Newsletters depuis votre propre domaine

Module 7: Newsletters et e-mails depuis votre site · Temps de lecture : 11 minutes

Objectif pédagogique : Après cette leçon, vous saurez relier un service d'envoi de sorte que votre newsletter, envoyée au nom de votre propre domaine, passe SPF, DKIM et DMARC, et vous saurez vérifier dans les en-têtes si cela a fonctionné.

Notions clés : service d'envoi, domaine From, Return-Path (domaine de bounce), domaine DKIM (d=), alignement (alignment), domaine de bounce personnalisé via CNAME, DKIM via CNAME, sous-domaine pour le marketing, limite d'envoi, montée en puissance (warm-up)

Pourquoi une newsletter est différente d'un e-mail ordinaire

Un e-mail à un client ou un collègue, vous l'envoyez depuis votre propre boîte mail. Une newsletter part vers des centaines ou des milliers de personnes à la fois. Pour des destinataires comme Gmail, Outlook.com et T-Online, c'est un autre type de trafic : le courrier en masse (bulk mail). Ils l'examinent plus sévèrement, car la quasi-totalité du spam est également du courrier en masse.

Trois éléments font la différence entre une newsletter qui arrive dans la boîte de réception et une qui disparaît dans les spams :

1. La technique : l'e-mail doit prouver qu'il provient bien de votre domaine. C'est le rôle de SPF, DKIM et DMARC, et surtout de l'alignement entre eux.
2. La réputation : les serveurs et le domaine avec lesquels vous envoyez doivent avoir une bonne réputation (leçon 5.2).
3. Le comportement de vos destinataires : ouvrent-ils votre e-mail, ou cliquent-ils sur « Ceci est un spam » ? Cela dépend de votre liste et du consentement (leçon 7.2).

Cette leçon porte sur le premier point. La base des enregistrements se trouve dans le cours DNS, leçon 7.4. Ici, nous voyons comment vérifier en pratique que tout est correct.

Pourquoi ne pas simplement passer par votre propre boîte mail ?

Il peut être tentant d'envoyer une newsletter en Cci depuis votre programme de messagerie habituel, ou via une liste de diffusion sur votre offre d'hébergement. Pour une petite association de trente membres qui se connaissent, une liste de diffusion convient très bien. Pour une véritable newsletter, non, et ce pour quatre raisons :

• Limites d'envoi. Presque tous les fournisseurs limitent le nombre d'e-mails qu'une boîte mail ou une offre peut envoyer par jour, afin de limiter les abus. Chez WebOké, cette limite est visible dans DirectAdmin au niveau des statistiques utilisateur ; chez d'autres fournisseurs, elle figure dans les conditions ou le panneau client. Une newsletter à 2 000 personnes dépasse largement cette limite.
• Réputation partagée. Vous partagez le serveur d'envoi avec d'autres clients. Si des destinataires se plaignent de votre newsletter, cela affecte aussi leur courrier, et inversement.
• Pas de bouton de désabonnement ni de gestion des bounces. Un service d'envoi ajoute automatiquement les en-têtes de désabonnement à chaque e-mail (leçon 7.2), retire de votre liste les adresses qui n'existent plus et traite les plaintes. Vous ne pouvez jamais faire cela correctement à la main.
• Confidentialité. Un seul clic malheureux et vous envoyez à tout le monde l'adresse de chacun dans le champ À.

Un service d'envoi (service de newsletter comme Laposta, Brevo, MailerLite ou Mailchimp, ou un service transactionnel pour les confirmations et les factures) est conçu pour ce travail. Mais dans ce cas, c'est un tiers qui envoie au nom de votre domaine, et vous devez le prouver.

Trois domaines dans un même e-mail

Chaque e-mail comporte au moins trois endroits où figure un domaine. Dans un e-mail ordinaire envoyé depuis votre propre boîte mail, ils sont généralement identiques. Avec un service d'envoi, ce n'est pas automatique.

