SPF, DKIM, DMARC : sortir tes emails de prospection des spams

Si tes emails de prospection finissent en spam, le problème n'est presque jamais ton message. C'est ta configuration technique. SPF, DKIM et DMARC sont les trois réglages qui prouvent à Gmail et Yahoo que c'est bien toi qui envoies, et pas un usurpateur. Sans eux, depuis février 2024, tes emails de prospection sont filtrés avant même d'être lus, quel que soit leur contenu.

Bonne nouvelle : c'est une config à faire une seule fois, en une heure environ, sur le tableau de bord de ton hébergeur de nom de domaine. Tu n'as pas besoin d'être technicien. Dans ce guide, tu vas comprendre à quoi servent SPF, DKIM et DMARC, comment les mettre en place, comment réchauffer une boîte neuve, et comment vérifier que tout est bon avant de lancer ta première campagne.

Ce que Google et Yahoo exigent depuis février 2024

Le 1er février 2024, Gmail et Yahoo ont durci leurs règles pour accepter un email entrant. D'après les directives de Google pour les expéditeurs, les envois massifs, définis comme 5 000 messages ou plus par jour vers des adresses Gmail, doivent obligatoirement remplir plusieurs conditions.

• Authentifier tes emails avec SPF et DKIM, les deux à la fois.
• Publier un enregistrement DMARC sur ton domaine.
• Aligner le domaine affiché dans le champ De avec celui validé par SPF ou DKIM.
• Garder ton taux de plaintes pour spam sous 0,1 %, et ne jamais atteindre 0,3 %.
• Pour les messages marketing, proposer une désinscription en un clic, honorée sous 48 heures.

Tu vas te dire : je n'envoie pas 5 000 emails par jour, ça ne me concerne pas. C'est une erreur. Ces règles ciblent officiellement les gros expéditeurs, mais l'authentification est devenue le premier filtre pour tout le monde. Un email sans SPF ni DKIM valides est traité comme suspect par défaut, même à faible volume. En prospection, où tu écris à des gens qui ne te connaissent pas encore, tu n'as aucune marge : la moindre faiblesse technique t'envoie en spam.

Le taux de plaintes mérite qu'on s'y arrête. D'après Google, l'objectif est de rester sous 0,1 %, et 0,3 % est le seuil au-delà duquel la délivrabilité chute nettement. Concrètement, sur 1 000 emails envoyés, trois personnes qui te signalent comme indésirable suffisent à te faire basculer dans le rouge. Autant dire que tu n'as pas droit à l'erreur sur ton ciblage.

Si tes emails partent déjà en spam malgré un bon message, on décortique toutes les causes possibles dans notre guide sur la délivrabilité des emails de prospection. Ici, on se concentre sur la fondation technique.

SPF : autoriser qui envoie en ton nom

SPF veut dire Sender Policy Framework. En clair, c'est la liste des serveurs autorisés à envoyer des emails en ton nom. Imagine un videur à l'entrée d'une soirée : quand un email arrive en prétendant venir de ta-boite.fr, le serveur de Gmail regarde ta liste SPF et vérifie que l'expéditeur y figure bien. S'il n'y est pas, l'email est considéré comme suspect.

Techniquement, SPF est un enregistrement DNS de type TXT, que tu ajoutes chez ton hébergeur de nom de domaine, là où tu as acheté ton adresse. Tu n'as rien à inventer : ton fournisseur d'emails te donne la valeur exacte à coller. Elle ressemble à v=spf1 include:_spf.tonfournisseur.com ~all.

Une règle à ne pas oublier : tu ne dois avoir qu'un seul enregistrement SPF par domaine. Si tu utilises plusieurs outils qui envoient en ton nom, tu combines leurs autorisations dans la même ligne, tu n'en crées jamais deux séparés. Deux enregistrements SPF, et la vérification échoue pour tout le monde.

DKIM : signer tes emails pour prouver qu'ils sont à toi

DKIM veut dire DomainKeys Identified Mail. C'est une signature invisible ajoutée à chaque email que tu envoies. Pense à un sceau de cire sur une lettre : si quelqu'un ouvre l'enveloppe et modifie le contenu en route, le sceau est brisé, et le destinataire voit tout de suite que la lettre a été trafiquée.

