Emails qui arrivent en spam malgré SPF, DKIM et DMARC configurés : les vraies causes et les solutions
SPF, DKIM et DMARC verts dans tous les outils de test, et pourtant les emails continuent d'atterrir dans les spams des destinataires. Voici ce que ces trois protocoles ne couvrent pas, et ce qui fait réellement basculer la délivrabilité.
Écran d'ordinateur affichant une boîte de réception avec un dossier spam ouvert, ambiance bureau lumineuse
L'essentiel
- SPF, DKIM et DMARC prouvent seulement que l'expéditeur est légitime et que le message n'a pas été altéré : ils ne garantissent aucune place en boîte de réception.
- L'alignement DMARC (le domaine visible de l'expéditeur doit correspondre au domaine authentifié par SPF ou DKIM) est le piège le plus fréquent, même quand chaque protocole passe individuellement.
- La réputation de l'adresse IP et du domaine d'envoi, bâtie sur l'historique des envois, pèse souvent plus lourd que l'authentification technique dans la décision des filtres antispam.
- Le taux d'engagement des destinataires (ouvertures, clics, suppressions sans ouverture, signalements spam) influence directement le placement des messages suivants.
- Un diagnostic structuré, authentification, alignement, réputation, contenu et comportement d'envoi, permet de localiser la cause réelle au lieu de reconfigurer des enregistrements DNS déjà corrects.
Le scénario est frustrant : les enregistrements SPF, DKIM et DMARC sont en place, les outils de vérification affichent tous des coches vertes, et pourtant une part croissante des emails, newsletters, notifications transactionnelles, relances commerciales, finit dans le dossier spam des destinataires. La confusion vient d'une idée reçue : ces trois protocoles authentifient l'expéditeur, ils ne garantissent en rien la délivrabilité. Comprendre cette distinction est la première étape pour corriger le problème à la bonne source.
SPF, DKIM, DMARC : ce qu'ils prouvent vraiment
Ces trois enregistrements DNS répondent chacun à une question précise, et à une seule.
- SPF (Sender Policy Framework) liste les serveurs autorisés à envoyer des emails pour un domaine donné. Il répond à la question : « ce serveur a-t-il le droit d'envoyer au nom de ce domaine ? »
- DKIM (DomainKeys Identified Mail) appose une signature cryptographique au message, vérifiable par le serveur destinataire. Il répond à : « ce message a-t-il bien été envoyé par le domaine annoncé, sans être altéré en chemin ? »
- DMARC (Domain-based Message Authentication, Reporting and Conformance) indique aux serveurs receveurs quoi faire si SPF ou DKIM échouent, et exige en plus que l'un des deux soit aligné avec le domaine visible dans l'en-tête « From ».
Pourquoi les emails partent en spam malgré une authentification correcte
Les fournisseurs de messagerie (Gmail, Outlook, Yahoo, et les solutions professionnelles) combinent l'authentification avec des dizaines d'autres signaux pour décider du placement d'un message : boîte de réception, onglet promotions, ou spam. L'authentification est une condition nécessaire depuis les nouvelles exigences imposées par Google et Yahoo en 2024, mais elle n'est en rien suffisante.
3 grandes familles de causes distinctes de l'authentification technique : l'alignement DMARC, la réputation d'envoi, et le comportement des destinataires, chacune peut, à elle seule, faire basculer un message en spam
Concrètement, un domaine tout juste créé, une adresse IP d'envoi partagée avec des expéditeurs peu scrupuleux, ou un historique de plaintes même minime suffisent à faire pencher la balance, quels que soient les résultats affichés par un outil de test SPF/DKIM/DMARC.
L'alignement DMARC, le piège le plus fréquent
C'est la cause la plus sous-estimée, précisément parce qu'elle passe inaperçue dans les vérificateurs génériques. DMARC n'exige pas seulement que SPF ou DKIM passent : il exige que le domaine authentifié par l'un des deux corresponde (soit exactement, soit sur le domaine racine selon le mode choisi) au domaine affiché dans l'en-tête « From » que voit le destinataire.
Configuration qui semble correcte
- SPF passe : le serveur d'envoi est bien autorisé
- DKIM passe : la signature est valide
- Les deux protocoles renvoient un résultat « pass » isolé
Ce que DMARC vérifie en plus
- Le domaine du « From » correspond-il au domaine SPF authentifié ?
- Le domaine du « From » correspond-il au domaine signataire DKIM (champ « d= ») ?
- Sans cette correspondance, DMARC échoue même si SPF et DKIM sont individuellement valides
Ce cas de figure est fréquent avec les plateformes d'envoi tierces (outils de newsletter, CRM, solutions transactionnelles) : le serveur technique qui envoie réellement le message appartient au prestataire, tandis que l'en-tête « From » affiche le domaine de l'entreprise. Sans une configuration explicite de délégation (souvent via un sous-domaine dédié à l'envoi et un enregistrement CNAME fourni par le prestataire), l'alignement échoue silencieusement.
Réputation IP et domaine : le facteur invisible qui pèse le plus lourd
Une fois l'authentification et l'alignement vérifiés, le facteur le plus déterminant reste la réputation, construite dans le temps par l'historique d'envoi. Elle se joue à deux niveaux distincts :
- Réputation de l'adresse IP d'envoi : sur une IP mutualisée, la réputation dépend aussi du comportement des autres expéditeurs qui partagent la même infrastructure ; une IP dédiée isole ce risque mais doit être « réchauffée » progressivement (montée en volume graduelle) avant d'envoyer de gros volumes.
- Réputation du domaine d'envoi : un domaine récemment créé, ou un domaine dont l'usage principal change brutalement (par exemple un passage soudain à de gros volumes d'emailing), part avec un capital confiance faible auprès des fournisseurs de messagerie.
- Historique des signalements : un taux de plaintes spam même faible (au-delà de quelques messages pour mille envoyés selon les seuils fixés par les grands fournisseurs) peut suffire à dégrader durablement la réputation d'un domaine ou d'une IP.
Cette dimension explique pourquoi deux entreprises avec une configuration DNS strictement identique peuvent obtenir des résultats de délivrabilité très différents : l'une a un historique d'envoi propre depuis plusieurs mois, l'autre vient de migrer vers un nouveau domaine ou un nouvel outil d'envoi.
Contenu, engagement et comportement d'envoi : ce que les filtres regardent en plus
Au-delà de l'authentification et de la réputation, les filtres antispam modernes s'appuient largement sur l'apprentissage automatique, qui analyse le comportement réel des destinataires vis-à-vis de chaque expéditeur.
- Taux d'ouverture et de clic : un taux d'engagement faible ou en baisse signale aux filtres un contenu jugé peu pertinent par les destinataires eux-mêmes.
- Suppressions sans ouverture : un message supprimé directement, sans être ouvert, envoie un signal négatif plus fort qu'un simple taux d'ouverture bas.
- Signalements « spam » manuels : chaque clic sur « signaler comme spam » pèse fortement, bien plus qu'un simple désabonnement propre via un lien de désinscription.
- Adresses invalides ou pièges à spam : l'envoi vers une base non nettoyée, contenant des adresses obsolètes ou des pièges à spam (spam traps), dégrade rapidement la réputation même avec une authentification irréprochable.
- Contenu du message : un excès de liens raccourcis, de pièces jointes inhabituelles ou de formulations typiques des campagnes commerciales agressives peut déclencher des filtres de contenu, indépendamment de l'authentification.
Ce dernier point rejoint directement la manière dont une base d'emails est construite et entretenue : une liste de diffusion propre, avec des inscriptions volontaires et un nettoyage régulier des adresses inactives, reste l'un des leviers les plus efficaces pour préserver sa délivrabilité, un principe détaillé dans notre guide pour créer une newsletter efficace et engageante.
Une authentification technique parfaite ne rachète jamais un mauvais historique d'engagement : les filtres antispam jugent d'abord sur le comportement réel des destinataires.
Checklist de diagnostic pas à pas
Face à un problème de délivrabilité persistant malgré des enregistrements DNS corrects, mieux vaut suivre un ordre logique plutôt que de tout reconfigurer au hasard.
| Étape | Ce qu'il faut vérifier | Où regarder |
|---|---|---|
| 1. Authentification isolée | SPF, DKIM passent-ils indépendamment ? | En-têtes complets d'un email reçu, outils de test dédiés |
| 2. Alignement DMARC | Le domaine « From » correspond-il au domaine SPF ou DKIM authentifié ? | Rapports agrégés DMARC (balise « rua » de l'enregistrement) |
| 3. Réputation IP | L'IP d'envoi figure-t-elle sur une liste noire ? | Outils de vérification de listes noires (RBL) |
| 4. Réputation domaine | Historique de plaintes, âge du domaine | Outils de réputation domaine des principaux fournisseurs |
| 5. Engagement | Taux d'ouverture, de clic, de suppression, de plainte | Statistiques de la plateforme d'envoi |
| 6. Qualité de la liste | Adresses invalides, inactives, pièges à spam | Nettoyage et validation de la base avant envoi |
