- Votre messagerie n'est pas authentifiée. Le serveur destinataire ne peut pas confirmer que le message provient bien de votre domaine. Généralement, il manque un enregistrement, un nouvel outil (CRM, facturation, newsletter, formulaire de site web, service d’assistance, voire un scanner) n’y a jamais été ajouté, ou l’enregistrement SPF a dépassé sa limite et a cessé de fonctionner sans avertissement pour tous les envois.
- Ce message ressemble à un spam. Les raccourcisseurs de liens, les messages contenant beaucoup d’images et peu de texte, les majuscules, une signature comportant six logos, les pièces jointes non sollicitées ou un objet rédigé à la manière d’une publicité. Des filtres attribuent une note à chacun de ces éléments.
- La réputation de votre domaine a été affectée. Une boîte mail a été piratée et a envoyé du spam pendant tout un week-end, quelqu’un a envoyé une mise à jour à 400 destinataires depuis Outlook en mettant tout le monde en Cci, ou encore vos e-mails transitent par un serveur partagé avec un « mauvais voisin ».
- Du côté du destinataire. Une règle, une boîte de réception pleine, un transfert vers une adresse personnelle ou un filtre qui a un jour identifié votre adresse comme indésirable. Ce phénomène est moins fréquent qu’on ne le pense, et seul le destinataire peut y remédier.
Pourquoi les e-mails de votre entreprise se retrouvent dans le dossier « spam » et comment y remédier définitivement
Les quatre raisons pour lesquelles les e-mails professionnels finissent dans le dossier des courriers indésirables, le rôle réel des protocoles SPF, DKIM et DMARC, les exigences actuelles de Gmail et Outlook envers chaque expéditeur, ainsi qu’une vérification que vous pouvez effectuer en 20 minutes.
8 minutes de lectureMise à jour
En bref
Neuf fois sur dix, la cause réside dans l’authentification : votre domaine n’indique pas aux autres services quels services sont autorisés à envoyer des e-mails en votre nom, ou un nouvel outil a été ajouté sans que ces enregistrements aient été mis à jour. Gmail et Outlook exigent désormais des enregistrements SPF, DKIM et DMARC de la part de chaque expéditeur, et ils transfèrent discrètement les e-mails vers le dossier « spam » en cas d’échec. Corrigez ces enregistrements, activez DKIM dans chaque outil qui envoie des e-mails au nom de votre domaine, lancez la surveillance DMARC, et la plupart des problèmes de livraison disparaîtront en un jour ou deux.
Quatre raisons, par ordre de probabilité
Que font réellement les protocoles SPF, DKIM et DMARC ?
Ces trois éléments sont de petits enregistrements de texte dans le DNS de votre domaine. Personne au sein de votre entreprise ne les voit, mais chaque serveur de messagerie auquel vous envoyez un message les vérifie.
| Enregistrer | En termes simples | Quels problèmes cela peut-il poser si vous n’en disposez pas ? |
|---|---|---|
| SPF | Une liste des services autorisés à envoyer des e-mails au nom de votre domaine, par exemple Microsoft 365 et votre outil de facturation. | Les e-mails provenant d’un service ne figurant pas dans la liste échouent. Une liste comportant plus de dix éléments échoue pour tous les e-mails. |
| DKIM | Une signature numérique est ajoutée à chaque message, prouvant qu’il provient bien de votre domaine et qu’il n’a pas été altéré en cours de route. | Les messages arrivent sans signature et ne se distinguent en rien d’un faux. |
| DMARC | Vos instructions à l’intention des destinataires : que faire lorsqu’un message prétendant provenir de vous ne satisfait pas aux contrôles ci-dessus, et où envoyer les signalements. | Les destinataires ne s'en doutent pas, et n'importe qui peut envoyer des e-mails en votre nom à votre insu. |
Un détail est essentiel : l’alignement. Le domaine figurant dans l’adresse d’expéditeur que les destinataires voient doit correspondre au domaine ayant passé les tests SPF ou DKIM. Un outil de newsletter qui envoie des e-mails sous votre domaine mais signe avec son propre domaine passe le test DKIM pour lui-même, mais échoue tout de même au test DMARC pour vous.
