Pourquoi les emails arrivent dans le spam : diagnostic

Pourquoi les emails arrivent dans le spam : au-delà des enregistrements DNS

Votre score sur mail-tester.com est excellent. SPF, DKIM et DMARC réussissent. Aucune inscription n'apparaît sur les listes consultées. Pourtant, les messages arrivent dans les indésirables ou restent introuvables. Un test favorable ne prouve pas le traitement de tous les parcours et destinataires. Comprendre cette différence aide à enquêter.

En 2026, l'authentification reste essentielle, mais ne suffit pas. Google, Yahoo et Microsoft peuvent examiner comportement, historique, contenu et réputation des domaines et IP partagées. Cet article explique quoi vérifier lorsque le DNS semble correct et que le résultat réel contredit les tests.

La classification d'expéditeur en nombre

Pour examiner le spam, commencez par les exigences applicables à votre trafic. Google indique que la classification d'expéditeur en nombre peut persister selon le volume historique, plutôt que fonctionner comme un compteur remis à zéro à minuit. Une campagne saisonnière ou un envoi ponctuel à 10,000 utilisateurs peut franchir son seuil applicable. Cette classification ne signifie pas en elle-même que les messages seront classés comme spam.

Ne supposez pas que les contrôles renforcés concernent seulement les entreprises envoyant des millions de messages. Vérifiez la portée des règles de chaque destinataire et les identités et domaines qu'il agrège.

Nous appelons ici ce critère « maximum historique ». Selon Google, la classification peut conserver les exigences correspondantes même si vous n'envoyez ensuite que 50 messages par jour. Réduire le volume ne remplace pas la conformité. Une ancienne campagne peut expliquer des obligations actuelles, sans prouver la cause du classement dans le spam.

Sous-domaines : séparation des flux sans protection absolue

Envoyer le marketing depuis promo.company.com peut faciliter la gestion, mais ne garantit pas la protection de company.com. Google agrège le volume concerné au domaine principal et les destinataires peuvent relier les signaux de réputation entre identités et infrastructures.

Si promo.company.com reçoit beaucoup de signalements, les effets peuvent influencer l'évaluation du domaine principal. Ce n'est toutefois pas une règle déterministe envoyant chaque contrat issu du domaine racine dans le spam. Examinez les signaux et parcours partagés.

Des domaines distincts peuvent faciliter séparation et identification sans garantir l'isolation absolue ni permettre de contourner les exigences. La source cite $6-$30 par utilisateur et par mois comme référence historique chez des fournisseurs tels que Google Workspace; vérifiez tarifs et configurations actuels. Avec TrekMail, comparez le tarif fixe et les limites de domaines du plan. Ajouter cinq domaines n'implique pas toujours l'absence de frais supplémentaires.

Les échecs peu visibles de SPF, DKIM et DMARC

Un test de base réussi n'exclut pas des problèmes d'authentification sur d'autres parcours, expéditeurs ou périodes. Cela ne signifie pas non plus que l'authentification soit nécessairement la cause principale du spam. Testez les applications réelles et comparez les résultats du destinataire avant d'attribuer l'incident au DNS ou au contenu.

SPF : le budget de 10 termes nécessitant DNS

SPF limite à 10 les termes évalués nécessitant DNS, y compris les termes concernés imbriqués, pas tous les paquets DNS. Les includes include:sendgrid.net, include:_spf.google.com et include:mailgun.org demandent l'examen des dépendances; leur présence ne prouve pas un dépassement. À 11 termes soumis à cette limite, l'évaluation retourne PermError, mais une signature DKIM valide et alignée peut encore permettre à DMARC de réussir. Le transfert peut faire échouer SPF si l'IP change et que l'identité d'enveloppe conservée n'autorise pas le relais. RFC 7208 décrit l'erreur permanente due au dépassement.

Consultez le guide pour configurer correctement SPF et examiner autorisations, dépendances et valeurs actuelles des prestataires.

