Pourquoi vos e-mails arrivent en spam : SPF, DKIM et DMARC expliqués simplement

Pourquoi vos e-mails arrivent-ils en spam ?

Les messageries décident du sort d’un e-mail à partir de plusieurs signaux : la preuve qu’il vient bien de l’expéditeur annoncé, la réputation du domaine et du serveur d’envoi, la réaction des destinataires (qui le marquent ou non comme spam), puis le contenu. Le premier signal est le plus souvent en cause dans une PME, et c’est aussi le plus simple à corriger. Safeonweb, le site du CCB pour les organisations, le résume ainsi : sans SPF, « les e-mails légitimes peuvent se retrouver dans le dossier spam ».

Le problème apparaît souvent après un changement, quand un service se met à envoyer des e-mails en votre nom sans avoir été déclaré pour votre domaine :

• vous êtes passé à Microsoft 365 ou à Google Workspace, et l’ancien réglage SPF n’a pas été mis à jour ;
• un logiciel de facturation, un CRM ou un outil de lettre d’information envoie avec votre adresse comme expéditeur ;
• le formulaire du site envoie ses e-mails par le serveur web, sans authentification (voir pourquoi les e-mails du formulaire finissent en spam) ;
• votre domaine publie deux enregistrements SPF au lieu d’un seul, ce qui rend le SPF invalide ;
• des destinataires signalent vos e-mails comme spam, par exemple une lettre d’information envoyée à des personnes qui ne l’ont pas demandée.

SPF, DKIM, DMARC : à quoi sert chacun, en termes simples ?

Ces trois réglages sont des enregistrements publiés dans la zone DNS de votre domaine, l’annuaire qui dit où se trouvent votre site et votre messagerie. Ils répondent chacun à une question que se pose la messagerie du destinataire.

Le mot clé de DMARC est l’alignement : il ne suffit pas que SPF ou DKIM réussisse, il faut qu’il réussisse pour le domaine de l’adresse « De » que voit le destinataire. Un outil de lettre d’information peut passer SPF pour son propre domaine technique sans rien prouver pour le vôtre. C’est pourquoi chaque service qui envoie en votre nom doit signer ses messages avec DKIM pour votre domaine : la plupart le proposent dans leurs réglages, sous un nom comme « domaine d’envoi » ou « authentification du domaine ».

Les exemples d’enregistrements et la façon de les rédiger se trouvent dans le chapitre hébergement, e-mail professionnel et délivrabilité.

Que demandent Gmail, Yahoo et Outlook depuis 2024 ?

Depuis le 1er février 2024, Google et Yahoo imposent des règles à tous les expéditeurs, et des règles plus strictes aux gros expéditeurs. Microsoft a suivi en mai 2025 pour les gros expéditeurs vers Outlook.com, Hotmail et Live.

Google considère comme gros expéditeur un domaine qui envoie environ 5 000 messages ou plus en 24 heures à des comptes Gmail personnels ; ce statut est définitif une fois le seuil atteint. Google exige aussi une connexion chiffrée (TLS). Depuis novembre 2025, Gmail renforce l’application de ces règles : les messages non conformes peuvent subir des rejets temporaires ou définitifs. Chez Microsoft, les règles visent les domaines qui envoient plus de 5 000 e-mails par jour ; selon ses propres pages, un message non conforme peut être classé en courrier indésirable ou refusé avec l’erreur 550 5.7.515.

Comment vérifier votre domaine en quelques minutes ?

En regardant ce que les messageries voient réellement. Il suffit d’un e-mail de test par service d’envoi.

1. Envoyez un e-mail de test vers une adresse Gmail depuis chaque outil qui écrit en votre nom : messagerie, formulaire du site, facturation, CRM, lettre d’information.
2. Ouvrez l’original : dans Gmail, ouvrez le message, cliquez sur « Plus » puis sur « Afficher l’original ». L’en-tête contient le résultat des contrôles : cherchez spf=pass, dkim=pass et dmarc=pass. Dans les détails d’un message, Gmail affiche aussi les mentions « Envoyé par » et « Signé par ».
3. Testez le domaine lui-même avec un outil en ligne comme le test de messagerie d’internet.nl, une initiative de la plateforme néerlandaise des standards d’Internet, utilisable sans inscription pour un .be : il contrôle notamment SPF, DKIM, DMARC, DNSSEC et le chiffrement des échanges entre serveurs. Il juge une politique p=none insuffisante : c’est normal pendant la phase d’observation décrite plus bas.
4. Si vous envoyez beaucoup vers Gmail, inscrivez votre domaine dans Google Postmaster Tools (un compte Google suffit) : son tableau de bord « État de conformité » indique pour chaque exigence « Conforme » ou « Améliorations nécessaires », ainsi que votre taux de spam signalé.

