Mails en spam : que vérifier avec SPF, DKIM et DMARC ?

Quand vos mails professionnels arrivent en spam, commencez par identifier le service qui les envoie et par examiner un message reçu. Vérifiez ensuite l’authentification du domaine avec SPF, DKIM et DMARC. Les mails écrits depuis votre boîte habituelle peuvent fonctionner alors que ceux du site ou du logiciel de devis utilisent une autre configuration.

Un formulaire peut afficher « demande envoyée » dès que le service de messagerie accepte l’envoi. Le serveur du destinataire peut encore le refuser ou le placer dans les indésirables. Pour comprendre ce qui s’est passé, il faut retrouver cet envoi dans l’historique du service.

Séparez les messages rejetés de ceux classés en spam

Retrouvez un envoi précis : son heure, le destinataire et l’outil utilisé. Dans les journaux du service de messagerie, cherchez s’il a été accepté, retardé ou rejeté. Conservez le code d’erreur lorsqu’il existe, au lieu de relancer plusieurs fois le même envoi.

Les services d’envoi proposent souvent un historique par message. Resend distingue notamment l’envoi au serveur destinataire, les retards et les rejets. Le statut de livraison signifie que ce serveur a accepté le mail ; il ne confirme pas sa présence dans la boîte principale. Source : suivi des messages Resend.

Si le message a été accepté mais reste introuvable, demandez au destinataire de regarder les indésirables et, dans une organisation, une éventuelle quarantaine. Prenez aussi un exemple qui est bien arrivé : la comparaison peut montrer que seul un outil d’envoi pose problème.

Regardez l’authentification d’un mail réellement reçu

Dans Gmail sur ordinateur, ouvrez le message, puis le menu situé à côté de la réponse et choisissez « Afficher l’original ». Cette vue donne accès aux en-têtes techniques. Google décrit la manipulation dans son aide sur l’origine des messages.

Relevez les résultats SPF, DKIM et DMARC, ainsi que les domaines auxquels ils se rapportent. Un simple relevé « tout est vert » ne permet pas de vérifier si le logiciel de devis et le formulaire utilisent le même expéditeur.

Mécanisme	Ce qu’il vérifie ou précise
SPF	Le serveur d’envoi est-il autorisé pour le domaine utilisé par l’enveloppe du mail ?
DKIM	La signature du message est-elle valide pour le domaine qui le signe ?
DMARC	Un contrôle SPF ou DKIM valide correspond-il au domaine visible dans le champ From, selon les règles d’alignement ? Quelle politique appliquer en cas d’échec ?

Google recommande de configurer les trois mécanismes pour les domaines d’envoi. Leurs rôles sont décrits dans ses consignes pour les expéditeurs. Leur validation améliore les conditions de distribution, mais ne garantit pas l’arrivée dans la boîte principale.

Le cas du formulaire qui utilise l’adresse du visiteur comme expéditeur

Imaginons un formulaire fictif. Camille saisit son adresse personnelle. Le site envoie ensuite une notification en plaçant cette adresse dans le champ From. Pourtant, le serveur du site n’est pas autorisé à envoyer au nom du domaine de Camille.

Une configuration habituelle consiste à utiliser une adresse de votre domaine authentifié comme expéditeur, puis l’adresse du visiteur dans Reply-To. Vous recevez une notification identifiable et pouvez répondre à Camille. Ce choix découle des règles d’authentification : votre site envoie avec une identité qu’il maîtrise.

Exemple fictif, à adapter au domaine authentifié de l'entreprise :

From : Site de l'entreprise <notifications@example.com>
To : Équipe commerciale <contact@example.com>
Reply-To : Adresse validée du visiteur
Subject : Nouvelle demande depuis le site

Demandez au développeur de vérifier ces deux champs dans l’intégration. L’API d’envoi de Resend les distingue explicitement, comme d’autres outils de messagerie. Après modification, testez une réception puis une réponse pour vérifier le parcours complet.

Faites l’inventaire des expéditeurs avant de modifier le DNS

Votre messagerie quotidienne n’est peut-être pas le seul service qui envoie pour votre domaine. Le logiciel de facturation, le site et un outil de réservation peuvent avoir chacun leur propre configuration. Listez-les et récupérez les paramètres demandés par chaque fournisseur.

Pour SPF, n’empilez pas plusieurs enregistrements concurrents sur le même nom de domaine. Le standard impose un enregistrement SPF unique à cet emplacement ; les services autorisés doivent entrer dans une configuration cohérente. La RFC 7208 précise cette règle. Ajouter le nouveau service en supprimant l’ancien à l’aveugle risque de déplacer le problème vers les mails qui fonctionnaient.

Pour DMARC, une règle de rejet activée avant d’avoir recensé les expéditeurs peut faire bloquer des messages légitimes mal configurés. Google recommande de commencer par l’observation avec p=none, puis de faire évoluer la politique après examen des rapports. Cette valeur ne neutralise pas les autres filtres antispam du destinataire. Source : configuration de DMARC.

Testez chaque outil qui envoie, puis surveillez les retours

Envoyez un essai depuis votre boîte professionnelle, le formulaire et le logiciel de devis, vers des boîtes de test chez plusieurs fournisseurs. Notez pour chaque envoi le résultat d’authentification et l’endroit où le message arrive. Un test concluant sur Gmail ne préjuge pas du comportement d’une messagerie d’entreprise.

Si l’authentification fonctionne mais que les messages restent filtrés, examinez les signalements de spam et les rejets avec le fournisseur d’envoi. Google cite aussi la réputation du domaine et de l’adresse IP parmi les facteurs à surveiller dans ses consignes de distribution. Changer quelques mots dans l’objet ne réparera pas un expéditeur mal identifié ou des envois que les destinataires ne souhaitent pas recevoir.

Le diagnostic d’un site qui ne génère aucun contact reprend ce contrôle du point de vue du visiteur. Pour les devis envoyés automatiquement, notre guide sur la génération de PDF traite la préparation du document.

Une fois la distribution corrigée, prévoyez qui consultera les prochains échecs et comment retrouver la demande correspondante. Un devis rejeté doit revenir dans le suivi commercial avec une action à faire, par exemple vérifier l’adresse ou appeler le client.