Mail en spam chez vos clients : configurer SPF, DKIM et DMARC dans le bon ordre

Mail en spam : d’où cela peut venir

Quand un client vous dit que votre mail tombe en spam, regardez d’abord l’expéditeur, et seulement ensuite le texte. Un serveur de réception, comme celui de Gmail ou d’Outlook, vérifie si un message vient vraiment du domaine qu’il affiche. S’il n’y parvient pas, c’est lui qui décide : refuser le message, le classer en courrier indésirable ou le distribuer quand même.

Voici les causes que vous pouvez vérifier vous-même :

• Votre domaine ne cite pas tous les expéditeurs. Le courrier ordinaire de votre boîte mail, les factures d’un logiciel comptable, les rapports de votre logiciel de service : tous avec @votreentreprise.be comme expéditeur, alors que votre enregistrement SPF n’en connaît qu’un.
• Il n’y a pas de signature DKIM, ou elle est faite au nom du domaine du service plutôt que du vôtre.
• Il n’y a pas d’enregistrement DMARC. Vous ne recevez alors aucun rapport sur ce qui échoue.
• Il existe deux enregistrements SPF, parce qu’un nouveau logiciel demandait d’« ajouter un enregistrement SPF ».
• Vous envoyez depuis une adresse gratuite. Pour gmail.com ou hotmail.com, vous ne pouvez configurer ni SPF ni DKIM, car ce domaine ne vous appartient pas.
• Des destinataires signalent votre mail comme spam. Chez Gmail, cela compte dans le taux de spam de votre domaine.

Le coût se voit plus tard : une facture que personne n’a lue, un rappel de rendez-vous resté dans les spams, et chaque fois un appel pour tout renvoyer.

SPF, DKIM et DMARC : la définition en mots simples

Ce sont trois enregistrements dans le DNS de votre domaine, la liste que tient votre gestionnaire de domaine. Ils disent au destinataire ce qu’il peut attendre d’un mail qui porte votre domaine comme expéditeur.

DMARC vérifie aussi que le domaine qui réussit SPF ou DKIM est celui de l’adresse d’expéditeur que voit votre client. Si un service de facturation réussit SPF avec son propre domaine, cela ne compte pas pour votre DMARC ; il faut que ce soit votre domaine.

Configurer SPF, DKIM et DMARC : dans quel ordre ?

1. Dressez la liste de tout ce qui envoie avec votre domaine. Votre boîte mail, le logiciel comptable, votre logiciel de service, la newsletter, le formulaire de contact du site. Demandez à chaque service la ligne SPF et la clé DKIM dont il a besoin.
2. Mettez SPF dans un seul enregistrement. Selon Microsoft, un seul enregistrement SPF est autorisé par domaine, et le contrôle échoue s’il demande plus de dix recherches DNS. Pour un service que vous ne gérez pas vous-même, comme une newsletter, Microsoft conseille un sous-domaine, par exemple news.votreentreprise.be.
3. Activez DKIM chez chaque service. Le service crée la clé, vous ajoutez l’enregistrement chez votre gestionnaire de domaine, puis vous activez la signature. Selon Google, la vérification peut mettre jusqu’à 48 heures à fonctionner. Pour Microsoft 365, la marche à suivre figure dans le guide de Microsoft.
4. Publiez ensuite DMARC, sur « none ». Google demande d’activer d’abord SPF et/ou DKIM, d’attendre 48 heures et de commencer par la politique none, par exemple « v=DMARC1; p=none; rua=mailto:[email protected] ». Les rapports arrivent à l’adresse indiquée après rua ; Google conseille une boîte dédiée.
5. Lisez les rapports, puis resserrez. Si une source qui vous appartient échoue, ajoutez-la ou donnez-lui un sous-domaine. Quand vos propres sources réussissent, Google conseille de passer avec le temps à quarantine ou reject.

Ces enregistrements se créent chez votre gestionnaire de domaine, ou vous les faites créer par votre partenaire informatique, avec la liste de l’étape 1.

Comment vérifier SPF, DKIM et DMARC ?

Envoyez un mail de test à une adresse Gmail et à une adresse Outlook.com que vous gérez vous-même, puis affichez l’en-tête complet : dans Gmail avec « Plus » puis « Afficher l’original » (aide de Google), dans Outlook avec les en-têtes de message Internet. Cherchez la ligne Authentication-Results.

Le sens de chaque valeur est détaillé dans l’explication de Microsoft sur les en-têtes.

Ce qu’exigent Gmail et Outlook des expéditeurs

Gmail demande dans ses consignes pour les expéditeurs à tout expéditeur vers des comptes Gmail personnels, entre autres : SPF ou DKIM, des enregistrements DNS valides pour le domaine ou l’adresse IP d’envoi, une connexion TLS et un taux de spam inférieur à 0,3 % dans Postmaster Tools. Qui envoie 5 000 messages ou plus par jour doit avoir SPF et DKIM, un enregistrement DMARC (la politique none suffit), un domaine d’expéditeur aligné sur le domaine SPF ou DKIM et, pour les messages marketing, un désabonnement en un clic.

Outlook.com demande à qui envoie 5 000 messages ou plus avec le même domaine vers les services grand public de Microsoft : SPF et DKIM qui réussissent, un enregistrement DMARC (au minimum p=none) et SPF ou DKIM aligné sur le domaine d’expéditeur. Sinon, Outlook.com refuse le message avec l’erreur 550 5.7.515.

Avec SPF, DKIM et DMARC en ordre, vous remplissez l’authentification que les deux fournisseurs exigent des gros expéditeurs, même si vous restez loin de ce seuil. Le filtrage du serveur d’un client professionnel, lui, dépend de ce client.