DKIM : taille des clés et intégrité des données signées

Google exige au moins 1024 bits pour les clés RSA DKIM selon ses exigences applicables. Une ancienne clé de 512 bits ne les respecte pas. Un sélecteur erroné ou une rotation incomplète peut empêcher la vérification. Ajouter une mention « External Email » ou modifier d'autres données signées peut invalider la signature selon la canonicalisation; toutes les modifications n'ont pas le même effet et ne prouvent pas une altération malveillante.

DMARC : vérifier l'alignement

SPF et DKIM peuvent réussir individuellement tandis que DMARC échoue si aucune voie validée ne respecte l'alignement. SPF compare l'identité d'enveloppe au From visible; DKIM utilise le domaine d=. Le mode relâché accepte le même domaine organisationnel; le mode strict exige une correspondance exacte. Consultez l'alignement DMARC : une seule voie valide et alignée suffit, même si l'autre échoue.

Exemple : Mailchimp peut utiliser un Return-Path sous bounce.mailchimp.com avec un From de mycompany.com. SPF peut réussir pour le domaine du prestataire sans être aligné sur le domaine visible. Sans signature DKIM valide et alignée, DMARC échoue. Sa politique demande un traitement que le destinataire décide d'appliquer ou non. La présentation de DMARC.org explique ce principe. Configurez l'authentification personnalisée selon les options actuelles du service.

Le seuil de signalements de 0.3%

Le taux de spam signalé est important en 2026, mais sa définition dépend du destinataire. Google recommande de rester sous 0.1% et d'éviter de dépasser 0.3% dans la métrique concernée. Cela peut affecter livraison et éligibilité à l'assistance corrective selon ses règles, sans provoquer automatiquement spam ou blocage chez Google et Yahoo. Examinez données quotidiennes et exigences actuelles.

Yahoo calcule son taux sur la livraison en boîte de réception, pas sur tous les envois. Exemple : vous envoyez 1,000 messages; 900 sont classés comme spam et 100 arrivent en boîte. Une personne en signale un : le résultat est 1.0%, pas 0.1%. Ce calcul montre l'importance du dénominateur; il ne prouve ni la cause du filtrage ni un blocage total instantané.

Avant d'augmenter le volume, combinez résultats disponibles du destinataire, journaux et tests de parcours. La réputation du domaine et la réputation de l'expéditeur contextualisent les signaux, mais ne sont pas une assurance garantissant la délivrabilité.

Le désabonnement en un clic (RFC 8058)

Depuis juin 2024, les exigences Google incluent le désabonnement en un clic pour certains expéditeurs en nombre et messages promotionnels. Un lien de pied de page imposant une connexion à un centre de préférences ne remplace pas le mécanisme requis. Voici un de ses en-têtes :

List-Unsubscribe-Post: List-Unsubscribe=One-Click

Le client peut afficher une option de désabonnement lorsqu'il reconnaît le mécanisme complet, sans garantie d'interface liée à un en-tête isolé. Il faut aussi List-Unsubscribe contenant le lien HTTPS, une signature DKIM valide couvrant les deux en-têtes et un endpoint traitant POST. Testez le fonctionnement selon les exigences applicables; ne désabonnez pas sur une visite GET automatique.

Une sortie simple permet à ceux qui ne souhaitent plus vos messages de partir. La cacher peut augmenter les signalements, sans conséquence identique et automatique chez tous les destinataires. Les consignes Google pour les expéditeurs précisent l'exigence de désabonnement en un clic pour les envois promotionnels en nombre concernés.

Différences de filtrage entre fournisseurs de messagerie

Ne considérez pas tous les destinataires comme un système unique. Google, Microsoft et Yahoo peuvent combiner des signaux différents et proposer des outils de couverture variable. Un résultat favorable sur Gmail ne prédit pas nécessairement Outlook.

