Mes e-mails arrivent en spam : SPF, DKIM et DMARC

Vous envoyez un devis ou une facture et votre client ne le trouve que dans ses courriers indésirables ? Gmail, Outlook et les autres messageries filtrent les e-mails dont elles ne peuvent pas vérifier l'origine. Trois enregistrements DNS servent à prouver que vos messages viennent bien de vous : SPF, DKIM et DMARC. Ce guide explique leur rôle, comment les vérifier sur votre domaine et quelles autres causes peuvent envoyer vos e-mails en spam.

Pourquoi mes e-mails arrivent-ils en spam ?

Les causes les plus fréquentes sont :

• le domaine n'est pas authentifié : SPF, DKIM ou DMARC manquent ou sont mal écrits ;
• le contenu ressemble à du spam : objet en majuscules, beaucoup de liens, une seule grande image, mots comme « gratuit » ou « urgent » ;
• la réputation est faible : domaine récent, envoi soudain d'un grand nombre de messages, ou boîte piratée qui a envoyé du spam ;
• le destinataire ne vous connaît pas : premier échange, ou adresse jamais marquée comme fiable.

L'authentification du domaine est le point de départ : sans elle, les autres efforts ont peu d'effet.

Qu'est-ce que SPF, DKIM et DMARC ?

SPF : qui a le droit d'envoyer ?

Le SPF est un enregistrement TXT placé sur votre domaine, qui commence par v=spf1. Il liste les serveurs autorisés à envoyer des e-mails en votre nom. Quand Gmail reçoit un message de contact@votredomaine.fr, il vérifie que le serveur qui l'a envoyé figure dans cette liste.

DKIM : le message a-t-il été modifié ?

Le DKIM ajoute une signature numérique à chaque e-mail envoyé. La clé qui permet de vérifier cette signature est publiée dans un enregistrement TXT, par exemple default._domainkey.votredomaine.fr. Si la signature est valide, le destinataire sait que le message vient bien de votre domaine et n'a pas été altéré en route.

DMARC : que faire en cas d'échec ?

Le DMARC est un enregistrement TXT nommé _dmarc.votredomaine.fr, qui commence par v=DMARC1. Il indique aux messageries quoi faire d'un message qui échoue aux contrôles SPF et DKIM : rien de particulier (p=none), le mettre en quarantaine (p=quarantine) ou le rejeter (p=reject). Gmail et Yahoo exigent désormais un DMARC pour les expéditeurs qui envoient en volume.

Vérifier vos enregistrements étape par étape

1. Ouvrez la zone DNS de votre domaine : dans Domaines, cliquez sur le domaine puis sur l'onglet DNS s'il est géré chez Upkyo (voir Modifier vos enregistrements DNS), ou dans l'interface de votre registraire s'il est géré ailleurs.
2. Repérez l'enregistrement TXT qui commence par v=spf1 sur le domaine principal. Il ne doit y en avoir qu'un seul.
3. Repérez l'enregistrement TXT DKIM, nommé default._domainkey.
4. Repérez l'enregistrement TXT nommé _dmarc, qui commence par v=DMARC1.
5. S'il en manque un, ajoutez-le avec la valeur exacte fournie par Upkyo, puis attendez la propagation, voir Pourquoi ma modification DNS n'est-elle pas encore visible ?.
6. Envoyez un message de test vers une adresse Gmail et ouvrez l'option Afficher l'original : les lignes SPF, DKIM et DMARC doivent indiquer PASS.

Où trouver les bonnes valeurs chez Upkyo ?

Pour un domaine enregistré ailleurs et connecté dans Domaines externes, la page du domaine affiche les lignes SPF, DKIM et DMARC à copier chez votre registraire, avec leur état d'avancement (voir Utiliser Upkyo Mail avec un domaine acheté ailleurs). La ligne DKIM apparaît dès que votre première adresse e-mail est créée sur ce domaine. La valeur DMARC proposée est v=DMARC1; p=none : une politique d'observation, sans risque de bloquer vos propres e-mails.

Pour un domaine géré chez Upkyo, vérifiez dans l'onglet DNS que ces trois enregistrements sont présents. En cas de doute sur une valeur, ouvrez un ticket : le support vous indique les valeurs exactes pour votre domaine.

Erreurs fréquentes

• Deux enregistrements SPF : c'est une erreur, même si chacun est correct. Fusionnez-les en un seul v=spf1 … ~all qui liste tous vos services d'envoi.
• SPF trop long : au-delà de dix consultations DNS (les mentions include:), le SPF échoue. Retirez les services que vous n'utilisez plus.
• DKIM recopié incomplet : la clé est longue, une partie oubliée suffit à invalider la signature.
• DMARC trop strict trop tôt : passer directement à p=reject peut bloquer des envois légitimes d'un service oublié. Commencez par p=none.
• Nom de domaine doublé : chez certains registraires, saisissez _dmarc et non _dmarc.votredomaine.fr.

Bonnes pratiques pour rester en boîte de réception

• Écrivez des objets clairs, sans majuscules ni points d'exclamation à répétition.
• Équilibrez texte et images, et limitez le nombre de liens.
• Demandez à vos correspondants réguliers d'ajouter votre adresse à leurs contacts.
• Protégez vos boîtes par des mots de passe solides : une boîte piratée qui envoie du spam ruine la réputation du domaine, voir Changer le mot de passe d'une boîte.

Questions fréquentes

Comment éviter que mes e-mails arrivent en spam ?

Authentifiez votre domaine avec SPF, DKIM et DMARC, soignez le contenu de vos messages et évitez les envois massifs depuis une boîte classique. Vérifiez le résultat avec l'option Afficher l'original de Gmail.

Comment savoir si mon SPF et mon DKIM sont bien configurés ?

Envoyez un e-mail vers une adresse Gmail, ouvrez-le puis choisissez Afficher l'original. Gmail indique PASS ou FAIL pour SPF, DKIM et DMARC.

Quelle valeur DMARC choisir pour commencer ?

v=DMARC1; p=none est la valeur recommandée pour démarrer : elle active DMARC sans bloquer aucun message. Vous pourrez la durcir plus tard, une fois sûr que tous vos envois passent les contrôles.

Pourquoi mes e-mails vont-ils en spam chez Gmail mais pas ailleurs ?

Gmail est plus exigeant : il demande SPF ou DKIM pour tous, et DMARC pour les envois en volume. Un enregistrement manquant suffit souvent à expliquer la différence.