Vérifié sur la documentation officielle le

Mes emails partent en spam alors que SPF, DKIM et DMARC sont bons

L'authentification, c'est ta carte d'identité, pas ton laissez-passer. SPF, DKIM et DMARC prouvent que c'est bien toi qui écris — ils ne disent rien de la question qui décide vraiment du sort de ton email : est-ce que les gens veulent le recevoir ? Ce que regardent Gmail, Outlook et Yahoo ensuite, c'est ton taux de plainte, la qualité de ta liste, la présence d'un désabonnement en un clic, et ta réputation d'expéditeur.

Mais avant d'aller chercher ta réputation, lis la deuxième moitié de cette page : dans un cas sur deux, le « tout est vert » qu'affiche ton outil est faux. Trois pannes classiques donnent un résultat d'apparence parfaite tout en faisant échouer l'authentification chez le destinataire.

Ce qu'on ne fait pas : on ne promet à personne l'arrivée en boîte de réception, et on ne touche jamais à ta zone DNS. On te dit ce que le reste du monde voit, et ce que ça veut dire.

D'abord : es-tu sûr que c'est du spam ?

Deux fausses alertes très fréquentes, autant les éliminer en trente secondes :

  • L'onglet Promotions de Gmail n'est pas le spam. Ton email est arrivé, il est dans la boîte de réception, il est simplement classé. Pour une newsletter commerciale, c'est même l'endroit prévu. Si ton objectif est l'onglet Principal, c'est un sujet de contenu et de relation, pas de configuration DNS.
  • Ton propre test n'est pas représentatif. Tu t'envoies un email à toi-même, il arrive en spam, tu paniques. Un message qu'une adresse s'envoie à elle-même, ou entre deux adresses du même domaine, ne passe pas par les mêmes filtres qu'un vrai envoi. Teste vers des adresses réelles, chez plusieurs fournisseurs.

Les seuils que tout le monde applique depuis 2024

Trois grands fournisseurs, des règles quasi identiques, et des chiffres publics. Si tu envoies 5 000 messages ou plus par jour vers l'un d'eux, ce ne sont plus des conseils, ce sont des conditions d'entrée.

Ce qui est demandé Gmail Yahoo Outlook.com
SPF et DKIM Les deux Les deux Les deux
DMARC publié Oui, p=none suffit Oui, p=none suffit Oui, p=none suffit
Alignement DMARC SPF ou DKIM aligné avec le domaine du champ De: DMARC doit passer Au moins un des deux aligné
Taux de plainte < 0,30 %, viser < 0,10 % < 0,30 % (non chiffré publiquement)
Désabonnement en un clic Obligatoire (marketing et abonnements) Obligatoire (non exigé explicitement)
Connexion chiffrée (TLS) Obligatoire — —
DNS inverse (PTR) valide Obligatoire — —

À lire deux fois : le seuil de plainte de Gmail est de 0,30 %, soit 3 personnes sur 1 000. Google recommande de rester sous 0,10 % et « de ne jamais atteindre 0,30 % ou plus ». Le taux est calculé quotidiennement : une seule campagne mal ciblée peut te faire dépasser le seuil sur la journée, et les effets durent des semaines.

Et le compte se fait par domaine principal, sous-domaines inclus : « les messages envoyés depuis le même domaine principal comptent dans la limite de 5 000 ». Découper tes envois entre mail.tondomaine.fr et news.tondomaine.fr ne te fait pas passer sous le seuil.

Les valeurs à ajouter — deux en-têtes, pas un enregistrement DNS

Le désabonnement en un clic n'est pas dans ton DNS : ce sont deux en-têtes que ton outil d'envoi ajoute à chaque message. Si tu utilises Brevo, Mailjet, Mailchimp, SendGrid ou n'importe quel outil de campagnes sérieux, ils sont normalement déjà là — la question est de vérifier, pas d'écrire du code.

