepteur pose avant de délivrer votre message.

SPF : quels serveurs peuvent envoyer pour votre domaine​

SPF (Sender Policy Framework) est un enregistrement TXT dans le DNS de votre domaine qui liste chaque serveur autorisé à envoyer du courrier en votre nom. Lorsque Gmail reçoit un message prétendant provenir de [email protected], il consulte votre enregistrement SPF et vérifie si l'adresse IP du serveur d'envoi figure sur la liste.

Exemple d'enregistrement SPF pour une entreprise utilisant Google Workspace et un outil de facturation :

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

• v=spf1 identifie l'enregistrement comme SPF.
• Chaque include: autorise les serveurs d'un fournisseur.
• ~all (échec doux) indique aux récepteurs de traiter les serveurs non listés avec suspicion ; -all (échec dur) leur demande de rejeter carrément.

SPF seul ne suffit pas, car il ne valide que l'expéditeur de l'enveloppe (le Return-Path caché), et non l'adresse que votre client voit dans le champ De. Le transfert (forwarding) brise également SPF. C'est pourquoi vous avez aussi besoin de DKIM.

DKIM : une signature infalsifiable sur chaque message​

DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique aux en-têtes de chaque message sortant. Votre fournisseur d'envoi détient une clé privée ; vous publiez la clé publique correspondante sous forme d'enregistrement TXT DNS. Le serveur récepteur vérifie la signature pour confirmer que le message provient réellement de votre domaine et n'a pas été modifié en transit.

Contrairement à SPF, DKIM survit au transfert (forwarding), ce qui en fait le signal le plus durable des deux. Google exige que les expéditeurs en masse aient SPF et DKIM qui réussissent, avec au moins l'un des deux aligné sur le domaine De.

Configurer DKIM implique généralement :

1. Activer la signature DKIM chez votre fournisseur (Google Workspace, Microsoft 365, Mailchimp et outils similaires ont tous une étape d'activation en un clic).
2. Copier l'enregistrement TXT qu'ils vous donnent (un sélecteur plus une longue clé publique) dans votre DNS.
3. Attendre la propagation, puis vérifier dans le tableau de bord du fournisseur.

DMARC : votre politique pour ce qui se passe lorsque les contrôles échouent​

DMARC (Domain-based Message Authentication, Reporting, and Conformance) relie SPF et DKIM. C'est un enregistrement TXT à _dmarc.votredomaine.com qui indique aux serveurs récepteurs quoi faire lorsqu'un message prétendant provenir de vous échoue à l'authentification — et où vous envoyer des rapports à ce sujet.

Un enregistrement DMARC de démarrage en mode surveillance :

v=DMARC1; p=none; rua=mailto:[email protected]; pct=100;

• p=none signifie ne pas agir pour l'instant, se contenter d'envoyer des rapports. Commencez ici.
• rua= est l'endroit où vont les rapports agrégés. Utilisez une boîte aux lettres que vous consultez réellement.
• Une fois que le courrier légitime passe de manière constante, passez à p=quarantine (envoyez les échecs vers les indésirables), puis à p=reject (bloquez-les). Cette progression est ce qui empêche les usurpateurs de se faire passer pour votre domaine.

DMARC exige également l'alignement : le domaine dans l'en-tête De doit correspondre au domaine qui a réussi SPF ou DKIM. C'est l'étape que de nombreuses entreprises manquent — SPF et DKIM peuvent tous deux afficher « réussite » tandis que DMARC échoue toujours parce que les domaines ne correspondent pas.

Les règles Gmail et Yahoo que vous devez respecter​

Même si vous n'envoyez jamais 5 000 messages par jour, traitez-les comme votre base de référence. Gmail compte tout le courrier du même domaine principal (y compris les sous-domaines) vers le seuil de volume, le statut de volume ne disparaît jamais une fois attribué, et chaque expéditeur — de masse ou non — est censé s'authentifier.

