Consentement, désabonnement et liste propre

Module 7: Newsletters et e-mails depuis votre site · Temps de lecture : 12 minutes

Objectif pédagogique : Après cette leçon, vous saurez constituer et entretenir une liste d'adresses qui respecte à la fois la loi et la confiance des filtres antispam, et vérifier qu'une newsletter dispose d'un désabonnement en un clic qui fonctionne réellement.

Notions clés : consentement préalable (opt-in), opt-in confirmé (double opt-in), exception pour vos propres clients (soft opt-in), ePrivacy (directive 2002/58/CE, article 13), RGPD, lien de désabonnement, List-Unsubscribe (RFC 2369), List-Unsubscribe-Post et désabonnement en un clic (RFC 8058), taux de plaintes, bounces durs et souples, adresses inactives, spamtrap, liste achetée

La technique ne suffit pas

Dans la leçon 7.1, vous avez authentifié votre domaine auprès d'un service d'envoi. SPF, DKIM et DMARC sont corrects. Pourtant, votre newsletter peut atterrir dans les spams. Les destinataires comme Gmail, Yahoo et Outlook.com observent en effet aussi la façon dont leurs utilisateurs réagissent à vos e-mails. Les gens cliquent-ils sur « Ceci est un spam », n'ouvrent-ils jamais votre courrier, ou envoyez-vous à des adresses qui n'existent plus depuis des années ? Dans ce cas, votre réputation chute, aussi bonne que soit votre technique.

Gmail indique dans ses recommandations pour les expéditeurs un seuil : maintenez le taux de spam (la part de vos e-mails que les destinataires marquent comme spam, mesurée dans Google Postmaster Tools) en dessous de 0,1 % et ne dépassez jamais 0,3 %. Yahoo applique aussi 0,3 %. Cela représente une plainte pour 333 e-mails. Avec une liste de personnes qui ne savent pas pourquoi elles reçoivent vos e-mails, vous n'y arriverez jamais.

Une liste propre commence donc par la question : cette personne veut-elle vraiment recevoir mon e-mail ?

Que dit la loi ?

Les règles relatives à la prospection par voie électronique (spam) proviennent de la directive européenne ePrivacy (directive 2002/58/CE, article 13), que chaque pays a transposée dans sa propre législation. Vérifiez les règles applicables dans votre pays ainsi que les recommandations de votre autorité de contrôle. En France, par exemple, ces règles figurent notamment dans le Code des postes et des communications électroniques et sont précisées par la CNIL. Aux Pays-Bas, les règles figurent à l'article 11.7 de la loi néerlandaise sur les télécommunications (Telecommunicatiewet), que l'Autoriteit Consument & Markt (ACM) explique sur son site. Pour les données personnelles s'applique en outre le RGPD. Ceci n'est pas un conseil juridique, mais les grandes lignes sont claires :

• Consentement préalable. La prospection par e-mail, y compris les messages à visée associative ou caritative, n'est autorisée qu'auprès d'une personne qui y a consenti au préalable. Vous devez pouvoir prouver ce consentement. L'autorité de contrôle précise généralement que le consentement doit être donné en connaissance de cause : pas de case cochée par défaut, pas dissimulé dans les conditions générales, et le choix doit porter clairement sur la prospection.
• Exception pour vos propres clients, souvent appelée soft opt-in. Si vous avez obtenu l'adresse e-mail lors de la vente d'un produit ou d'un service, vous pouvez contacter ce client au sujet de vos propres produits ou services similaires. Condition : vous avez clairement donné la possibilité de refuser au moment de la collecte de l'adresse, et vous le faites à nouveau à chaque e-mail.
• Adresses professionnelles. Pour les personnes morales aussi, le consentement préalable s'applique en principe. L'exception est étroite : les adresses que l'entreprise a elle-même rendues publiques dans le but de recevoir de la prospection, utilisées à cette fin. Récupérer une adresse sur un site web ne constitue donc pas un consentement.
• Désabonnement et expéditeur. Chaque message doit permettre au destinataire de se désabonner gratuitement et simplement. Vous indiquez toujours l'identité réelle de l'expéditeur et une adresse valide à laquelle le destinataire peut envoyer une demande d'arrêt.

Il n'existe donc pas de « listes achetées avec consentement » vers lesquelles vous pourriez simplement envoyer vos e-mails : le consentement doit avoir été donné pour vous et vos messages spécifiquement.

Opt-in confirmé : preuve et qualité à la fois

Avec un opt-in simple, une personne saisit son adresse dans un formulaire et figure immédiatement sur votre liste. Le problème : n'importe qui peut saisir n'importe quelle adresse, y compris celle d'autrui, et les fautes de frappe (jan@gmial.com) se retrouvent aussi sur votre liste.

