MARKETING · DIGITAL · ENTREPRISE
Cybersécurité

Délivrabilité email : diagnostiquer SPF, DKIM, DMARC et la réputation d’envoi

Un email peut quitter votre plateforme sans atteindre la boîte principale de son destinataire. Le statut « envoyé » décrit une étape technique, pas une lecture. Entre les deux interviennent le serveur destinataire,…

Spécialiste vérifiant une station de travail dédiée à la messagerie professionnelle.

Un email peut quitter votre plateforme sans atteindre la boîte principale de son destinataire. Le statut « envoyé » décrit une étape technique, pas une lecture. Entre les deux interviennent le serveur destinataire, l’authentification, les filtres, les préférences de l’utilisateur et la réputation de l’expéditeur.

La délivrabilité email consiste à comprendre cette chaîne et à limiter les causes évitables d’échec. Elle ne se répare pas uniquement avec un objet plus séduisant. Une campagne pertinente, adressée à une base mal entretenue depuis un domaine mal configuré, reste exposée aux rejets et aux classements indésirables.

Commencez par les preuves. Pas par un changement d’outil.

Ce que signifie réellement chaque statut

La première distinction oppose la remise technique et le placement. Un message accepté par le serveur destinataire peut rejoindre la boîte principale, un onglet secondaire, le dossier indésirable ou une quarantaine administrée. Les outils d’envoi ne disposent pas tous d’une visibilité sur ces destinations.

Un rejet permanent indique qu’une nouvelle tentative identique a peu de chances d’aboutir : adresse inexistante, domaine invalide ou politique de refus, selon le code et le message reçus. Un rejet temporaire peut correspondre à une limitation, un problème de disponibilité ou une autre condition transitoire. Le libellé commercial « soft bounce » ne dispense pas de lire la réponse SMTP.

Conservez la date, le domaine destinataire, le code, le texte d’erreur et la campagne. Une hausse concentrée sur un fournisseur ne se traite pas comme une augmentation homogène des adresses inexistantes. La première invite à examiner réputation et règles du fournisseur ; la seconde suggère un problème de collecte ou d’hygiène de base.

Les ouvertures sont un indicateur fragile. Des mécanismes de protection de la vie privée et des chargements automatiques d’images peuvent modifier leur mesure. Les clics peuvent aussi provenir d’analyses de sécurité. Une baisse d’ouverture ne suffit donc pas à diagnostiquer un blocage, et un taux élevé ne garantit pas l’intérêt humain.

Pour suivre les résultats commerciaux, reliez les messages à des actions mieux qualifiées. Le dossier sur la newsletter B2B et ses résultats permet de distinguer l’activité technique de l’utilité éditoriale.

SPF, DKIM et DMARC ne font pas le même travail

SPF publie dans le DNS une politique indiquant quels systèmes peuvent émettre pour un domaine utilisé dans l’enveloppe technique du message. DKIM ajoute une signature qui permet de vérifier certains éléments signés et l’identité du domaine signataire. DMARC utilise ces mécanismes avec une exigence d’alignement par rapport au domaine visible dans le champ From.

Cette présentation est volontairement fonctionnelle. Elle évite une erreur fréquente : conclure qu’un email est correctement authentifié parce que trois enregistrements existent dans une console DNS. Ce qui compte est le résultat observé sur le message réellement reçu, avec les domaines effectivement employés par chaque service d’envoi.

Contrôle Question opérationnelle Erreur fréquente
SPF Le système émetteur est-il autorisé pour le domaine concerné ? Oublier un service qui envoie pour l’entreprise
DKIM La signature passe-t-elle et quel domaine la signe ? Utiliser uniquement un domaine générique du prestataire
DMARC Une authentification valide est-elle alignée avec le From ? Confondre réussite SPF et réussite DMARC
Réputation Les destinataires souhaitent-ils ces messages ? Croire que l’authentification suffit

Un message peut réussir SPF sans satisfaire DMARC si le domaine authentifié ne correspond pas suffisamment au domaine visible. Il peut aussi réussir DMARC grâce à une signature DKIM alignée alors qu’une autre vérification pose problème. Les résultats d’authentification du message doivent être lus ensemble.

N’appliquez pas une politique de rejet à l’aveugle. Inventoriez d’abord les émetteurs légitimes, observez les rapports et corrigez les écarts. Un durcissement mal préparé peut bloquer des factures ou des notifications réellement attendues.

Faire l’inventaire des émetteurs oubliés

La plateforme de newsletter n’est souvent qu’un expéditeur parmi d’autres. Ajoutez le CRM, le site marchand, l’outil de support, le formulaire du site, la facturation, les invitations événementielles et les prestataires qui envoient au nom de l’organisation. Pour chaque système, documentez le propriétaire, le domaine From, le domaine de retour, le signataire DKIM et l’usage.