Signaux du contenu à vérifier

Éviter une liste de « mots spam » comme on le conseillait en 2010 ne suffit pas. Les filtres peuvent analyser structure, liens, contexte et réputation. Ces pratiques méritent examen, sans être des déclencheurs universels.

IP partagées : des risques liés à l'infrastructure

Pour les agences gérant de nombreux domaines, connaître le parcours d'envoi et ses IP est utile. Certains services partagent des IP entre clients; l'abus peut affecter la réputation collective ou une liste comme Spamhaus. Cela ne signifie pas que tous les hébergements économiques ont ce problème ni que chaque inscription affecte tous les destinataires. Confirmez IP, liste et portée.

Une IP dédiée est une option, pas toujours la meilleure pour de faibles volumes ni une garantie de livraison. La source cite $89+ par mois comme référence SendGrid; vérifiez offres et coûts actuels. Avec 50 clients, comparez aussi entretien, volume et capacité de suivi.

TrekMail propose SMTP géré avec des contrôles selon le plan, sans garantir la disparition de tout abus du pool. Votre propre SMTP peut connecter Amazon SES ou Mailgun tout en maintenant les boîtes sur l'hébergement à tarif fixe. IP et isolation dépendent du prestataire et de la configuration. Ne supposez pas que Google ou Microsoft interdisent universellement toute séparation entre hébergement et envoi.

Comment vérifier ce qui se passe

Pour enquêter sur des messages dans le spam, rassemblez les preuves et suivez une séquence. Aucun test isolé ne révèle nécessairement la cause exacte de chaque décision du destinataire.

1. En-têtes. Envoyez un test à Gmail, ouvrez le menu puis « Afficher l'original ». Examinez SPF: PASS, DKIM: PASS et DMARC: PASS du destinataire de confiance. FAIL ou SOFTFAIL demande examen, pas suspension automatique de tous les flux : DMARC peut réussir grâce à une autre voie validée et alignée.

2. Tests de livraison. GlockApps peut proposer des tests avec boîtes témoins, sans prédire le traitement de tous les destinataires réels. Mail-Tester, avec une option gratuite selon les conditions disponibles, fournit certaines vérifications techniques, sans prouver où une campagne arrivera chez tous les utilisateurs Gmail. Inbox, Spam et Promotions sont distincts; Promotions n'est pas du courrier indésirable. Listes consultées et couverture dépendent de l'outil.

3. Journaux de rejet. Examinez les réponses complètes. Les erreurs 5xx sont permanentes : 550 5.1.1 peut indiquer une adresse inexistante, 550 5.7.1 un rejet par politique aux causes variées. Les 4xx sont temporaires; 421 ne signifie pas toujours un débit excessif. Respectez indications et intervalles de reprise du prestataire.

La délivrabilité demande un suivi

En 2026, les messages peuvent arriver dans le spam pour des raisons d'authentification, réputation, contenu, comportement ou politiques du destinataire. Comprendre ces couches aide à organiser des contrôles, pas à garantir une infrastructure échappant définitivement au spam.

Respectez les préférences des destinataires. Facilitez la sortie et implémentez le désabonnement en un clic de RFC 8058 lorsqu'il s'applique. C'est un contrôle utile, pas une garantie de réputation.

Séparez les flux selon les besoins. Évaluez domaines ou sous-domaines avec identités configurées et suivi. La réputation peut être reliée par domaine organisationnel, IP ou marque; la séparation ne doit ni contourner les exigences ni promettre une protection absolue.

Connaissez votre infrastructure. Comparez prix et contrôles avant de choisir l'architecture. Pour un domaine ou un portefeuille de 100 clients, TrekMail peut offrir tarif fixe et options techniques sans frais par utilisateur selon les conditions actuelles. Vérifiez offres, fonctions et limites; cela ne constitue pas une immunité au spam.

Pour approfondir la protection des parcours d'envoi, consultez la messagerie sécurisée pour les entreprises.