Avec l'opt-in confirmé (double opt-in), l'adresse reçoit d'abord un e-mail contenant un lien de confirmation. Ce n'est qu'après le clic qu'elle figure sur la liste. Cela présente trois avantages :

1. Vous prouvez que le propriétaire de l'adresse a lui-même donné son consentement (conservez la date, l'heure et l'IP de la confirmation). L'autorité de contrôle précise que vous devez pouvoir prouver le consentement encore des années après l'envoi.
2. Votre liste ne contient que des adresses qui existent et sont lues.
3. Vous évitez que des personnes malveillantes ou des robots remplissent votre formulaire avec les adresses d'autrui. Ces personnes se plaindront plus tard, et cela vous nuira.

De nombreux hébergeurs imposent l'opt-in confirmé comme condition si vous envoyez des campagnes via leurs serveurs. Chez WebOké, cela figure par exemple dans l'article de la base de connaissances 18 ; chez d'autres prestataires, cela figure dans la politique d'utilisation acceptable.

Désabonnement en un clic

Un lien de désabonnement en bas de l'e-mail est légalement obligatoire. Les grands destinataires souhaitent en outre un bouton de désabonnement intégré à leur propre programme : Gmail et Yahoo affichent alors « Se désabonner » en haut de l'e-mail. Cela fonctionne grâce à deux en-têtes.

List-Unsubscribe (RFC 2369) indique une ou deux méthodes de désabonnement, entre chevrons :

List-Unsubscribe: <https://lists.example.com/afmelden?id=7f3a9c>, <mailto:afmelden@lists.example.com?subject=afmelden-7f3a9c>

List-Unsubscribe-Post (RFC 8058) indique que le lien https fonctionne en un clic, sans que le destinataire ait besoin de confirmer sur une page :

List-Unsubscribe-Post: List-Unsubscribe=One-Click

Lorsque le destinataire clique sur Se désabonner dans Gmail, Gmail envoie une requête POST avec exactement List-Unsubscribe=One-Click vers cette URL. Votre serveur désabonne alors immédiatement l'adresse. Quelques règles tirées de la RFC 8058 :

• l'URL doit être en https ;
• le lien doit être unique par destinataire (il contient un code), afin que le serveur sache qui se désabonne ;
• les en-têtes List-Unsubscribe et List-Unsubscribe-Post doivent être couverts par la signature DKIM, sinon quelqu'un pourrait les remplacer en chemin ;
• une requête GET sur la même URL ne doit pas désabonner immédiatement (les antivirus et les aperçus suivent les liens), seule la requête POST le doit.

Gmail exige, pour les expéditeurs en masse (plus d'environ 5 000 e-mails par jour vers des adresses Gmail), un désabonnement en un clic dans les e-mails marketing, en plus d'un lien de désabonnement visible dans le texte. Yahoo exige la même chose et souhaite que vous traitiez un désabonnement dans un délai de 2 jours. Même si votre volume est plus faible : tout bon service d'envoi insère automatiquement ces en-têtes. Vérifiez-le tout de même (voir l'exercice).

Garder votre liste propre

Une liste vieillit. Les gens changent d'emploi, des boîtes mail sont fermées, l'intérêt s'estompe. Sans entretien, vos bounces et vos plaintes augmentent, et vos ouvertures diminuent. Cinq habitudes à adopter :

1. Retirez immédiatement les bounces durs. Un bounce dur (une erreur 5xx comme 550 5.1.1 « l'adresse n'existe pas », leçon 6.2) signifie que l'adresse ne fonctionne pas. Si vous continuez à lui envoyer des e-mails, les destinataires vous considéreront comme un expéditeur négligent ou spammeur. Les services d'envoi le font automatiquement.
2. Surveillez les bounces souples. Une erreur temporaire (4xx, par exemple une boîte mail pleine) peut se produire quelques fois, mais si une adresse échoue à chaque envoi, retirez-la.
3. Traitez les plaintes. Quiconque clique sur « Ceci est un spam » doit être retiré de votre liste. Les grands destinataires envoient une notification via une feedback loop ; les services d'envoi la traitent.
4. Nettoyez les inactifs. Une personne qui n'a rien ouvert ni cliqué depuis un an envoie un mauvais signal. Envoyez d'abord un e-mail de réengagement (« Souhaitez-vous toujours recevoir notre newsletter ? »), et retirez de la liste ceux qui ne réagissent pas. Attention : depuis Apple Mail Privacy Protection (leçon 2.3), les ouvertures ne sont plus fiables ; regardez aussi les clics.
5. Ne jamais acheter, louer ou récupérer des listes. Outre le problème légal, ces listes contiennent souvent des spamtraps : des adresses que les gestionnaires de listes de blocage et les destinataires conservent précisément pour piéger les spammeurs. Il existe des adresses anciennes réactivées comme piège après des années de silence, et des adresses qui n'ont jamais été inscrites nulle part. Quiconque leur envoie des e-mails prouve ainsi qu'il n'a pas de consentement. Un seul impact peut vous placer sur une liste de blocage (leçon 5.2).