Séparez les flux selon leur fonction lorsque cela facilite leur administration. Une notification de commande et une campagne de prospection ne partagent pas les mêmes attentes. Cette séparation ne constitue toutefois pas un moyen de contourner une réputation dégradée. Créer de nouveaux domaines pour poursuivre une pratique indésirable déplace le problème.

Inspectez des messages réels issus de chaque parcours. Les environnements de test peuvent utiliser d’autres domaines que la production. Un sous-traitant peut également avoir changé sa configuration sans que l’équipe marketing ait modifié son interface.

L’inventaire doit inclure les services arrêtés. Un accès oublié ou une ancienne autorisation peut maintenir un risque d’usurpation. La suppression doit être coordonnée avec le propriétaire métier : un service apparemment inactif peut encore émettre des messages saisonniers ou des documents contractuels.

Le livrable utile n’est pas une capture de DNS. C’est une carte des usages et une liste de responsables capables d’expliquer ce qui part, pour qui et pourquoi.

Examiner un message sans se perdre dans les en-têtes

Envoyez un message représentatif vers une boîte de contrôle puis affichez son original ou ses en-têtes complets. Relevez le From, les résultats d’authentification, le domaine DKIM, les informations de transport et les en-têtes de désinscription. Comparez avec le paramétrage annoncé dans votre plateforme.

Une boîte de contrôle ne représente pas tous les destinataires. Elle sert à vérifier un mécanisme, pas à calculer un taux universel de placement. Les tests sur quelques adresses personnelles ne permettent pas de conclure à la réputation d’un domaine sur l’ensemble des fournisseurs.

Si un échec apparaît, remontez la chaîne sans multiplier les modifications simultanées. Un mauvais sélecteur DKIM, un domaine de retour non configuré et une erreur dans le From sont des causes différentes. Changez une configuration identifiée, attendez sa propagation effective et vérifiez un nouveau message.

Évitez de recopier un exemple DNS trouvé dans un guide sans l’adapter à vos expéditeurs. Deux enregistrements SPF séparés pour le même domaine peuvent notamment créer une configuration invalide. Faites valider les changements par la personne qui administre réellement le DNS et conservez l’ancienne configuration pour comprendre les écarts.

Une intervention réussie laisse une preuve avant/après et un propriétaire. Elle ne se résume pas à un voyant vert dans une plateforme.

Les exigences Gmail et leur portée

La documentation officielle Gmail distingue les règles applicables à tous les expéditeurs et celles des expéditeurs en volume vers les comptes Gmail personnels. Elle demande notamment des mécanismes d’authentification, un transport approprié et une maîtrise des plaintes. Pour les expéditeurs concernés par les règles renforcées, SPF, DKIM, DMARC et la désinscription en un clic des messages marketing font partie des points à contrôler.

Ces exigences ne constituent pas une garantie de placement. Elles ne remplacent pas non plus les règles des autres fournisseurs ni les obligations relatives à la prospection. Le périmètre doit être vérifié sur la documentation à jour avant une campagne importante.

La désinscription en un clic ne désigne pas seulement un lien dans le corps du message. Elle implique aussi des en-têtes et un traitement technique adapté. Vérifiez donc ce que la plateforme émet réellement et ce qui se passe après l’action du destinataire.

Une adresse désinscrite doit être exclue des prochains envois concernés, y compris si elle revient dans un import ultérieur. Le maintien d’une liste de suppression est un mécanisme opérationnel essentiel. Supprimer toute trace de l’opposition puis réimporter la même personne peut recréer le problème.

Le niveau d’exigence doit être lu comme un plancher. L’objectif demeure d’envoyer des messages attendus, correctement identifiés et faciles à arrêter.

Réputation : ce que le marketing doit corriger

Une base ancienne, achetée, collectée sans contexte ou alimentée par un formulaire attaqué peut détériorer les résultats même lorsque l’authentification est correcte. Analysez l’origine des adresses, leur ancienneté et la promesse formulée lors de leur collecte.

Une personne inscrite à une alerte technique n’a pas nécessairement demandé une newsletter commerciale quotidienne. La cohérence entre promesse, fréquence et contenu influence la réaction des destinataires. Une segmentation pertinente commence donc par le droit et l’attente, pas par le potentiel de vente supposé.

Traitez les adresses invalides, les plaintes et les oppositions comme des signaux d’arrêt. Ne cherchez pas à récupérer artificiellement une adresse qui ne souhaite plus recevoir de messages. Pour les contacts inactifs, examinez l’historique et les règles applicables avant toute campagne de réactivation.