DMARC (leçon 4.4) valide un e-mail si SPF ou DKIM réussit, et que le domaine qui a réussi est aligné avec le domaine From. Avec le réglage standard (relaxed), aligné signifie qu'il s'agit du même domaine organisationnel : mail.example.com est aligné avec example.com, mais sender.example ne l'est pas.

Sans réglages personnalisés, une newsletter se présente alors ainsi :

Return-Path: <bounce-8f3a@mail.sender.example>
From: Nieuws <nieuws@example.com>
DKIM-Signature: v=1; a=rsa-sha256; d=sender.example; s=s1; ...
Authentication-Results: mx.example.net;
       spf=pass smtp.mailfrom=mail.sender.example;
       dkim=pass header.d=sender.example;
       dmarc=fail header.from=example.com

SPF réussit et DKIM réussit, mais tous les deux pour le domaine du service. Aucun des deux n'est aligné avec example.com, donc DMARC échoue. Si votre politique DMARC est réglée sur p=none, vous ne le remarquerez que dans vos rapports (leçon 4.5). Si elle est réglée sur quarantine ou reject, votre newsletter disparaît dans les spams ou est refusée.

La solution : authentifier le domaine chez le service

Chaque service d'envoi sérieux propose une étape appelée « authentifier le domaine », « vérifier le domaine » ou « configurer le domaine d'expédition ». Le service vous donne alors quelques enregistrements à placer dans votre DNS. Il s'agit généralement de :

1. DKIM via CNAME, par exemple s1._domainkey.example.com vers un nom chez le service. Le service signe ensuite votre e-mail avec d=example.com. C'est l'enregistrement le plus important : c'est lui qui permet à DMARC de réussir via DKIM.
2. Un domaine de bounce personnalisé, souvent un CNAME sur un sous-domaine, par exemple bounce.example.com vers le service. Le Return-Path devient alors ...@bounce.example.com. Le SPF de ce sous-domaine pointe via le CNAME vers le service, et SPF est alors également aligné. Tous les services ne proposent pas cette option ; DKIM seul suffit pour DMARC.
3. Parfois un include SPF dans votre propre enregistrement, si le service utilise votre domaine principal comme Return-Path. Ne le faites que si le service le demande, et toujours dans votre enregistrement SPF existant (leçon 4.2).
4. Parfois un TXT de vérification pour prouver que le domaine vous appartient.

Après avoir appliqué les bons réglages, la même newsletter se présente ainsi :

Return-Path: <bounce-8f3a@bounce.example.com>
From: Nieuws <nieuws@example.com>
DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=s1; ...
Authentication-Results: mx.example.net;
       spf=pass smtp.mailfrom=bounce.example.com;
       dkim=pass header.d=example.com;
       dmarc=pass header.from=example.com

Reprenez toujours littéralement les noms et destinations indiqués dans le tableau de bord de votre service. Ils diffèrent selon le service et parfois selon le compte.

Un sous-domaine séparé pour le marketing ?

Les gros expéditeurs utilisent souvent un sous-domaine dédié pour les newsletters, comme nieuws.example.com ou info.example.com, avec comme expéditeur nieuwsbrief@nieuws.example.com. L'idée : la réputation de votre courrier marketing est alors indépendante de votre courrier ordinaire. Si une campagne se passe mal, votre courrier quotidien avec vos clients en souffre moins.

Pour qui envoie une newsletter quelques fois par mois, ce n'est pas nécessaire. Cela complique la gestion : le sous-domaine a besoin de son propre DKIM, et votre politique DMARC pour les sous-domaines (sp=) doit s'y accorder. Envisagez cette option si vous envoyez beaucoup, ou si vous avez, en plus des newsletters, beaucoup de courrier transactionnel (commandes, mots de passe). Celui-ci, vous ne voulez jamais qu'il souffre d'une campagne ratée.