Voici la liste de contrôle pratique pour 2026 :

• Authentifiez-vous avec SPF ou DKIM au minimum ; les deux si vous envoyez en masse. Les expéditeurs en masse ont besoin de SPF et DKIM ainsi que d'un enregistrement DMARC publié (au moins p=none) avec alignement sur le domaine De.
• Maintenez les plaintes pour spam sous 0,3 %. Google Postmaster Tools affiche votre taux ; des taux soutenus supérieurs à 0,3 % déclenchent le filtrage. Visez à rester bien en dessous de 0,1 %.
• Facilitez le désabonnement sur les courriers marketing. Incluez un en-tête List-Unsubscribe visible prenant en charge le désabonnement en un clic, et honorez les demandes dans les deux jours.
• Utilisez un DNS direct et inverse valide, et un domaine De cohérent. N'envoyez pas de courrier professionnel depuis des adresses de boîtes mail gratuites ou avec des noms De changeants.
• N'usurpez pas les en-têtes Gmail et n'achetez pas de listes. Le courrier non sollicité génère les plaintes qui ruinent le plus rapidement votre réputation.

Yahoo et Outlook appliquent sensiblement le même ensemble, donc une configuration correcte couvre les trois.

Tout configurer en environ une heure​

Vous n'avez pas besoin d'être technique pour faire cela — vous avez juste besoin d'accéder à votre hébergeur DNS (là où vous avez acheté votre domaine ou où pointent vos serveurs de noms) et d'un accès administrateur à votre fournisseur de messagerie.

Étape 1 : Inventoriez qui envoie du courrier en votre nom​

Listez chaque service qui envoie des e-mails en utilisant votre domaine : votre fournisseur de messagerie, le formulaire de contact de votre site web, votre système de facturation ou de réservation, votre outil de newsletter, votre CRM. Chacun doit être dans SPF ou couvert par sa propre signature DKIM. Si vous en oubliez un, son courrier commence à échouer.

Étape 2 : Publiez SPF sans dépasser la limite de 10 recherches​

SPF a une limite stricte de 10 recherches DNS. Chaque include: peut en déclencher plusieurs, et l'empilement des fournisseurs (messagerie + marketing + assistance + facturation) peut silencieusement vous faire dépasser — auquel cas SPF renvoie une erreur et les récepteurs le traitent comme un échec.

• Partez de l'enregistrement recommandé par votre fournisseur ; ne fusionnez pas des extraits aléatoires de billets de blog.
• Gardez toutes les sources d'envoi dans un seul enregistrement TXT SPF à la racine du domaine. Plusieurs enregistrements SPF les invalident tous.
• Si vous êtes proche de la limite, demandez aux fournisseurs des includes aplatis ou retirez les services que vous n'utilisez plus.
• Validez avec un vérificateur SPF gratuit avant de continuer.

Configuration SPF courante :

Étape 3 : Activez DKIM partout où vous envoyez​

Activez la signature DKIM dans chaque plateforme d'envoi et publiez chaque enregistrement de sélecteur qu'elle vous donne. Un domaine finit souvent avec plusieurs sélecteurs DKIM (un par fournisseur) — c'est normal. Vérifiez que chacun apparaît comme actif dans la console du fournisseur, et envoyez un test à une adresse Gmail pour confirmer que l'en-tête Authentication-Results affiche dkim=pass.

Faites pivoter les clés lorsque votre fournisseur vous y invite ; les rotations cassées se manifestent par une dégradation progressive de la délivrabilité, alors confirmez que la nouvelle clé se valide avant de retirer l'ancienne.

Étape 4 : Publiez DMARC en mode surveillance, puis faites appliquer​

1. Publiez _dmarc avec p=none et une adresse rua=.
2. Surveillez les rapports agrégés pendant deux à quatre semaines. Les lecteurs de rapports DMARC gratuits transforment le XML en tableaux lisibles montrant quels serveurs réussissent et lesquels échouent.
3. Corrigez chaque source légitime qui échoue (généralement une signature DKIM manquante ou un défaut d'alignement).
4. Passez à p=quarantine, surveillez un autre cycle, puis passez à p=reject.

Passer directement à p=reject dès le premier jour est la panne auto-infligée la plus courante de tout ce processus — des factures et reçus légitimes sont bloqués parce qu'un expéditeur négligé n'a jamais été authentifié.