Un contrôle échoue : quelles sont les erreurs les plus fréquentes ?

Les résultats de l’en-tête indiquent presque toujours la piste à suivre.

La limite de 10 recherches DNS et la règle d’un seul enregistrement SPF par domaine viennent de la norme SPF elle-même (RFC 7208) : au-delà, le résultat est une erreur permanente, comme si vous n’aviez pas de SPF. Chaque include compte pour au moins une recherche ; une liste de services qui s’allonge finit par dépasser la limite.

Un cas particulier : après un transfert automatique (une boîte qui renvoie tout vers une autre adresse), SPF ne peut en général plus valider votre domaine, puisque c’est un autre serveur qui réexpédie le message. DKIM, s’il est en place et que le message n’a pas été modifié, peut encore réussir : c’est une raison de plus de signer chaque e-mail.

Comment mettre en place SPF, DKIM et DMARC, dans quel ordre ?

Dans l’ordre SPF, DKIM, puis DMARC, en commençant par une phase d’observation. Le guide technique publié par le CCB avec DNS Belgium décrit la même progression.

1. Faites l’inventaire de tout ce qui envoie des e-mails avec votre domaine : messagerie, site, facturation, CRM, lettre d’information, prise de rendez-vous.
2. Publiez un seul SPF qui autorise tous ces services, en restant sous les 10 recherches DNS.
3. Activez DKIM dans chaque service et publiez les clés qu’il fournit. Microsoft et Google documentent la procédure pour Microsoft 365 et Google Workspace ; Google conseille une clé de 2 048 bits si votre hébergeur DNS l’accepte.
4. Publiez DMARC en p=none, avec une adresse qui reçoit les rapports (rua=). Ces rapports agrégés, envoyés par les messageries, listent les serveurs qui ont envoyé des e-mails en votre nom et leurs résultats ; un outil de lecture les rend lisibles.
5. Corrigez chaque source légitime qui échoue, pendant quelques semaines.
6. Durcissez en p=quarantine, puis en p=reject quand toutes vos sources légitimes passent les contrôles.

Un domaine qui n’envoie jamais d’e-mails, comme une variante que vous avez réservée, peut publier directement un SPF qui n’autorise aucun serveur et un DMARC en rejet : c’est expliqué dans le chapitre sur l’hébergement et l’e-mail professionnel. Chez moi, la configuration de SPF, DKIM et DMARC pour un domaine coûte 79 € HTVA, test d’envoi et explication des rapports compris : voir mes tarifs.

Lettre d’information et e-mails automatiques : quelles règles en plus ?

Les e-mails envoyés en nombre ou par des automatisations sont ceux qui posent le plus souvent problème, parce qu’ils partent d’outils tiers et qu’ils suscitent davantage de signalements.

• Le consentement d’abord : en Belgique, un e-mail publicitaire exige en règle générale le consentement préalable du destinataire (article XII.13 du Code de droit économique, avec des exceptions fixées par arrêté royal). Écrire à des personnes qui n’ont rien demandé fait monter le taux de signalement, et donc le risque de finir en spam. Les règles sont détaillées dans les obligations légales d’un site et, pour la prospection, dans le chapitre sur le choix d’un CRM.
• La désinscription en un clic : obligatoire pour les e-mails commerciaux des gros expéditeurs chez Gmail et Yahoo, selon la méthode décrite par la RFC 8058. Les outils de lettre d’information la gèrent en général ; vérifiez qu’elle est activée.
• Chaque outil authentifié : un CRM, une automatisation ou un logiciel de facturation qui envoie en votre nom doit figurer dans votre SPF et signer avec DKIM pour votre domaine. Le chapitre automatiser son entreprise rappelle ce point avant toute automatisation qui envoie des e-mails.
• Une liste propre : retirez les adresses qui reviennent en erreur et les contacts inactifs depuis longtemps ; envoyer vers des adresses mortes nuit à votre réputation d’expéditeur.