Pourquoi un e-mail atterrit dans les spams

Module 4: Délivrabilité : SPF, DKIM et DMARC en pratique · Temps de lecture : 10 minutes

Objectif pédagogique : Après cette leçon, vous saurez nommer les quatre niveaux auxquels un destinataire évalue un e-mail entrant, expliquer pourquoi « chez moi, il arrive bien » ne prouve rien, et déterminer à l'aide d'un test à quel niveau se situe un problème.

Notions clés : délivrabilité (deliverability), remise vs. boîte de réception, propreté technique, authentification (SPF, DKIM, DMARC), alignement, réputation IP, réputation de domaine, contenu, comportement des destinataires (plaintes, ouvertures, suppressions), filtres propres à chaque destinataire, Authentication-Results, e-mail de test, outils de mesure

Remis n'est pas la même chose qu'arrivé

Lorsque votre serveur a transmis un e-mail au serveur du destinataire, et que celui-ci a répondu par 250 OK, l'e-mail a été remis. Cela ne vous indique pas encore s'il se trouve dans la boîte de réception. Le serveur destinataire peut ensuite le placer dans le dossier spam, dans un onglet « Promotions », le mettre en quarantaine, ou même le supprimer discrètement.

La délivrabilité (en anglais deliverability) concerne cette deuxième étape : votre e-mail arrive-t-il là où il doit arriver ? Et cela, chaque destinataire le décide lui-même. Gmail pondère différemment de Microsoft, et une entreprise dotée de son propre filtre antispam procède encore autrement. Il n'existe pas de liste centrale de règles. En revanche, les niveaux sur lesquels ils évaluent sont partout à peu près les mêmes.

Niveau 1 : propreté technique

Avant qu'un filtre n'examine le contenu, il examine la connexion :

• L'adresse IP du serveur expéditeur dispose-t-elle d'un reverse DNS (PTR) correct, qui pointe vers la même adresse ? (Leçon 5.1.)
• Le serveur se présente-t-il correctement avec un vrai nom dans EHLO ?
• La connexion est-elle chiffrée avec TLS ?
• Le serveur respecte-t-il les règles du SMTP, et retente-t-il l'envoi après un refus temporaire ?

Pour une boîte mail chez un hébergeur ou un grand service de messagerie, ce point est presque toujours en ordre. Cela devient un enjeu si vous gérez vous-même un serveur, comme un VPS qui envoie directement, ou une imprimante ou une caméra qui envoie elle-même des e-mails.

Niveau 2 : authentification

C'est le niveau sur lequel vous, en tant que gestionnaire de domaine, avez le plus de prise, et c'est le sujet de ce module :

• SPF (leçon 4.2) : ce serveur est-il autorisé à envoyer au nom du domaine ?
• DKIM (leçon 4.3) : l'e-mail est-il signé, et la signature est-elle correcte ?
• DMARC (leçon 4.4) : le contrôle réussi correspond-il au domaine figurant dans l'adresse De (alignement), et que doit faire le destinataire si ce n'est pas le cas ?

Les bases de ces trois enregistrements se trouvent dans le cours DNS, module 4. Ici, il s'agit de la pratique : identifier tous les services qui envoient en votre nom, et affiner la politique étape par étape.

En l'absence d'authentification, l'évaluation baisse. Depuis 2024 et 2025, c'est aussi devenu une exigence stricte chez les grands destinataires : Gmail, Yahoo et Microsoft exigent au minimum SPF ou DKIM de la part de tous, et SPF, DKIM et DMARC avec alignement de la part des expéditeurs en masse. Ce point est développé en détail dans la leçon 5.3.

Niveau 3 : réputation

Un destinataire se souvient de ce qu'il a reçu auparavant d'un expéditeur. Il examine à cet égard :

• La réputation IP : qu'est-il arrivé précédemment depuis cette adresse IP ? En hébergement mutualisé et chez les grands services de messagerie, de nombreux expéditeurs partagent une même IP ; un seul mauvais expéditeur peut alors pénaliser tout le monde. Une IP nouvelle, sans historique, est traitée avec prudence.
• La réputation de domaine : qu'est-il arrivé précédemment depuis ce domaine (le domaine de l'adresse De et le domaine DKIM) ? Ce facteur pèse de plus en plus lourd, justement parce que DKIM et DMARC permettent de reconnaître un domaine de façon fiable. Une bonne réputation de domaine, vous l'emportez avec vous si vous changez de serveur.
• Les listes de blocage : des listes publiques d'adresses IP ou de domaines ayant envoyé du spam (leçon 5.2).

La réputation se construit lentement et se perd rapidement.

Niveau 4 : contenu et comportement

Ce n'est qu'en dernier lieu qu'un filtre examine l'e-mail lui-même, et ce que les destinataires en font :

• Le contenu : des liens vers des domaines mal réputés, des liens raccourcis, une seule grande image sans texte, des pièces jointes contenant des macros, un objet qui n'a aucun rapport avec le contenu, une mise en forme défaillante.
• Le comportement des destinataires : c'est le facteur qui pèse le plus lourd chez les grands services de messagerie. Si de nombreux destinataires cliquent sur « Ceci est un spam », votre réputation chute. Si vos e-mails sont ouverts, qu'on y répond ou qu'on les sort du dossier spam, elle augmente. Gmail souhaite que moins de 0,3 % des destinataires marquent votre e-mail comme spam, et de préférence moins de 0,1 %.