Techniquement, DKIM repose sur deux clés. Une clé privée, gardée par ton fournisseur d'emails, signe chaque message au départ. Une clé publique, que tu publies dans ton DNS, permet à Gmail de vérifier cette signature à l'arrivée. Si les deux correspondent, l'email est authentique et n'a pas été modifié en chemin.

Là encore, ton fournisseur te donne la valeur à coller dans ton DNS, sous un nom qui contient souvent le mot selector ou une référence du style default._domainkey. Tu copies, tu colles, c'est fait.

Pourquoi les deux, SPF et DKIM ? Parce que Google exige les deux. L'un dit qui a le droit d'envoyer, l'autre prouve que le message n'a pas été altéré. Ensemble, ils forment ton identité vérifiée aux yeux des messageries. L'un sans l'autre ne suffit pas.

DMARC : dire quoi faire des emails suspects

DMARC veut dire Domain-based Message Authentication, Reporting and Conformance. C'est la règle du jeu que tu poses par-dessus SPF et DKIM. Elle indique à Gmail et Yahoo quoi faire quand un email prétend venir de ton domaine mais échoue aux vérifications.

DMARC se règle avec un niveau de sévérité, et il y en a trois.

• p=none observe sans rien bloquer. Utile au démarrage, pour recevoir des rapports et voir ce qui passe.
• p=quarantine envoie les emails douteux directement en spam.
• p=reject les refuse purement et simplement, ils n'arrivent jamais.

Google demande au minimum un enregistrement DMARC publié, même en p=none pour commencer. DMARC vérifie aussi ce qu'on appelle l'alignement : le domaine affiché dans le champ De doit correspondre au domaine validé par SPF ou DKIM. Autrement dit, tu ne peux pas afficher ta-boite.fr et envoyer techniquement depuis un autre domaine sans l'avoir déclaré.

Le bon réflexe pour une PME : publier un DMARC en p=none, laisser passer une à deux semaines pour lire les rapports, puis passer en quarantine une fois sûr que tes envois légitimes sont bien authentifiés. L'enregistrement ressemble à v=DMARC1; p=none; rua=mailto:tonadresse@ta-boite.fr, où rua est l'adresse qui reçoit les rapports.

Réchauffer une boîte mail neuve avant de prospecter

Même avec SPF, DKIM et DMARC parfaits, une boîte mail toute neuve n'a aucune réputation. Pour Gmail, une adresse créée hier qui envoie soudain cinquante emails à des inconnus, c'est le comportement typique d'un spammeur. La solution s'appelle le réchauffement, ou warm-up.

Réchauffer une boîte, c'est monter le volume progressivement pendant deux à trois semaines. Tu commences par quelques emails par jour, tu augmentes petit à petit. Idéalement, tu échanges d'abord avec des contacts qui te répondent et t'ajoutent à leurs contacts, car chaque réponse et chaque email lu envoie un signal positif à la messagerie.

Deux réflexes protègent ta réputation en prospection. D'abord, n'utilise pas ta boîte principale, celle avec laquelle tu gères tes clients et ta facturation, pour envoyer du cold email en masse. Prends un domaine secondaire dédié, proche du tien, pour ne rien risquer sur ton domaine principal. Ensuite, garde des volumes raisonnables et personnalise tes messages : un email qui déclenche des réponses vaut mille emails ignorés.

Un bon outil de prospection gère ce réchauffement et la montée en volume à ta place, sans que tu aies à y penser. C'est l'une des mécaniques qu'on détaille dans notre article sur l'automatisation de la prospection commerciale, et dans celui qui explique comment fonctionne un SDR IA.

Vérifier ta config et ton taux de plaintes spam

Une fois tout en place, vérifie avant de lancer quoi que ce soit. Le test le plus simple : envoie un email depuis ta boîte de prospection vers une adresse Gmail à toi, ouvre le message, puis affiche l'original du message. Tu dois y lire PASS à côté de SPF, DKIM et DMARC. Si l'un affiche FAIL ou n'apparaît pas, ta config n'est pas bonne, et il faut la corriger avant d'envoyer un seul email à un prospect.