List-Unsubscribe: <https://TON-OUTIL/desabonnement?id=IDENTIFIANT>, <mailto:desabo@TON-DOMAINE.fr>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Ce que tu dois remplacer : l'URL et l'adresse sont générées par ton outil d'envoi, une par destinataire. La seconde ligne, en revanche, est littérale : elle s'écrit exactement comme ça, c'est ce qui distingue le vrai désabonnement en un clic (norme RFC 8058) de l'ancien lien mailto: que Gmail n'affiche plus de la même façon.

Comment vérifier que tu les as : ouvre un de tes emails dans Gmail, menu « ⋮ » → « Afficher l'original », et cherche List-Unsubscribe-Post. S'il n'y est pas, c'est un réglage à activer chez ton outil d'envoi — et c'est probablement ta cause principale.

Deux choses à savoir : l'en-tête ne suffit pas, Google demande aussi « un lien de désabonnement clairement visible dans le corps du message ». Et une fois la demande reçue, tu as 48 heures pour la traiter.

Si tu n'as aucun enregistrement DMARC, ou un DMARC sans adresse de rapport, tu navigues à l'aveugle : tu ne sauras jamais quelle proportion de tes messages échoue ni pourquoi. La valeur minimale utile est v=DMARC1; p=none; rua=mailto:TON-ADRESSE@TON-DOMAINE.fr — remplace l'adresse par une que tu relèves vraiment.

Le chemin : aller voir ce que Gmail pense de toi

Google publie gratuitement ta réputation. C'est la source la plus utile de toute cette page, et presque personne ne l'ouvre.

  1. Va sur Google Postmaster Tools et connecte-toi.
  2. Ajoute ton domaine d'envoi, et prouve que tu le possèdes en publiant l'enregistrement TXT de vérification qu'il te donne dans ta zone DNS.
  3. Attends 24 à 48 h que les données arrivent.

Les tableaux de bord disponibles, dans les termes de Google : Compliance status (respect des exigences), Spam rate, IP Reputation, Domain Reputation, Feedback loop, Authentication (taux de réussite SPF, DKIM et DMARC), Encryption, Delivery errors.

Les deux à ouvrir en premier : Spam rate, à comparer aux seuils du tableau plus haut, et Authentication — si ton taux de réussite DMARC n'est pas proche de 100 %, ton problème n'est pas ta réputation, c'est ta configuration, et tu es sur la mauvaise page (va lire les trois erreurs ci-dessous).

La réputation de domaine est classée en quatre niveaux, définis ainsi par Google : Bad (« historique d'envoi d'un volume élevé de spam de façon régulière »), Low, Medium (« historique d'emails légitimes, mais envoie occasionnellement du spam ») et High (« très faible taux de spam, et respecte les recommandations Gmail »).

Deux limites à connaître avant de t'inquiéter d'un tableau vide. Google ne montre pas les données « les jours où ton volume sortant est faible », pour protéger la vie privée de ses utilisateurs — un petit expéditeur verra donc beaucoup de trous, et c'est normal. Et Google est en train de remplacer l'interface par une nouvelle version (v2), dont les tableaux IP Reputation et Domain Reputation vont disparaître : Google les juge « peu exploitables pour la plupart des expéditeurs ». Un nouveau tableau Compliance les remplace. Si tu ne trouves plus la réputation, ce n'est pas toi.

Les 3 pannes silencieuses qui donnent un faux « tout est bon »

1. Ton SPF dépasse 10 recherches DNS — et il ne fonctionne plus du tout

C'est la panne la plus vicieuse du sujet : ta ligne SPF a l'air parfaite, tous les include: sont légitimes, et pourtant SPF échoue partout.

La norme SPF limite à 10 recherches DNS l'évaluation d'un enregistrement. Chaque include:, a, mx ou redirect en consomme au moins une — et les include: en contiennent souvent d'autres, invisibles pour toi. Au-delà de 10, le résultat n'est pas « partiellement bon » : c'est une erreur permanente (permerror), et tout ton SPF est considéré comme échoué.

Tu y arrives sans t'en rendre compte : ton hébergeur, plus ta suite bureautique, plus ton outil de campagnes, plus ton CRM, plus le prestataire de l'an dernier que tu n'as jamais retiré.