L'idée selon laquelle des mots isolés considérés comme « spammy », comme gratuit ou offre, bloqueraient votre e-mail relève en grande partie du mythe. Les filtres modernes pondèrent l'ensemble. Une newsletter contenant le mot gratuit, envoyée par un expéditeur avec une bonne authentification et une bonne réputation, arrive sans problème ; un texte soigné envoyé depuis un serveur inconnu sans SPF, non.

Pourquoi « chez moi, il arrive bien » ne prouve rien

Vous envoyez un e-mail de test à votre propre adresse Gmail et il atterrit dans la boîte de réception. Tout est donc en ordre ? Pas forcément :

• Vous avez probablement déjà échangé des e-mails avec cette adresse auparavant. Un filtre fait davantage confiance à un expéditeur avec qui vous êtes déjà en contact.
• Un destinataire n'est pas l'autre. Microsoft peut refuser un e-mail que Gmail accepte.
• Un e-mail n'est pas mille. Une newsletter envoyée à mille adresses est évaluée différemment d'un e-mail isolé.

Un e-mail de test reste utile, mais surtout pour lire les en-têtes (leçon 1.5). On y trouve exactement ce que le destinataire a constaté :

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=x header.b=Ab12Cd34;
       spf=pass (google.com: domain of info@example.com designates 192.0.2.25 as permitted sender) smtp.mailfrom=info@example.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=example.com

Ici, les trois contrôles réussissent. S'il y figure spf=softfail, dkim=none ou dmarc=fail, vous savez dans quel niveau chercher. Vous établissez ainsi le problème au lieu de deviner.

Une démarche en trois étapes

1. Vérifiez votre DNS avec un outil qui examine le MX, le SPF, le DKIM, le DMARC et les listes de blocage. Exemples : l'E-mailcheck et le Bilan de santé du domaine de WebOké, internet.nl, MXToolbox. Ces outils montrent ce qui figure dans le DNS, mais pas comment un e-mail réel est évalué.
2. Envoyez un véritable e-mail de test vers une adresse chez Gmail et chez Outlook.com, ou vers un service de test comme mail-tester, et lisez les en-têtes ou le rapport. Vous verrez ainsi si l'e-mail passe réellement les contrôles SPF, DKIM et DMARC.
3. Examinez la réputation et le comportement si la technique est correcte : votre IP figure-t-elle sur une liste de blocage ? Envoyez-vous des newsletters à des personnes qui les ont demandées ? En tant que gros expéditeur, vous pouvez surveiller la situation via Google Postmaster Tools et Microsoft SNDS.

En pratique : à quoi cela ressemble-t-il dans un panneau d'administration

Sur le site de WebOké se trouve l'E-mailcheck gratuite (www.weboke.fr/emailcheck) : vous indiquez un domaine et obtenez un score avec le MX, le SPF, le DMARC et la vérification des listes de blocage du premier serveur de messagerie, accompagné de conseils. Dans Mon WebOké, la fonction Bilan de santé du domaine vérifie la même chose pour vos propres domaines, avec des boutons de réparation. Ce ne sont là que deux outils parmi beaucoup d'autres ; internet.nl et MXToolbox effectuent des vérifications comparables, et chaque prestataire a sa propre version. Utilisez-en plusieurs en parallèle : aucun outil ne voit tout.

Résumé

• Remis signifie seulement que le serveur destinataire a accepté l'e-mail ; que celui-ci arrive dans la boîte de réception est décidé par le destinataire.
• Les destinataires évaluent selon quatre niveaux : la technique, l'authentification, la réputation et le contenu/comportement.
• L'authentification (SPF, DKIM, DMARC) est entièrement sous votre contrôle et constitue une exigence stricte chez les grands destinataires.
• Les plaintes des destinataires pèsent plus lourd que des mots isolés dans votre texte.
• Lisez l'en-tête Authentication-Results d'un e-mail de test pour voir où cela coince.

Quiz

Exercice

Exercice Z4.1 : Faire passer votre domaine par le contrôle e-mail. Indiquez votre propre domaine (ou, si vous n'en avez pas, internet.nl). Le programme vérifie le MX, le SPF, les sélecteurs DKIM qu'il parvient à trouver, le DMARC et la vérification des listes de blocage du premier serveur de messagerie. Indiquez ensuite vous-même : quelle terminaison SPF possède le domaine, quelle politique DMARC, et si le premier serveur de messagerie figure sur une liste de blocage. Le programme compare vos réponses au résultat réel. Expliquez en une phrase lequel des quatre niveaux votre domaine a le plus intérêt à améliorer.

Pour aller plus loin

Les étapes décrites dans ces articles s'appliquent aux panneaux de WebOké ; chez d'autres prestataires, la démarche est comparable.

• Guide WebOké 7.4: Mail qui n'arrive pas : vérifier vous-même
• Mon e-mail n'arrive pas ou atterrit dans les spams : comment le vérifier
• Guide DirectAdmin 9.4: Mes e-mails arrivent dans les spams du destinataire
• Guide WebOké 5.17: Santé du domaine et de l'e-mail : vérifier et corriger
• E-mailcheck : https://www.weboke.lu/verification-e-mail
• Google, Email sender guidelines : https://support.google.com/a/answer/81126