Des outils gratuits comme mail-tester.com te donnent une note sur 10 et pointent précisément ce qui cloche. Google propose aussi Postmaster Tools, un tableau de bord où tu suis la réputation de ton domaine et, surtout, ton taux de plaintes pour spam au fil du temps.

Garde ce taux de plaintes en tête : Google veut que tu restes sous 0,1 %, et considère 0,3 % comme le seuil rouge. Si tu montes, c'est que tu écris aux mauvaises personnes ou trop souvent. Ralentis, resserre ton ciblage, espace tes relances. Un ciblage précis et des messages pertinents font mécaniquement grimper ton taux de réponse et baisser les signalements.

Un fichier propre et bien ciblé fait déjà la moitié du travail de délivrabilité. On explique comment le construire dans notre guide sur le fichier de prospection conforme. Et pour doser tes relances sans agacer, va voir combien de fois relancer un prospect.

Dernier point exigé par Google pour les messages marketing : un lien de désinscription en un clic, que tu dois honorer sous 48 heures. En prospection B2B, offrir une sortie claire n'est pas qu'une contrainte réglementaire, c'est aussi ce qui fait baisser les plaintes, donc protège ta délivrabilité.

Questions fréquentes

SPF, DKIM et DMARC, c'est obligatoire pour une petite PME ?

Officiellement, les règles de février 2024 visent les expéditeurs de plus de 5 000 emails par jour vers Gmail. En pratique, l'authentification est le premier filtre pour tout le monde, et sans elle ta prospection part en spam quel que soit ton volume.

Combien de temps pour tout configurer ?

Environ une heure si tu as accès au tableau de bord de ton hébergeur de nom de domaine. C'est une config à faire une seule fois, elle reste valable ensuite sans que tu aies à y revenir.

Je ne suis pas technicien, je peux le faire seul ?

Oui. Ton fournisseur d'emails te donne les valeurs exactes à copier-coller dans ton DNS. Tu ajoutes trois enregistrements de type TXT, un pour SPF, un pour DKIM, un pour DMARC, et c'est terminé.

Faut-il un domaine séparé pour prospecter ?

C'est fortement recommandé. Un domaine secondaire dédié protège la réputation de ton domaine principal, celui que tu utilises pour tes clients et ta facturation, en cas de faux pas sur une campagne.

C'est quoi le warm-up d'une boîte mail ?

C'est monter le volume d'envoi progressivement sur deux à trois semaines pour bâtir la réputation d'une adresse neuve, au lieu d'envoyer d'un coup et de te faire cataloguer comme spammeur dès le premier jour.

Comment savoir si mes emails passent l'authentification ?

Envoie un test vers une adresse Gmail, affiche l'original du message, et vérifie que SPF, DKIM et DMARC affichent tous PASS. Des outils comme mail-tester.com ou Google Postmaster Tools complètent le diagnostic.

Quel taux de plaintes spam ne pas dépasser ?

Google demande de rester sous 0,1 % et considère 0,3 % comme le seuil critique. Au-delà, ta délivrabilité chute. Sur 1 000 emails, trois signalements suffisent à te mettre dans le rouge.

DMARC en p=none ou p=reject pour commencer ?

Commence en p=none pour observer sans rien bloquer et lire les rapports. Passe en quarantine, puis reject, une fois sûr que tous tes envois légitimes sont bien authentifiés.

SPF, DKIM et DMARC, c'est la fondation. Une fois posée, il reste le vrai travail : trouver les bons prospects, écrire des messages qui donnent envie de répondre, et relancer au bon rythme, sans y passer tes journées. C'est exactement ce qu'EasySales fait pour toi, un commercial digital qui prospecte par email et LinkedIn à ta place, pour te trouver des clients sans embaucher. Regarde la démo et vois ce que ça donnerait sur ton marché.