Dans un exemple fictif, une entreprise importe 12 000 contacts depuis plusieurs fichiers. Une campagne produit 600 rejets, dont 450 proviennent d’un fichier événementiel ancien. Le taux global de rejet atteint 5 %, mais la priorité n’est pas de changer l’objet : il faut suspendre cette source, comprendre sa collecte et contrôler les autres fichiers. Les nombres illustrent un diagnostic, ils ne définissent pas une tolérance acceptable.

Évitez les pics brusques qui dépassent votre fonctionnement habituel sans surveillance. Préparez les campagnes importantes avec le prestataire d’envoi, les équipes techniques et les responsables de la base. Une montée en charge doit rester justifiée par une audience légitime, pas par le souhait de forcer une délivrance.

Un protocole d’incident en quatre temps

D’abord, caractérisez le problème. Quels domaines sont touchés ? Depuis quand ? Quels flux ? Quels codes ? Comparez avec la période précédant l’incident et les modifications récentes. Une dégradation observée après une migration n’est pas automatiquement causée par celle-ci, mais elle mérite une vérification ciblée.

Ensuite, réduisez l’exposition. Suspendez le segment manifestement problématique ou le flux défaillant plutôt que de continuer à envoyer pour « voir si cela passe ». Préservez les journaux et les messages témoins. L’objectif est d’éviter d’aggraver la réputation tout en maintenant les communications indispensables quand elles fonctionnent correctement.

Puis, corrigez la cause documentée : authentification, domaine, collecte, fréquence, contenu trompeur ou traitement des oppositions. Si vous devez ouvrir une demande au support, transmettez les éléments techniques utiles et expurgez les données personnelles non nécessaires.

Enfin, reprenez de manière contrôlée. Définissez les indicateurs de surveillance et la condition d’arrêt. Comparez des flux comparables.

Un retour temporaire à la normale sur une petite partie de la base n’établit pas que tous les problèmes sont résolus.

Le compte rendu doit indiquer la cause confirmée, les hypothèses non résolues et les mesures préventives. « Changement de plateforme » n’est pas une analyse de cause.

Organiser une surveillance qui ne dépend pas d’une seule personne

Désignez un responsable métier et un responsable technique. Le premier contrôle l’audience, le message et la pression commerciale. Le second suit les domaines, l’authentification et les incidents. Les deux doivent pouvoir joindre le prestataire d’envoi.

Conservez un registre des modifications DNS et des nouveaux services. Avant d’autoriser un outil à envoyer, demandez comment il authentifie le domaine, gère les oppositions et expose les erreurs. Le choix d’un CRM doit intégrer ces dépendances quand le logiciel émet des campagnes ou des séquences.

Prévoyez un contrôle après toute migration, changement de domaine ou ajout de sous-traitant. Vérifiez aussi les formulaires d’inscription : validation des adresses, protection contre les inscriptions abusives et conservation du contexte de collecte. Une chaîne d’envoi robuste peut être fragilisée par une entrée mal protégée.

La bonne question de pilotage n’est pas « combien de messages avons-nous envoyés ? ». C’est « avons-nous remis les communications attendues, à la bonne audience, avec des mécanismes compréhensibles et vérifiables ? ». Cette question oblige à travailler à la fois la technique et la qualité de la relation.

Le suivi gagne à distinguer les flux transactionnels et les campagnes éditoriales dans les tableaux de bord. Une panne qui retarde les confirmations de commande exige une intervention différente d’une newsletter peu cliquée. Prévoyez des alertes sur les écarts techniques majeurs, mais évitez les seuils copiés sans contexte. Le volume habituel et la criticité du message déterminent le niveau de surveillance pertinent.

Une revue mensuelle peut réunir trois éléments : les incidents observés, les nouvelles sources de contacts et les modifications prévues. Cette réunion reste courte si chaque incident possède déjà un dossier. Elle sert surtout à empêcher qu’un nouveau formulaire, un prestataire ou une acquisition de fichier soit découvert après la dégradation des résultats.

Enfin, séparez clairement correction technique et autorisation d’envoi. Réussir SPF, DKIM et DMARC ne donne pas le droit de solliciter n’importe quelle adresse. La conformité de la prospection doit être examinée avec les personnes compétentes, selon le contexte de collecte, les destinataires et la nature des messages. Une base techniquement propre peut rester inappropriée pour la campagne envisagée.

Avant une campagne sensible, faites enfin vérifier les coordonnées de réponse et la lisibilité de l’expéditeur. Un message parfaitement authentifié peut rester suspect si son nom change brutalement, si le domaine ne correspond pas à l’organisation ou si les réponses arrivent dans une boîte abandonnée. La confiance du destinataire se construit aussi par cette continuité visible.

Pour prolonger la réflexion

Cybersécurité

Partager votre point de vue

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *