Mes e-mails arrivent en spam : le diagnostic à faire dans l’ordre
Quand les e-mails d'une entreprise commencent à tomber en indésirables, le premier réflexe est presque toujours d'accuser le contenu : trop d'images, un objet mal choisi, un mot « déclencheur ». On réécrit, on teste, on retire des liens — et rien ne change. C'est frustrant, et c'est logique : dans la grande majorité des cas, le problème n'est pas dans le message mais dans la façon dont il est authentifié.
Un filtre anti-spam se pose trois questions dans cet ordre : ce message vient-il vraiment du domaine qu'il affiche, ce domaine a-t-il une bonne réputation, et enfin son contenu ressemble-t-il à du spam. Si vous échouez à la première question, aucune réécriture d'objet ne vous sauvera. Voici donc le diagnostic dans le bon ordre.
Étape 1 : lire le verdict d’authentification
Ne devinez pas, allez chercher le verdict. Envoyez un message de test vers une adresse Gmail que vous contrôlez, ouvrez-le, puis « Afficher l'original ». La ligne Authentication-Results vous donne le résultat brut des trois contrôles : spf, dkim et dmarc, chacun en pass, fail ou none.
Interprétez ainsi. Trois pass : l'authentification est correcte, le problème est ailleurs — passez à l'étape 3. Un dkim=none signifie que vos messages ne sont pas signés du tout, cas fréquent quand un outil a été ajouté sans configuration DNS. Un spf=fail indique que le serveur qui a envoyé le message ne figure pas dans votre enregistrement SPF. Un dmarc=fail alors que SPF ou DKIM passent révèle un problème d'alignement, détaillé plus bas.
Faites ce test depuis chacune de vos sources d'envoi, pas seulement depuis votre messagerie : c'est souvent un seul outil — la facturation, le formulaire de contact, la newsletter — qui est mal configuré et qui dégrade la réputation de tout le domaine.
Authentication-Results: mx.google.com;
spf=pass (google.com: domain of contact@votre-entreprise.fr
designates 203.0.113.10 as permitted sender)
dkim=pass header.i=@votre-entreprise.fr;
dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=votre-entreprise.frÉtape 2 : les trois pannes d’authentification classiques
Première panne, le SPF saturé. La norme limite à dix le nombre de résolutions DNS nécessaires à l'évaluation d'un enregistrement SPF. Chaque include compte, et les include imbriqués de vos prestataires comptent aussi. Au-delà, l'évaluation renvoie une erreur permanente et votre SPF cesse de fonctionner — silencieusement. Si vous accumulez cinq ou six include, c'est la première chose à vérifier.
Deuxième panne, le SPF trop permissif. Terminer son enregistrement par ?all ou +all revient à annuler la protection, et certains filtres le pénalisent. La bonne terminaison est -all une fois vos sources correctement recensées, ~all pendant la phase de transition.
Troisième panne, et la plus subtile : l'alignement. SPF valide le domaine technique de retour (Return-Path), pas l'adresse affichée. Si vous envoyez depuis une plateforme qui utilise son propre domaine en Return-Path, SPF peut très bien passer alors que DMARC échoue, parce que le domaine validé ne correspond pas à celui du champ « De ». La correction consiste à configurer un domaine d'envoi personnalisé chez ce prestataire — la plupart le proposent — et à activer DKIM sur votre domaine, DKIM s'alignant plus facilement.
Étape 3 : la réputation d’envoi
L'authentification réglée, le second facteur est la réputation, qui se construit dans la durée. Le taux de plainte est le signal le plus lourd : au-delà de 0,3 % de signalements en spam, la délivrabilité de tout votre domaine se dégrade, e-mails transactionnels compris. La cause est presque toujours une liste de contacts trop ancienne ou constituée sans consentement clair.
Vérifiez ensuite trois points côté serveur : l'enregistrement DNS inverse (PTR) de l'adresse IP d'envoi doit être cohérent avec votre domaine, la connexion doit se faire en TLS, et votre IP ou votre domaine ne doivent pas figurer sur une liste noire publique. Ces vérifications relèvent de votre hébergeur ou de votre prestataire d'envoi, mais c'est à vous de les demander.
Cas particulier fréquent : le changement de prestataire ou l'ouverture d'un nouveau domaine. Une adresse IP ou un domaine sans historique n'a pas de réputation — et l'absence de réputation est traitée avec méfiance. Montez en volume progressivement sur plusieurs semaines plutôt que d'envoyer 20 000 messages le premier jour.
Étape 4 : seulement maintenant, le contenu
Une fois l'authentification et la réputation en ordre, les ajustements de contenu produisent enfin un effet mesurable. Les points qui pèsent réellement : un lien de désinscription visible et fonctionnel en un clic sur tout message commercial, un rapport texte/image équilibré (un e-mail composé d'une seule grande image est un signal négatif classique), et l'absence de raccourcisseurs d'URL, massivement utilisés par les campagnes malveillantes.
Soignez aussi la cohérence des domaines : si vos liens pointent vers un domaine sans rapport avec l'expéditeur, le message est traité avec suspicion. Et évitez les pièces jointes non sollicitées, en particulier les formats bureautiques avec macros.
Un dernier réflexe qui n'a rien d'anecdotique : la santé de votre domaine dans son ensemble compte. Un domaine dont le site présente un certificat expiré, du contenu mixte ou des enregistrements DNS incomplets envoie de mauvais signaux. Un audit de surface vous donne cette vue d'ensemble — certificat, en-têtes, SPF, DMARC, MTA-STS, CAA — et vous indique lesquels de ces signaux vous manquent.
[ FAQ // QUESTIONS FRÉQUENTES ]
▸Pourquoi mes e-mails passent-ils chez certains destinataires et pas chez d’autres ?
Chaque fournisseur applique ses propres seuils et pondère différemment authentification, réputation et engagement des destinataires. Gmail est particulièrement sensible à l'alignement DMARC, Microsoft à la réputation de l'adresse IP d'envoi. Un même message peut donc arriver chez l'un et être écarté chez l'autre — ce qui, à l'inverse, est un indice utile pour cibler le diagnostic.
▸Un SPF avec beaucoup de include peut-il poser problème ?
Oui, et c'est une panne fréquente. La norme limite à dix le nombre de résolutions DNS pour évaluer un enregistrement SPF, et les include imbriqués de vos prestataires comptent dans ce total. Dépassement signifie erreur permanente et SPF inopérant, sans aucun message d'alerte. Réduisez le nombre de sources ou passez par un mécanisme d'aplatissement.
▸Faut-il utiliser un domaine séparé pour les campagnes marketing ?
C'est une bonne pratique dès que les volumes marketing sont significatifs : un sous-domaine dédié (par exemple news.votre-entreprise.fr) isole la réputation des campagnes de celle de vos e-mails transactionnels. Une campagne qui génère des plaintes ne pénalise alors pas vos confirmations de commande ni vos réinitialisations de mot de passe.
▸Combien de temps pour retrouver une bonne délivrabilité ?
Les corrections d'authentification prennent effet dès la propagation DNS, soit quelques heures. La réputation, en revanche, se reconstruit sur plusieurs semaines d'envois propres et bien reçus. Comptez deux à six semaines avant un retour à la normale, à condition d'avoir aussi assaini la liste de contacts à l'origine des plaintes.
[ PASSEZ À L’ACTION ]
Votre site est-il concerné ?
Lancez un audit de surface gratuit et obtenez en quelques secondes la liste exacte de vos failles, avec le correctif pour chacune. Anonyme, sans inscription.
▶ Auditer mon site[ À LIRE AUSSI ]
[ CheckCyber // MIS À JOUR LE 2026-07-25 ]