Guide · lecture 6 minutes

Pourquoi vos emails arrivent en spam

Vous envoyez des emails de prospection et les réponses ne viennent pas. Personne ne vous prévient : il n'y a ni rejet, ni alerte. Les messages sont simplement classés ailleurs que dans la boîte de réception.

La cause est presque toujours technique, banale et réparable. Voici les six causes que nous rencontrons le plus souvent, ce que chacune publie dans votre DNS, et l'ordre dans lequel les corriger.

Un message peut être accepté puis mis de côté

Un serveur destinataire accepte votre message, puis décide où le placer. Ces deux décisions sont distinctes. Un email accepté sans erreur peut finir en spam sans que rien ne vous soit renvoyé.

C'est pour cette raison qu'une campagne peut sembler fonctionner alors qu'elle ne touche personne. Le silence n'est pas une information : il faut lire ce que votre domaine publie, et ce que le serveur a réellement vu.

SPF déclaré, mais pas aligné

SPF est un enregistrement TXT qui liste les serveurs autorisés à envoyer pour votre domaine. Deux choses cassent souvent.

D'abord le nombre de résolutions : la norme en autorise dix, et chaque include: en consomme au moins une. Au-delà, le contrôle passe en erreur permanente et n'autorise plus rien.

Ensuite l'alignement. SPF vérifie le domaine de l'enveloppe, pas celui que votre destinataire voit. Si votre outil envoie depuis son propre domaine d'enveloppe, SPF peut passer et l'alignement échouer quand même.

DKIM absent sur le domaine réellement utilisé

DKIM signe votre message avec une clé publiée dans votre DNS, sur un sélecteur. Les outils de prospection ajoutent souvent leur propre signature, sur leur propre domaine.

Votre domaine n'est alors signé par personne. Vérifiez que le sélecteur fourni par votre outil publie bien une clé chez vous, souvent sous la forme selecteur._domainkey.votredomaine.fr.

DMARC laissé en p=none

DMARC dit au destinataire quoi faire quand ni SPF ni DKIM ne s'alignent. Avec v=DMARC1; p=none; vous ne demandez rien : vous recevez des rapports, et c'est tout.

Beaucoup de domaines s'arrêtent là pendant des années. Le passage en p=quarantine se prépare : il ne se fait qu'après avoir vérifié que vos envois légitimes s'alignent, sinon vous bloquez votre propre courrier.

rDNS manquant sur l'IP d'envoi

Le rDNS est le nom associé à l'adresse IP qui envoie. Une IP sans rDNS, ou avec un rDNS qui ne correspond à rien, est un signal négatif ancien et toujours utilisé.

Cette correction ne se fait pas dans votre zone DNS : elle est demandée à celui qui détient l'IP, votre hébergeur ou votre outil d'envoi.

Le désabonnement en un clic, exigé depuis février 2024

Gmail et Yahoo demandent aux expéditeurs de volume une authentification en règle, un désabonnement en un clic, et un taux de plaintes utilisateurs sous 0,3 %.

Le désabonnement en un clic est un en-tête, List-Unsubscribe, accompagné de List-Unsubscribe-Post. Beaucoup d'outils de prospection ne l'ajoutent pas par défaut. Sans lui, un destinataire agacé n'a qu'un bouton disponible : celui qui vous signale comme spam.

Le contenu compte, après le reste

Un lien raccourci, une image seule, un domaine de suivi jeune : ces éléments pèsent, mais ils pèsent après l'authentification. Corriger la formulation d'un email dont le domaine n'est pas en règle ne change rien.

Dans quel ordre corriger

L'ordre importe, parce qu'une étape mal placée coupe vos envois légitimes.

1. Inventoriez qui envoie pour votre domaine, outil par outil, avant de toucher un enregistrement.
2. Réparez SPF : un seul enregistrement, sous les dix résolutions, avec uniquement les envoyeurs réels.
3. Publiez DKIM pour chaque outil, et vérifiez que la clé répond bien sur votre domaine.
4. Ajoutez le rDNS et l'en-tête de désabonnement en un clic auprès de votre outil d'envoi.
5. Seulement ensuite, faites évoluer DMARC vers p=quarantine.

Comment savoir que c'est corrigé

Une configuration se lit, elle ne se devine pas. Relisez le DNS après chaque changement, en gardant à l'esprit que la propagation peut prendre jusqu'à 48 heures.

Puis envoyez un vrai message, depuis l'outil que vous utilisez vraiment, et lisez les en-têtes reçus. C'est le seul moyen de savoir ce que le serveur destinataire a vu, et non ce que vous avez déclaré.