Important : ne placez pas d'enregistrement MX vers le service sur un sous-domaine d'envoi si ce n'est pas nécessaire, et ne modifiez jamais le MX de votre domaine principal pour une newsletter. Le MX détermine où le courrier arrive ; les réponses à votre newsletter doivent atterrir normalement dans votre propre boîte mail.

Montée en puissance : ne commencez pas directement à plein régime

Vous envoyez pour la première fois avec un nouveau service ou un nouveau domaine, ou vous envoyez soudain dix fois plus que d'habitude ? Les destinataires ne vous connaissent pas encore. Les grands destinataires freinent les expéditeurs inconnus (chez Microsoft, cela se traduit par des refus temporaires comme 451 4.7.500, leçon 6.4). Commencez donc petit : d'abord vos lecteurs les plus actifs, puis élargissez progressivement à chaque envoi. C'est ce qu'on appelle la montée en puissance (warm-up). Avec un service d'envoi mutualisé, le service se charge en grande partie de cela lui-même, mais la réputation de votre domaine compte aussi dans ce cas.

En pratique : à quoi cela ressemble dans un panneau

Vous placez les enregistrements du service dans l'administration DNS de votre domaine. Chez WebOké, c'est l'onglet DNS dans Mon WebOké ou Administration DNS dans DirectAdmin ; chez d'autres fournisseurs, cela s'appelle gestion DNS, gestion de zone ou enregistrements DNS, et le fonctionnement est similaire. Attention aux deux erreurs classiques : le nom de domaine doublé dans le nom (s1._domainkey.example.com.example.com), et la création d'un enregistrement TXT là où le service demande un CNAME.

C'est fait ? Envoyez une newsletter test vers votre propre adresse Gmail ou Outlook.com et ouvrez les en-têtes (leçon 1.5). Vous devez voir, dans Authentication-Results : dkim=pass avec header.d= votre domaine, et dmarc=pass.

Résumé

• Une newsletter est du courrier en masse : les destinataires sont plus stricts. Utilisez un service d'envoi, pas votre boîte mail ordinaire.
• Chaque e-mail comporte trois domaines : From (DMARC), Return-Path (SPF) et le domaine DKIM d=.
• DMARC ne réussit que si SPF ou DKIM réussit pour un domaine aligné avec le domaine From.
• Authentifiez votre domaine chez le service : DKIM via CNAME est l'essentiel, un domaine de bounce personnalisé est un plus.
• Vérifiez avec un e-mail test : dkim=pass header.d=<votre domaine> et dmarc=pass. Commencez petit avec un nouveau service.

Quiz

Exercice

Exercice Z7.1 : Vérifier l'alignement d'une newsletter. Envoyez-vous une newsletter depuis votre propre service d'envoi (ou utilisez le fichier d'exemple nieuwsbrief-kopregels-1.txt du cours) et collez les en-têtes. Indiquez : le domaine From, le domaine Return-Path, le domaine DKIM (d=) et si, selon vous, DMARC réussit (oui/non) et par quelle voie (SPF, DKIM, les deux ou aucune). Le programme analyse lui-même les en-têtes, vérifie en direct le sélecteur DKIM dans le DNS et l'enregistrement DMARC du domaine From, et compare son résultat au vôtre.

Pour aller plus loin

Les étapes décrites dans ces articles concernent les panneaux de WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.

• Cours DNS gratuit 7.4: Services de newsletter et d'envoi
• Cours DNS gratuit 4.5: DMARC : que doivent faire les destinataires avec les faux e-mails
• Guide DirectAdmin 5.8: Activer et vérifier DKIM
• Guide DirectAdmin 7.10: Listes de diffusion
• Limite d'envoi d'e-mails
• Puis-je envoyer un mailing via mon forfait d'hébergement chez WebOké ?
• Google, Directives pour les expéditeurs (Email sender guidelines) : https://support.google.com/a/answer/81126