Ce qu’Gmail, Outlook et Yahoo exigent désormais
Depuis 2024, les grands fournisseurs de messagerie publient des règles au lieu de se contenter de suppositions, et fin 2025, Google a renforcé l’application de ces règles en augmentant le nombre de rejets. Voici leurs exigences publiées, en date d’octobre 2026 :
| Exigences | Gmail (tous les expéditeurs) | Outlook.com et Yahoo |
|---|---|---|
| SPF et DKIM | Les deux sont configurés | Ces deux solutions sont destinées à toute personne envoyant environ 5 000 messages par jour ou plus ; leur mise en place est vivement recommandée pour tous les autres utilisateurs. |
| Enregistrement DMARC | Publié, au moins p=aucun | Publié, au moins p=none, conforme à SPF ou DKIM |
| Par domaine | Oui, avec SPF ou DKIM | Oui |
| DNS inversé et TLS | Obligatoire | Prévu |
| Taux de plaintes pour spam | Moins de 0,3 %, visez 0,1 | Reste modeste ; Microsoft surveille de près sa réputation |
| Désabonnement en un clic | Courriers marketing provenant d’expéditeurs en masse | Courriers marketing provenant d’expéditeurs en masse |
Ces règles s’appliquent officiellement aux e-mails envoyés vers des adresses personnelles Gmail, Outlook.com et Yahoo. Dans la pratique, Microsoft 365 et Google Workspace appliquent les mêmes contrôles aux boîtes de réception professionnelles ; la solution est donc la même, quel que soit le service utilisé par vos clients.
Le contrôle de 20 minutes
- Veuillez énumérer tous les éléments qui envoient des messages au nom de votre domaine. Microsoft 365 ou Google Workspace, le CRM, les outils de facturation et de gestion de la paie, la plateforme de newsletter, le formulaire de contact du site web, le service d’assistance, les outils de calendrier et de réservation, ainsi que cette imprimante qui permet de numériser vers un e-mail. La plupart des domaines en comptent entre cinq et huit.
- Vérifiez votre enregistrement SPF. Il doit y en avoir exactement un. Il doit inclure tous les services de la liste, ne pas dépasser dix requêtes DNS et se terminer par -all ou ~all. Un deuxième enregistrement SPF, ou une onzième requête, entraîne l'échec de l'ensemble du test.
- Activez la validation DKIM partout. Dans Microsoft 365, cette option se trouve dans le portail Defender, sous « Paramètres d’authentification des e-mails » ; dans Google Workspace, sous « Applications », « Google Workspace », « Gmail », « Authentifier les e-mails ». Chaque outil tiers dispose de ses propres paramètres DKIM, qui vous fournissent deux ou trois enregistrements DNS à ajouter.
- Publier les paramètres DMARCau niveau de la surveillance. Un enregistrement avec p=none et une adresse de signalement ne change encore rien, mais en l’espace de quelques jours, les rapports indiquent tous les services qui envoient des messages en votre nom, y compris ceux que vous avez oubliés et toute personne usurpant votre identité.
- Envoyez un test et consultez le résultat. Envoyez un e-mail à un compte Gmail personnel, ouvrez le message, sélectionnez « Afficher l’original », puis recherchez « SPF : PASS », « DKIM : PASS » et « DMARC : PASS ». Outlook.com affiche les mêmes informations dans les en-têtes du message. Un seul « FAIL » vous indique précisément quel enregistrement corriger.
- Renforcez progressivement la politique DMARC. Après deux à quatre semaines de rapports sans incident, passez à p=quarantaine, puis à p=rejet. Une fois le niveau « rejet » atteint, personne ne peut envoyer d’e-mails en votre nom et les destinataires vous font davantage confiance.
Problèmes qui ressemblent à des problèmes d’authentification mais qui n’en sont pas
- Une boîte mail compromise. Si le taux de livraison a chuté du jour au lendemain, vérifiez avant toute chose les journaux de connexion et les règles de la boîte de réception des comptes concernés. Les pirates ajoutent une règle qui masque les réponses et envoient du spam à partir du compte réel.