7 erreurs qui maintiennent les petites entreprises dans les indésirables​

1. Aucun SPF, DKIM ou DMARC du tout. C'est toujours la constatation la plus courante sur les domaines de petites entreprises. Vérifiez le vôtre avec n'importe quel testeur d'authentification gratuit avant de supposer que votre fournisseur « s'en est occupé ».
2. Deux enregistrements SPF. Le DNS n'en permet qu'un. Fusionnez tout dans un seul enregistrement TXT commençant par v=spf1.
3. SPF au-dessus de la limite de recherches. Trop d'includes signifie que SPF génère une erreur. Auditez chaque année et supprimez les fournisseurs morts.
4. DKIM activé dans l'application mais jamais publié dans le DNS. Le bouton de signature sans l'enregistrement TXT ne fait rien.
5. DMARC échoue sur l'alignement. SPF ou DKIM réussit mais sous un domaine différent de votre adresse De — courant lorsque les newsletters sont envoyées depuis le domaine d'un fournisseur au lieu du vôtre. Configurez un domaine d'envoi personnalisé pour que l'alignement réussisse.
6. Personne ne lit les rapports DMARC. La boîte aux lettres rua= se remplit, les avertissements concernant un nouvel outil défaillant passent inaperçus, et le problème ne fait surface que lorsque les clients se plaignent.
7. L'hygiène de liste et le contenu annulent une bonne authentification. Les listes achetées, l'absence de lien de désabonnement, les lignes d'objet trompeuses et les e-mails uniquement en images génèrent les plaintes qui détruisent la réputation même avec un DNS parfait.

Comment savoir si cela a fonctionné​

• Envoyez des e-mails de test à des adresses Gmail, Yahoo et Outlook (y compris un nouveau compte qui n'a jamais interagi avec vous) et confirmez le placement en boîte de réception, pas en indésirables.
• Inspectez les en-têtes. Dans Gmail, ouvrez le message, choisissez Afficher l'original, et confirmez spf=pass, dkim=pass et dmarc=pass avec votre domaine aligné.
• Inscrivez-vous à Google Postmaster Tools. Ajoutez votre domaine, vérifiez la propriété, et surveillez le taux de spam, les taux de réussite d'authentification et la réputation au cours des semaines suivantes.
• Suivez les métriques réelles. Comparez les taux d'ouverture, les taux de réponse et — surtout — les plaintes des clients « je n'ai jamais reçu votre facture » avant et après le changement.

Quel est le lien avec vos livres comptables​

La délivrabilité des e-mails est un problème de trésorerie déguisé en tâche informatique. Lorsque les factures finissent dans les indésirables, les clients paient en retard sans que ce soit de leur faute, votre délai moyen de paiement (DSO) augmente, et vous perdez des heures à relancer des paiements qui n'ont jamais été vus. Il en va de même pour les devis qui ne reçoivent jamais de réponse et les séquences de rappel de paiement qui partent dans le vide.

Traitez les domaines d'envoi authentifiés comme vous traitez le rapprochement bancaire : un contrôle ennuyeux qui maintient l'argent en mouvement. Notez quel fournisseur envoie quoi (factures, reçus, marketing) pour que chaque flux reste authentifié, et suivez les paiements en retard par rapport à la date à laquelle le client a réellement vu la facture — pas seulement la date à laquelle votre système l'a envoyée. Des registres de livraison propres rendent à la fois vos relances et vos livres comptables plus honnêtes.

Pour en savoir plus sur le maintien de comptes clients serrés, consultez les guides /docs/ sur les flux de travail de facturation et les vues du tableau de bord /fava/ qui font apparaître les soldes en souffrance en un coup d'œil.

Simplifiez votre gestion financière​

Une fois que vos factures atteignent de manière fiable la boîte de réception, assurez-vous que la suite est tout aussi propre : des registres clairs de ce qui a été facturé, payé et en attente. Beancount.io fournit une comptabilité en texte brut qui vous donne une transparence et un contrôle complets sur vos données financières — pas de boîtes noires, pas de verrouillage fournisseur. Commencez gratuitement et gardez chaque euro traçable de la facture au grand livre.