Vos e-mails finissent dans les spams ? SPF, DKIM et DMARC – expliqués simplement

Un client vous dit : « Votre e-mail de devis n'est jamais arrivé. » Et vous savez très bien que vous l'avez envoyé. Ça vous dit quelque chose ?

Alors, souvent, ce n'est pas votre faute, mais celle d'enregistrements manquants dans votre domaine. L'e-mail est une vieille technologie, conçue à une époque où tout le monde se faisait encore confiance sur Internet. En théorie, n'importe qui peut indiquer n'importe quel expéditeur. Pour que les boîtes mail puissent distinguer les vrais e-mails des faux, il existe trois mécanismes de vérification : SPF, DKIM et DMARC.

Les trois vérifications, chacune en une phrase

Ces trois mécanismes sont des enregistrements dans le DNS de votre domaine, c'est-à-dire dans l'annuaire d'Internet. On ne les voit pas, mais chaque grand fournisseur de messagerie les lit à chaque e-mail entrant.

Pourquoi c'est important en ce moment

Les grands fournisseurs de messagerie ont durci les règles. Depuis février 2024, Google exige de tous les expéditeurs vers Gmail au moins SPF ou DKIM, ainsi qu'une connexion chiffrée et des enregistrements DNS valides. Qui envoie plus de 5.000 e-mails par jour a besoin de SPF, DKIM et DMARC, et, pour les e-mails publicitaires, d'un désabonnement en un clic. Microsoft a suivi pour Outlook.com, Hotmail et Live : depuis le 5 mai 2025, les e-mails des gros expéditeurs qui échouent à la vérification sont refusés – avec un message d'erreur, et pas seulement classés dans les spams.

Vous n'envoyez pas 5.000 e-mails par jour ? Alors les règles les plus strictes ne s'appliquent pas à vous. Mais les vérifications entrent dans l'évaluation de chaque e-mail. Sans SPF ni DKIM, même un simple e-mail de devis finit plus vite dans les spams. En Allemagne, le BSI (l'Office fédéral allemand de la sécurité des technologies de l'information) recommande les trois mécanismes dans sa directive technique sur l'authentification des e-mails (TR-03182).

Comment vérifier où vous en êtes

Envoyez un e-mail vers une boîte Gmail ou Outlook et ouvrez-y la vue détaillée du message, généralement « Afficher l'original » ou « Détails du message ». Vous y trouverez pour SPF, DKIM et DMARC la mention « PASS » ou « FAIL ». Si PASS figure partout, les bases sont posées. Si FAIL apparaît quelque part ou s'il manque quelque chose, un coup d'œil aux paramètres DNS s'impose.

Pièges typiques :

• Vous n'envoyez pas seulement depuis votre boîte mail, mais aussi via un outil de newsletter, une boutique, un logiciel de facturation ou un système de tickets. Chacun de ces services doit figurer dans le SPF ou recevoir ses propres clés DKIM.
• Il y a deux enregistrements SPF au lieu d'un. Les serveurs de messagerie n'aiment pas du tout ça.
• DMARC manque complètement. Commencez par « p=none » : vous observez d'abord, avant de devenir plus strict.
• La clé DKIM est trop courte. Google exige au moins 1.024 bits et en recommande 2.048.

Devenir plus strict étape par étape

DMARC connaît trois niveaux : « none » (observer uniquement), « quarantine » (envoyer les e-mails suspects dans les spams) et « reject » (les refuser). Passer directement à « reject » bloque parfois votre propre logiciel de facturation. Plus malin : commencer par « none », lire les rapports pendant quelques semaines, enregistrer tous les vrais expéditeurs, puis durcir progressivement. Au bout du compte, vous protégez aussi vos clients, car les escrocs ne peuvent alors pratiquement plus utiliser votre domaine pour de fausses factures.

Et si quelque chose atterrit quand même dans les spams ?

Des enregistrements propres sont le billet d'entrée, mais pas toute la fête. Les boîtes mail évaluent aussi le contenu et la réputation de votre domaine. Quelques points qui aident souvent :

• N'envoyez pas de mailings depuis votre boîte habituelle à des centaines de destinataires, mais via un service de newsletter avec lien de désinscription – et uniquement aux personnes qui ont donné leur accord.
• Évitez les objets en majuscules, les nombreux points d'exclamation et les e-mails composés uniquement d'une image.
• Envoyez plutôt les pièces jointes volumineuses sous forme de lien vers un téléchargement sécurisé.
• Surveillez votre taux de spam : Google fixe la limite à 0,3 % de plaintes – mieux vaut rester nettement en dessous.

Si un e-mail important disparaît quand même, le message d'erreur qui revient souvent est utile. Il paraît cryptique, mais contient généralement la raison en une ligne. Transférez-le simplement – pour nous, c'est comme une radiographie.

Le DNS, ça vous fait penser à une cave sans lumière ? Le Monstre de l'E-mail configure SPF, DKIM et DMARC pour vous, vérifie tous les services d'envoi et vous explique le résultat en deux phrases. Pour tout ce qui touche à vos domaines, le Monstre des Domaines vous aide.