- Envoi massif d'e-mails à partir d'une boîte aux lettres classique. Outlook et Gmail sont conçus pour les conversations, pas pour les campagnes. Les mises à jour concernant des centaines de contacts doivent être gérées par un outil adapté, et envoyées depuis un sous-domaine tel que news.votreentreprise.com, afin qu’un éventuel incident sur ce sous-domaine n’affecte pas votre domaine principal.
- Signatures volumineuses et raccourcisseurs de liens. Moins d’images, pas de liens raccourcis et un texte qui semble avoir été rédigé par une personne.
- Un tout nouveau domaine. Les domaines sans historique sont considérés comme suspects pendant les premières semaines. Commencez par de faibles volumes et des conversations authentiques.
- Listes achetées ou collectées. Un taux de plaintes supérieur à 0,3 % vous fait perdre la faveur des fournisseurs pendant une semaine, et aucune correction de dossier ne peut y remédier.
Veuillez respecter cet ordre
- Ajoutez chaque nouvel outil qui envoie des e-mails à SPF et DKIM le jour même de sa configuration
- Consultez les rapports DMARC chaque mois, ou demandez à quelqu’un de les consulter pour vous
- Conservez les e-mails marketing et transactionnels sur leurs propres sous-domaines
- Surveillez le taux de plaintes dans Google Postmaster Tools et les outils d'expéditeur de Microsoft
- Vérifiez qui est autorisé à créer des règles de boîte de réception et des redirection, car ce sont les premiers éléments qu’un pirate modifie
FAQ
Questions fréquentes
De courtes réponses aux questions que les fondateurs et les responsables financiers nous posent le plus souvent.
Posez-nous une autre questionEn général, l’une des quatre situations suivantes se présente : un nouvel outil a commencé à envoyer des e-mails depuis votre domaine sans avoir été ajouté à l’SPF, l’enregistrement SPF a dépassé la limite de dix requêtes, une boîte mail a été compromise, ou un fournisseur a renforcé ses mesures de contrôle, comme l’a fait Google fin 2025. La vérification de 20 minutes décrite ci-dessus permet de déterminer laquelle de ces situations s’applique.
Oui. Google exige désormais un enregistrement DMARC de la part de chaque expéditeur écrivant à des adresses Gmail, et Outlook.com l’exige de la part des expéditeurs importants. Un enregistrement avec p=none ne change rien et ne coûte rien, et c’est le seul moyen de savoir qui envoie des e-mails en se faisant passer pour vous.
Ce n’est pas le cas lorsque p = none. Des problèmes n’apparaissent que si vous passez directement à la mise en quarantaine ou au rejet avant que tous les services légitimes aient été validés ; c’est pourquoi nous analysons d’abord les rapports pendant quelques semaines.
Oui. Les enregistrements se trouvent dans le DNS de votre domaine et s’appliquent à toutes les plateformes et tous les outils qui envoient vos e-mails. Seul l’endroit où vous activez DKIM diffère.
En effet, Microsoft 365 figure dans vos enregistrements SPF et DKIM, contrairement au CRM, ou bien le CRM utilise son propre domaine pour la signature au lieu du vôtre. Chaque outil dispose d’un paramètre DKIM permettant de résoudre ce problème.
Les enregistrements peuvent être corrigés en une journée pour la plupart des domaines. La mise en place progressive de la politique DMARC, afin de rejeter les e-mails indésirables en toute sécurité, nécessite quelques semaines de lecture des rapports, et une réputation entachée se rétablit au fil de plusieurs semaines d’envois conformes.
Comment SF3 Technologies vous aide
Nous identifions tous les services qui envoient des e-mails depuis votre domaine, corrigeons les enregistrements SPF, activons DKIM dans Microsoft 365 et Google Workspace ainsi que dans chaque outil, publions les enregistrements DMARC et les configurons pour qu’ils rejettent les e-mails non conformes lors de la lecture des rapports, afin que vos e-mails parviennent à leurs destinataires et que personne ne puisse envoyer d’e-mails en votre nom. Les enregistrements restent dans votre DNS et votre tenant, sous votre contrôle.
Les exigences relatives aux expéditeurs sont celles publiées par Google et Microsoft en octobre 2026 et sont susceptibles d’évoluer au fil du temps. Veuillez vérifier les directives actuelles de chaque fournisseur concernant les expéditeurs avant de vous fier à un seuil donné.