E-mail · 12 min de lecture

Vos e-mails finissent en spam ? Corriger les enregistrements SPF, DKIM et DMARC

Même avec une adresse professionnelle sur votre propre domaine, si le serveur du destinataire ne lui fait pas confiance, le message reste dans le dossier spam. Cette confiance repose sur trois enregistrements DNS.

En bref

• Un enregistrement SPF est un enregistrement TXT qui liste les serveurs autorisés à envoyer des e-mails au nom de votre domaine ; un domaine ne peut avoir qu'un seul enregistrement SPF.
• DKIM ajoute une signature chiffrée à chaque e-mail envoyé ; le destinataire la vérifie avec la clé publique dans le DNS de votre domaine et sait que le message n'a pas été modifié en route.
• Un enregistrement DMARC indique quoi faire des e-mails qui échouent à SPF et DKIM ou qui ne correspondent pas à l'adresse de l'expéditeur ; p=none surveille seulement, p=quarantine envoie en spam, p=reject refuse.
• Gmail exige les trois, SPF, DKIM et DMARC, des expéditeurs qui envoient plus de 5 000 e-mails par jour ; les plus petits expéditeurs ont besoin d'au moins SPF ou DKIM.
• Dans le panneau de votre entreprise Heyşirket, l'écran de configuration e-mail vérifie ces enregistrements un par un ; si le domaine est sur l'infrastructure de Heyşirket, il ajoute lui-même les enregistrements manquants et démarre DMARC en p=none s'il n'y en a pas.

Vous avez envoyé le devis et le client dit « rien n'est arrivé ». Les notifications de votre formulaire de contact arrivent dans votre propre dossier spam. La cause de ces deux problèmes vient en général non pas du contenu, mais des réglages DNS de votre domaine. La plupart de ceux qui cherchent e-mails qui vont en spam ont un enregistrement SPF, DKIM ou DMARC manquant ou incorrect.

Dans cet article, nous expliquons ce que font les trois enregistrements, comment les lire et quelles sont les erreurs les plus courantes. Nous avons vu comment créer une adresse e-mail professionnelle depuis zéro dans comment configurer une adresse e-mail professionnelle ; ici, le sujet est de faire parvenir les e-mails depuis une adresse existante.

Partie 1 · Cause Pourquoi les e-mails finissent-ils en spam ?

Le serveur de messagerie du destinataire pose la même question à chaque message entrant : cet e-mail vient-il vraiment du titulaire de l'adresse de l'expéditeur ? Un message sans authentification ne peut pas être distingué d'un faux. C'est pourquoi les grands fournisseurs d'e-mail mettent en spam les messages non vérifiables, ou ne les acceptent pas du tout.

D'autres éléments entrent aussi en jeu : un domaine neuf, l'envoi de nombreux e-mails en peu de temps, le taux de plaintes, les liens raccourcis et les pièces jointes suspectes. Mais si les enregistrements DNS manquent, corriger le reste ne suffit pas. C'est le premier endroit où regarder.

Partie 2 · SPF Qu'est-ce qu'un enregistrement SPF et comment le lire ?

SPF (Sender Policy Framework) est un enregistrement TXT qui liste les serveurs autorisés à envoyer des e-mails au nom de votre domaine. Le serveur destinataire vérifie si le serveur qui livre le message figure sur cette liste.

v=spf1 include:_spf.example-provider.com ~all

• v=spf1 : indique qu'il s'agit d'un enregistrement SPF. Chaque enregistrement SPF commence par lui.
• include : inclut la liste de serveurs autorisés d'un autre service, par exemple celle de votre fournisseur d'e-mail.
• ~all : marque comme « suspects » les e-mails venant de tout serveur absent de la liste. -all signifie refuser sans appel ; n'utilisez pas cette option tant que vous n'êtes pas sûr de toutes vos sources d'envoi.

Partie 3 · DKIM Qu'est-ce que DKIM et à quoi sert-il ?

DKIM (DomainKeys Identified Mail) ajoute une signature chiffrée à chaque e-mail envoyé. Le serveur d'envoi signe le message avec une clé privée. Le destinataire vérifie la signature avec la clé publique dans le DNS de votre domaine.

Un enregistrement DKIM se trouve dans votre domaine sous un nom du type selector._domainkey. Le sélecteur est un court nom donné par le fournisseur, pour que différents services puissent avoir des clés DKIM séparées sur le même domaine. Contrairement à SPF, la signature reste intacte même si l'e-mail est transféré par un autre serveur.

Partie 4 · DMARC Qu'est-ce que DMARC, et quelle politique choisir au départ ?

DMARC combine les résultats de SPF et DKIM avec l'adresse de l'expéditeur, et indique quoi faire des e-mails qui échouent. Il se trouve dans votre domaine sous forme d'enregistrement TXT nommé _dmarc.

v=DMARC1; p=none;

L'idée clé de DMARC est l'alignement. Réussir ne suffit pas : le domaine qui a réussi doit appartenir au même domaine organisationnel que l'adresse figurant dans la ligne From de l'e-mail. Par exemple, un e-mail envoyé depuis quotes@yoursite.com doit être signé pour yoursite.com ou l'un de ses sous-domaines.