Comment tu le reconnais : dans tes rapports DMARC, SPF ressort en permerror ou en échec alors que la ligne semble correcte. Un outil de vérification t'annonce « trop de recherches DNS ». Symptôme complémentaire : certains destinataires t'acceptent, d'autres non, sans logique apparente.

Le correctif : retire les services que tu n'utilises plus — c'est presque toujours là que se cache le surplus. Ensuite seulement, envisage de faire envoyer certains outils depuis un sous-domaine dédié, qui a son propre SPF et son propre budget de 10 recherches.

2. SPF passe, mais il n'est pas aligné

Ton prestataire t'affiche « SPF : OK » en vert. C'est vrai — et ça ne sert à rien pour DMARC.

DMARC ne demande pas « est-ce que SPF passe ? », mais « est-ce que le domaine qui passe SPF est le même que celui affiché dans le champ De: ». Beaucoup d'outils envoient avec leur propre adresse d'enveloppe, chez eux, avec leur propre SPF valide. SPF passe, brillamment, pour leur domaine. Le tien n'est pas aligné, et DMARC échoue.

Comment tu le reconnais : dans tes rapports, une même ligne affiche spf: pass et dmarc: fail. C'est la signature exacte.

Le correctif : l'alignement se rattrape par DKIM, et c'est presque toujours la bonne réponse — active la signature DKIM à ton domaine chez ce prestataire. C'est d'ailleurs ainsi que fonctionnent Brevo, Mailchimp et SendGrid : ils s'alignent par DKIM, et n'ont pas besoin que ton SPF les mentionne.

3. La configuration automatique de ton hébergeur ne pose pas DMARC

Plusieurs hébergeurs proposent une connexion « automatique » du domaine qui affiche des pastilles vertes rassurantes. Deux cas documentés, et il y en a d'autres : chez Hostinger, la configuration automatique pose les MX, le SPF et le DKIM — mais le DMARC est décrit dans sa propre documentation comme un enregistrement « à configurer manuellement », et rien dans le parcours ne t'y oblige. La configuration automatique IONOS × Microsoft 365 pose la vérification de domaine, les MX et le SPF — ni DKIM ni DMARC.

Résultat : ton domaine s'affiche « connecté », « vérifié », « tout est vert », et tu n'as aucun enregistrement DMARC. Tu es donc hors des exigences de Gmail, Yahoo et Outlook depuis 2024, sans qu'aucun écran ne te l'ait jamais dit.

Comment tu le reconnais : l'écran de ton hébergeur est vert, mais un scan indépendant ne trouve aucun enregistrement _dmarc sur ton domaine.

Le correctif : publie ton DMARC. Le guide de ton hébergeur est en bas de page.

Combien de temps avant que ça s'arrange

C'est la partie qu'on te dit rarement : corriger la technique est rapide, réparer une réputation est lent.

  • Une correction DNS (SPF, DKIM, DMARC) : visible en 5 minutes à 48 h selon ton hébergeur, prise en compte immédiate pour les nouveaux messages.
  • Un en-tête de désabonnement ajouté : effet dès l'envoi suivant.
  • Une réputation dégradée : compte plusieurs semaines d'envois propres. Le taux de plainte se calcule chaque jour, mais les fournisseurs regardent une tendance, pas une journée. Il n'y a pas de bouton de remise à zéro, et personne ne peut te garantir de retour à la normale — la seule méthode qui marche est d'envoyer moins, à des gens qui ont demandé à recevoir, et d'attendre.
  • Un nouveau domaine ou une nouvelle adresse IP : monte en volume progressivement. Google conseille explicitement « d'augmenter les volumes d'envoi graduellement en surveillant les signalements de spam ». Passer de 0 à 10 000 messages en une journée est le meilleur moyen de démarrer avec une mauvaise réputation.

Pour aller plus loin

Vérifie que c'est bon

Entre ton domaine, on regarde ce que le reste du monde voit : SPF, DKIM, DMARC, et ce qui cloche. Gratuit, sans compte, résultat en 20 secondes.