De bonnes habitudes pour les factures, les rapports et les rappels

• Un seul domaine, le vôtre, jamais une adresse gratuite.
• Une adresse de réponse que quelqu’un lit, pour qu’une question sur une facture arrive à la comptabilité.
• Un objet que le client reconnaît, comme « Facture 2026-0412 de [entreprise] ».
• Quelques phrases avec la pièce jointe : qui vous êtes, de quoi il s’agit et qui le client peut appeler.
• Pas de liens raccourcis. Le client doit voir où mène un lien.
• Un mail de test après chaque nouveau service qui envoie, une fois qu’il figure dans SPF et DKIM.

Un exemple : les rapports d’un installateur de pompes à chaleur en spam

Une entreprise qui installe et entretient des pompes à chaleur envoie du courrier depuis sa boîte du bureau, son logiciel comptable et son logiciel de service, toujours avec le même domaine. Des particuliers avec une adresse Gmail retrouvent les rapports dans leurs spams. Le gérant s’envoie un rapport de test sur son adresse Gmail et lit dans l’en-tête spf=permerror et dkim=none. Il n’existe aucun enregistrement DMARC.

Son partenaire informatique trouve deux enregistrements SPF : l’ancien de l’hébergeur et un nouveau créé pour le logiciel comptable. Il les fusionne en un seul avec les trois services et active DKIM là où il manquait. Deux jours plus tard, il publie DMARC sur none, avec les rapports vers une boîte dédiée. Après une semaine, ces rapports montrent encore une source en échec, le service de newsletter, qui reçoit son propre sous-domaine. Le mail de test suivant affiche spf=pass, dkim=pass et dmarc=pass.

Comment cela fonctionne dans Digitalnatie Service Suite

Service Suite envoie notamment les rapports d’intervention, les factures, les invitations et les liens de mot de passe par e-mail. Pour qu’ils partent de l’adresse de votre entreprise, l’administrateur connecte un domaine et un serveur d’envoi dans la configuration de l’e-mail.

• Domaine et serveur : l’administrateur ajoute votre domaine, puis connecte le serveur d’envoi (SMTP) de votre fournisseur de messagerie : serveur, port, sécurité (par exemple STARTTLS sur le port 587), identifiant et mot de passe. L’adresse e-mail de l’entreprise figure sur les documents et sert d’adresse de réponse.
• Le test : l’e-mail de test part vers votre propre adresse par le vrai chemin, serveur, expéditeur et domaine compris. Lisez son en-tête comme expliqué plus haut. Si l’e-mail part encore sous un domaine de la plateforme, l’écran affiche un avertissement jaune.
• Factures et rapports : l’envoi d’une facture comptabilisée et l’envoi du rapport d’une intervention terminée transmettent le PDF par e-mail, depuis le compte e-mail connecté. Pour un rapport, la confirmation indique le destinataire, l’expéditeur et l’acceptation par le serveur de messagerie. Plus de détails sur la facturation.
• Les rappels : aucun e-mail ne part vers un client tant que le compte e-mail de votre organisation n’est pas connecté. Pour vos propres règles d’automatisation, l’envoi d’e-mails aux clients doit en plus être autorisé, un réglage qui se demande à Digitalnatie.

Bon à savoir :

• Les enregistrements DNS, comme MX, SPF et DKIM, se règlent chez votre gestionnaire de domaine, pas dans l’application. Les valeurs à utiliser dépendent du serveur d’envoi que vous connectez : demandez-les à votre fournisseur de messagerie ou à votre partenaire informatique.
• Une fois l’e-mail connecté, les envois sont réels. Sans e-mail connecté, vous téléchargez le document et le remettez vous-même.
• L’acceptation par le serveur de messagerie confirme que le serveur a pris le message. Le dossier où il arrive chez le client n’y figure pas.

Si une facture reste impayée, voyez comment relancer une facture impayée, et ce que doit contenir le rapport dans le rapport d’intervention au client. Pour le courrier que vos clients vous envoient, lisez la boîte mail partagée pour les demandes d’intervention.

Questions fréquentes

Pourquoi mes mails arrivent-ils en spam chez mes clients ?

Un serveur de réception vérifie si le message vient vraiment de votre domaine. Si le service qui envoie ne figure pas dans votre SPF, si la signature DKIM manque ou si votre domaine n’a pas d’enregistrement DMARC, il ne peut pas le vérifier et décide lui-même du sort du message. Chez Gmail, la fréquence à laquelle les destinataires signalent votre mail comme spam compte aussi.

Quelle est la différence entre SPF, DKIM et DMARC ?

SPF dit quels serveurs peuvent envoyer du courrier avec votre domaine comme expéditeur. DKIM appose sur chaque message une signature que le destinataire vérifie avec une clé publiée dans votre DNS. DMARC dit au destinataire quoi faire du courrier qui échoue à SPF et à DKIM pour votre domaine, et à quelle adresse envoyer les rapports.

Faut-il mettre DMARC directement sur reject ?

Non. Google conseille de commencer par la politique none, de lire les rapports et de passer seulement avec le temps à quarantine ou reject. Vous voyez ainsi d’abord quels services envoient avec votre domaine, avant que leurs messages soient refusés.

Service Suite configure-t-il SPF, DKIM ou DMARC à ma place ?

Non. Les enregistrements DNS se règlent chez votre gestionnaire de domaine. Dans Service Suite, l’administrateur connecte votre domaine et le serveur d’envoi de votre fournisseur de messagerie, puis envoie un e-mail de test par le vrai chemin. L’en-tête de ce mail de test montre si les contrôles réussissent.