E-mails professionnels en spam : causes et solutions (SPF, DKIM, DMARC)

L'essentiel en 30 secondes

• La cause n° 1 est technique : un domaine sans SPF, sans DKIM ou sans DMARC ne prouve pas qu'il a le droit d'envoyer ses propres e-mails. Gmail, Outlook et les autres le traitent avec méfiance.
• Le serveur d'envoi compte aussi : reverse DNS (PTR) absent ou incohérent, adresse IP inscrite sur une liste noire, réputation dégradée par un compte piraté.
• Le contenu vient ensuite : objet racoleur, message composé d'une seule image, liens raccourcis, pièce jointe suspecte.
• La méthode : testez un envoi, lisez les en-têtes du message reçu, corrigez la zone DNS, puis surveillez les rapports DMARC.

Pourquoi vos e-mails professionnels arrivent en spam

Un fournisseur de messagerie reçoit chaque jour des milliards de messages, dont une grande partie d'indésirables et de tentatives d'hameçonnage. Pour trier, il se pose trois questions sur chaque e-mail entrant :

1. Le message vient-il vraiment du domaine affiché ? C'est le rôle de SPF, DKIM et DMARC.
2. Le serveur qui l'envoie est-il digne de confiance ? Reverse DNS, historique de l'adresse IP, présence sur des listes noires.
3. Le contenu ressemble-t-il à du spam ? Mots, liens, images, pièces jointes, réactions des destinataires.

Un seul point faible suffit parfois à faire basculer un message dans le dossier indésirable. Bonne nouvelle : les deux premières questions dépendent presque entièrement de réglages que vous pouvez vérifier et corriger vous-même.

SPF, DKIM et DMARC : prouver que vous êtes bien l'expéditeur

Ces trois mécanismes reposent sur des enregistrements publiés dans la zone DNS de votre nom de domaine. Ils sont complémentaires : il faut les trois.

SPF : la liste des serveurs autorisés

L'enregistrement SPF (Sender Policy Framework) est un enregistrement TXT qui liste les serveurs autorisés à envoyer des e-mails pour votre domaine. Il commence par v=spf1 et se termine par une règle pour tous les autres serveurs, par exemple ~all (à marquer comme suspect) ou -all (à refuser).

Les erreurs fréquentes :

• Pas d'enregistrement SPF du tout.
• Deux enregistrements SPF sur le même domaine : c'est invalide, il faut les fusionner en un seul.
• Un service oublié : votre boîte mail est déclarée, mais pas l'outil de newsletter, le logiciel de facturation ou le formulaire du site qui envoient aussi en votre nom.
• Trop de recherches DNS : la norme limite à 10 le nombre de mécanismes include, a, mx… qui déclenchent une requête DNS. Au-delà, le SPF est en erreur.

DKIM : la signature de chaque message

DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque e-mail envoyé. Le serveur d'envoi signe avec une clé privée ; la clé publique correspondante est publiée dans votre DNS, sous un nom du type selecteur._domainkey.votredomaine.fr. Le destinataire vérifie ainsi que le message n'a pas été modifié en route et qu'il a bien été émis par un serveur autorisé.

Si votre fournisseur de messagerie gère DKIM, il vous indique l'enregistrement à publier. Sans cette publication, la signature ne peut pas être vérifiée.

DMARC : la règle du jeu et les rapports

DMARC relie SPF et DKIM au domaine visible dans le champ « De » de l'e-mail, et indique quoi faire des messages qui échouent aux contrôles. C'est un enregistrement TXT publié sur _dmarc.votredomaine.fr, par exemple :

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

• p=none : on observe seulement, sans rien bloquer. Le bon point de départ.
• p=quarantine : les messages non conformes vont en spam.
• p=reject : ils sont refusés.

L'adresse indiquée dans rua reçoit des rapports quotidiens envoyés par les grands fournisseurs : vous y voyez quels serveurs envoient au nom de votre domaine, et lesquels échouent. Une fois tous vos envois légitimes conformes, durcissez progressivement la règle. Depuis 2024, Gmail et Yahoo exigent ces authentifications des expéditeurs de gros volumes : un domaine sans DMARC part avec un handicap.

Le serveur d'envoi : reverse DNS et réputation IP

Le reverse DNS (PTR)

Le reverse DNS fait le chemin inverse du DNS classique : il associe un nom à une adresse IP. Beaucoup de serveurs de réception vérifient que l'adresse IP qui leur parle possède un enregistrement PTR, et que ce nom renvoie bien vers la même adresse. Une IP sans PTR, ou avec un nom générique du type ip-203-0-113-10.fournisseur.net, ressemble à une machine infectée qui envoie du spam.