En pratique

Exemple : vous avez une boutique en ligne et souhaitez envoyer à vos clients, après un achat, une newsletter sur des produits similaires. Au moment du paiement, placez une case non cochée par défaut « Je souhaite recevoir la newsletter », ou utilisez l'exception pour vos propres clients : vous indiquez clairement lors du paiement que vous contactez vos clients au sujet de produits similaires, avec le choix « non, merci », et chaque newsletter comporte un lien de désabonnement. Tous les e-mails passent par un service d'envoi avec un domaine authentifié (leçon 7.1). Le service retire automatiquement les bounces et les plaintes, et vous nettoyez les adresses inactives deux fois par an.

Pour une association disposant d'une liste de diffusion sur son offre d'hébergement (chez WebOké, cela s'appelle Listes de diffusion dans DirectAdmin ; d'autres panneaux disposent de listes similaires), il s'agit de membres qui s'attendent à recevoir cet e-mail. Là aussi : indiquez dans chaque e-mail comment se désabonner, et retirez les anciens membres de la liste.

Résumé

• Les destinataires surveillent les plaintes : restez en dessous de 0,1 % et ne dépassez jamais 0,3 %.
• Selon la directive ePrivacy (transposée dans chaque pays, par exemple à l'article 11.7 de la loi néerlandaise sur les télécommunications), vous n'envoyez de la prospection que si vous disposez d'un consentement préalable prouvable, avec une exception pour vos propres clients concernant des produits similaires. Toujours avec l'expéditeur et une possibilité de désabonnement.
• L'opt-in confirmé fournit une preuve et une liste sans fautes de frappe ni fausses inscriptions.
• List-Unsubscribe avec un lien https et List-Unsubscribe-Post: List-Unsubscribe=One-Click, couverts par la signature DKIM, et traitement des désabonnements sous 2 jours.
• Retirez les bounces durs et les personnes qui se plaignent, nettoyez les inactifs, n'achetez jamais de listes (spamtraps).

Quiz

Exercice

Exercice Z7.2: Vérifier les en-têtes de désabonnement. Collez les en-têtes d'une newsletter que vous envoyez vous-même (ou d'une newsletter que vous recevez, ou le fichier d'exemple nieuwsbrief-kopregels-2.txt). Indiquez : y a-t-il un List-Unsubscribe avec un lien https (oui/non), y a-t-il une variante mailto: (oui/non), le désabonnement en un clic est-il activé (oui/non) et ces en-têtes sont-ils couverts par la signature DKIM (oui/non, voir h= dans DKIM-Signature). Le programme analyse les en-têtes et compare.

Exercice O7.2: Passer en revue votre processus de consentement. Décrivez comment les personnes arrivent sur votre liste (formulaire, paiement, inscription à un événement) et répondez à la liste de vérification : la case est-elle vide tant que la personne ne la coche pas elle-même, la personne confirme-t-elle son adresse, conservez-vous la date et l'heure du consentement, chaque e-mail comporte-t-il un lien de désabonnement ainsi que le nom et l'adresse de votre entreprise, et à quelle fréquence nettoyez-vous les adresses inactives ? Vous recevrez ensuite la réponse type avec les points à surveiller.

Pour aller plus loin

Les étapes décrites dans ces articles concernent les panneaux de WebOké ; chez d'autres prestataires, le fonctionnement est similaire.

• Puis-je envoyer un mailing via mon forfait d'hébergement chez WebOké ?
• Certains messages envoyés à une liste de diffusion n'arrivent pas
• Guide DirectAdmin 7.10: Listes de diffusion
• ACM, Spam (règles pour l'envoi de prospection par e-mail, Nederland) : https://www.acm.nl/nl/onderwerpen/telecommunicatie/internet/spam
• Loi néerlandaise sur les télécommunications (Telecommunicatiewet), article 11.7 (Nederland) : https://wetten.overheid.nl/BWBR0009950/#Hoofdstuk11_Paragraaf11.1_Artikel11.7
• RFC 8058 (désabonnement en un clic) : https://www.rfc-editor.org/rfc/rfc8058
• Yahoo, recommandations pour les expéditeurs : https://senders.yahooinc.com/best-practices/