Si vous ajoutez rua=mailto:... à l'enregistrement, les grands fournisseurs vous envoient des rapports globaux indiquant qui envoie des e-mails au nom de votre domaine. Les consulter pendant quelques semaines avant de durcir la politique aide à repérer une source d'envoi oubliée, comme un service de facturation ou de newsletter.

Partie 5 · Règles Que demandent Gmail et les grands fournisseurs ?

Google publie des règles écrites pour quiconque envoie des e-mails vers des adresses Gmail. Tout le monde doit avoir au moins SPF ou DKIM. Les expéditeurs qui envoient plus de 5 000 e-mails par jour doivent avoir les trois, SPF, DKIM et DMARC, un alignement avec l'adresse From, une désinscription en un clic et un faible taux de plaintes pour spam.

Une petite entreprise atteint rarement 5 000 e-mails par jour. Mais configurer les trois enregistrements ensemble améliore votre taux de livraison et rend plus difficile l'envoi de faux e-mails au nom de votre domaine. Une fausse facture ou un e-mail de changement d'IBAN envoyé à vos clients coûte bien plus cher que le dossier spam.

Partie 6 · Vérifications Comment vérifier les enregistrements SPF, DKIM et DMARC ?

Une vérification en cinq minutes

1. Envoyez-vous un e-mail test

   Envoyez un e-mail depuis votre adresse professionnelle vers une adresse Gmail. Ouvrez-le dans Gmail et choisissez « Afficher l'original » dans le menu ; les lignes SPF, DKIM et DMARC doivent indiquer PASS.

2. Comptez vos enregistrements SPF

   Dans le panneau DNS de votre domaine, regardez combien d'enregistrements commencent par « v=spf1 ». S'il y en a plus d'un, fusionnez-les.

3. Vérifiez le nom de l'enregistrement DKIM

   Le nom de l'enregistrement doit correspondre au sélecteur donné par le fournisseur. Si le domaine a été ajouté deux fois (par ex. selector._domainkey.yoursite.com.yoursite.com), corrigez-le.

4. Vérifiez qu'un enregistrement DMARC existe

   Il doit y avoir un enregistrement TXT nommé _dmarc et commençant par « v=DMARC1 ». Sinon, commencez par p=none.

5. Attendez la propagation

   Les modifications DNS se propagent en général en quelques minutes à quelques heures. Si vous ne voyez pas de résultat tout de suite, attendez et réessayez plutôt que de supprimer puis de rajouter l'enregistrement.

Partie 7 · Heyşirket Comment ces enregistrements sont-ils configurés dans le panneau de votre entreprise Heyşirket ?

Chez Heyşirket, une boîte mail sur votre propre domaine est incluse même dans le forfait Starter gratuit. L'écran de configuration, dans la section E-mail de votre panneau d'entreprise, se déroule en trois étapes : méthode, enregistrements et prêt. À l'étape de la méthode, vous voyez ces options selon votre domaine : Configuration automatique si votre domaine est sur l'infrastructure de Heyşirket, sinon Redirigez vos e-mails vers nous ; dans les deux cas, Garder mon e-mail actuel.

Si votre domaine dispose déjà d'un service e-mail qui fonctionne, l'écran le signale et conseille de configurer sans y toucher. Aucun enregistrement DNS n'est supprimé et votre enregistrement MX en service n'est pas modifié.

Chaque ligne affiche un statut en direct : vérifié, visible dans le DNS et en cours de vérification par le fournisseur, enregistrement ajouté et en propagation, ou enregistrement à ajouter dans votre panneau DNS. Si votre domaine est sur l'infrastructure de Heyşirket, le panneau ajoute lui-même les enregistrements manquants. Sinon, l'écran liste les enregistrements à ajouter avec leurs noms et leurs valeurs, et revérifie automatiquement ; si vous ne voulez pas attendre, il y a un bouton Vérifier maintenant.

Si vous n'avez pas d'enregistrement DMARC, le panneau en crée un avec v=DMARC1; p=none;, qui ne bloque rien et se contente de surveiller. Il ne touche pas à un enregistrement DMARC existant. Un détail important aussi : les enregistrements d'envoi placés sur un sous-domaine. Si vous utilisez un autre service e-mail sur votre domaine, vous ne tomberez pas dans le piège de créer deux enregistrements SPF séparés pour deux services.

Si vous n'avez pas encore relié votre domaine au panneau de votre entreprise, suivez d'abord relier votre propre nom de domaine ; un résumé se trouve sur la page relier un nom de domaine. Les limites de boîtes et d'adresses par forfait sont sur la page e-mail professionnel. Si vous bloquez côté DNS, un guide pas à pas est disponible dans le panneau : Aide › Dépannage du nom de domaine.

Vérifiez vos enregistrements e-mail Ouvrez l'écran de configuration pour voir le statut de SPF, DKIM et DMARC ligne par ligne, et complétez les enregistrements manquants. Ouvrir la configuration e-mail

Auteur : équipe éditoriale Heyşirket