Ce point concerne surtout ceux qui envoient depuis leur propre serveur (VPS, serveur dédié, application) : le PTR se règle chez l'hébergeur qui possède l'adresse IP, pas dans la zone DNS de votre domaine. Choisissez un nom explicite, par exemple mail.votredomaine.fr, qui pointe lui-même vers cette IP.

La réputation de l'adresse IP et du domaine

Les fournisseurs attribuent une réputation à chaque adresse IP et à chaque domaine d'envoi, selon l'historique : volume, taux de plaintes, adresses inexistantes, présence dans des pièges à spam. Ce qui l'abîme le plus souvent :

• Un compte piraté qui a servi à envoyer du spam pendant quelques heures ;
• Un formulaire de contact détourné par des robots ;
• Une liste de diffusion ancienne ou achetée, pleine d'adresses invalides ;
• Une IP neuve qui se met à envoyer beaucoup d'un coup, sans historique.

Sur une IP neuve, augmentez les volumes progressivement. Pour les newsletters, utilisez un sous-domaine ou un service dédié, afin de ne pas exposer les e-mails de vos commerciaux aux plaintes d'une campagne.

Les listes noires (blacklists)

Des organismes publient des listes d'adresses IP et de domaines repérés comme sources de spam, que les serveurs de réception consultent en temps réel. Si votre IP y figure, vos messages sont refusés ou classés en spam chez tous ceux qui utilisent cette liste. Avant de demander un retrait, corrigez la cause (mot de passe compromis, script vulnérable, relais ouvert) : sinon, l'inscription reviendra.

Le contenu du message

Un domaine bien configuré peut encore être filtré à cause du message lui-même. Quelques règles simples :

• Un objet clair, sans majuscules partout ni points d'exclamation à répétition ;
• Du texte réel : un e-mail composé d'une seule grande image est suspect ;
• Des liens vers votre propre domaine, pas des raccourcisseurs d'URL ;
• Des pièces jointes courantes (PDF) plutôt que des archives ou des fichiers exécutables ;
• Une signature cohérente avec l'expéditeur, et un lien de désinscription pour tout envoi groupé ;
• Une adresse d'expéditeur sur votre domaine : envoyer « au nom » de contact@votredomaine.fr depuis une adresse gratuite ou un outil non déclaré fait échouer SPF et DMARC.

Comment diagnostiquer et corriger, étape par étape

1. Envoyez un message de test vers une adresse Gmail ou Outlook, puis vers un service de test de délivrabilité en ligne (de type mail-tester) qui note votre message et détaille les points à corriger.
2. Lisez les en-têtes du message reçu (« Afficher l'original » dans Gmail). Cherchez les lignes spf=, dkim= et dmarc= : chacune doit indiquer pass.
3. Contrôlez votre zone DNS avec un outil public de diagnostic (de type MXToolbox) : présence et syntaxe du SPF, de la clé DKIM, de l'enregistrement DMARC, et des enregistrements MX.
4. Vérifiez le reverse DNS de l'adresse IP d'envoi et sa présence sur les principales listes noires, avec le même type d'outil.
5. Corrigez un point à la fois, puis refaites un test. Les modifications DNS peuvent mettre un peu de temps à se propager.
6. Surveillez dans la durée les rapports DMARC et, pour Gmail, les statistiques des outils pour expéditeurs (Postmaster Tools).

Et chez EXAGROUP ?

Nos e-mails professionnels sont proposés à partir de 2,99 €/mois, avec filtrage anti-spam et webmail ; la page de l'offre détaille SPF et DKIM. Si vous hébergez déjà votre site chez nous, les formules d'hébergement web comprennent aussi des adresses e-mail.

Notre centre d'aide explique comment configurer vos e-mails (enregistrement MX, anti-spam) et comment configurer vos enregistrements DNS, dont l'enregistrement SPF. Pour comprendre les délais de prise en compte, lisez comprendre les DNS et la propagation.

Vous envoyez depuis un VPS ou un serveur dédié ? Le reverse DNS (PTR) de chaque adresse IP se modifie depuis l'espace client : voir la gestion des VPS et la gestion des IP failover.

Vos messages partent toujours en spam malgré ces réglages ? Écrivez-nous en joignant les en-têtes complets d'un message concerné, nous vous répondrons par ticket.