Vos devis, factures ou relances finissent dans les courriers indésirables de vos clients ? La cause la plus fréquente est technique : votre nom de domaine ne prouve pas que vos e-mails viennent bien de vous. Trois réglages s’en chargent, SPF, DKIM et DMARC, et Gmail, Yahoo et Outlook.com les exigent désormais des expéditeurs.
Pourquoi vos e-mails paraissent suspects
N’importe qui peut envoyer un e-mail en écrivant votre adresse dans le champ « De ». C’est exactement ce que font les auteurs d’arnaques par e-mail. Pour s’en protéger, les messageries vérifient si le domaine de l’expéditeur (la partie après le @) a publié des règles prouvant qui a le droit d’écrire en son nom. Ces règles sont des lignes de texte ajoutées dans la zone DNS de votre nom de domaine, une sorte d’annuaire public.
Si ces lignes manquent ou sont fausses, vos messages ressemblent à ceux d’un usurpateur. Ils partent en spam, ou sont refusés. Le cas typique : une entreprise qui envoie ses e-mails depuis Microsoft 365, mais aussi ses factures depuis un logiciel de facturation, son site WordPress et un outil de newsletter, sans les avoir tous déclarés.
SPF, DKIM et DMARC expliqués simplement
La liste des expéditeurs autorisés
Un enregistrement qui dit : « les e-mails de mon domaine ne peuvent partir que de ces serveurs ». Par exemple Microsoft 365 et votre logiciel de facturation. Un seul enregistrement SPF par domaine, qui les liste tous.
La signature du message
Chaque e-mail envoyé reçoit une signature chiffrée invisible. Le destinataire la vérifie avec une clé publique publiée dans votre DNS, et sait que le message n’a pas été modifié en route.
La consigne en cas d’échec
DMARC vérifie que SPF ou DKIM est valide pour le domaine qui s’affiche dans le champ « De » (on parle d’alignement), et indique quoi faire sinon : ne rien faire et observer (p=none), mettre en quarantaine, c’est-à-dire en spam (p=quarantine), ou rejeter (p=reject). Il permet aussi de recevoir des rapports sur qui envoie des e-mails en votre nom.
Voici à quoi ressemblent ces enregistrements pour un domaine qui envoie depuis Microsoft 365 :
Commencez DMARC en p=none, lisez les rapports quelques semaines pour repérer les services oubliés, puis passez en quarantine, et enfin en reject. Passer directement en reject peut bloquer vos propres envois légitimes.
Ce qu’exigent Gmail, Yahoo et Outlook.com
Depuis février 2024, Google et Yahoo appliquent des règles pour les expéditeurs. Microsoft a suivi en mai 2025 pour Outlook.com et Hotmail. En résumé, à la date d’octobre 2026 :
- Tous les expéditeurs vers Gmail doivent avoir SPF ou DKIM, envoyer en connexion chiffrée (TLS), disposer d’un DNS correct et garder un taux de signalement en spam inférieur à 0,3 %.
- Au-delà de 5 000 messages par jour vers Gmail (ou vers Outlook.com), il faut SPF et DKIM, un enregistrement DMARC (p=none suffit), l’alignement avec le domaine du champ « De », et pour les envois marketing un désabonnement en un clic.
Une TPE n’envoie pas 5 000 e-mails par jour, mais ces règles fixent la norme : un domaine sans SPF, DKIM et DMARC est désormais regardé avec méfiance par tous les filtres, y compris ceux de vos clients professionnels. Et une newsletter envoyée à toute votre base peut, elle, dépasser le seuil.
Comment vérifier les vôtres
- Envoyez-vous un e-mail sur une adresse Gmail. Ouvrez-le, cliquez sur les trois points, puis « Afficher l’original » : Gmail indique en haut SPF, DKIM et DMARC avec la mention PASS ou FAIL.
- Testez votre domaine avec un outil gratuit en ligne de vérification DNS (MXToolbox, par exemple) : il affiche vos enregistrements et signale les erreurs, comme deux SPF en double.
- Listez tous vos outils qui envoient des e-mails en votre nom : messagerie, site, facturation, CRM, newsletter. Chacun doit figurer dans le SPF ou signer en DKIM avec votre domaine.
- Dans Microsoft 365, activez la signature DKIM de votre domaine dans le portail Microsoft Defender : elle n’est pas toujours active par défaut sur un domaine personnalisé.
Ces enregistrements se modifient chez le gestionnaire de votre nom de domaine. Une erreur de syntaxe peut couper la réception de vos e-mails : en cas de doute, faites-vous accompagner.
L’étape suivante : BIMI, votre logo dans la boîte mail
Une fois DMARC en mode quarantine ou reject, vous pouvez aller plus loin avec BIMI. Ce standard affiche le logo de votre entreprise à côté de vos e-mails, à la place de l’initiale, dans les messageries compatibles comme Gmail, Yahoo ou Apple Mail. Il faut publier le logo dans un format SVG particulier et, pour Gmail, obtenir un certificat de marque : le VMC, réservé aux marques déposées, donne en plus une coche bleue ; le CMC, plus accessible, demande de prouver l’usage du logo depuis au moins un an. Apple Mail n’accepte que le VMC, et Outlook ne les affiche pas de façon généralisée.
BIMI ne remplace pas la sécurité : c’est la récompense d’un domaine déjà bien protégé. Si votre site envoie lui-même des e-mails (formulaires, commandes), son hébergement doit être déclaré dans le SPF ou passer par un service d’envoi authentifié.
$ qweb aide --sujet=delivrabiliteDes e-mails qui arrivent dans la boîte de réception
QWEB audite et configure SPF, DKIM et DMARC sur votre domaine, pour Microsoft 365 comme pour votre site et vos outils d’envoi, puis suit les rapports DMARC.
