SPF, DKIM, DMARC : la délivrabilité email expliquée simplement

SPF, DKIM et DMARC sont trois lignes à ajouter dans les réglages DNS de ton domaine. SPF dit quels serveurs peuvent envoyer en ton nom, DKIM signe chaque email, DMARC dit quoi faire si l'un des deux échoue. Sans elles, Gmail, Yahoo et Outlook classent tes emails de prospection en spam, ou les refusent.

SPF, DKIM, DMARC : à quoi sert chacun ?

Un email, c'est comme une lettre dont n'importe qui peut écrire l'adresse de l'expéditeur au dos. Rien n'empêche un inconnu d'envoyer un message signé « contact@tonstudio.fr ». Les trois protocoles servent à prouver que c'est bien toi. La délivrabilité email, c'est-à-dire la capacité de tes messages à arriver en boîte de réception, commence là.

SPF vérifie le facteur, DKIM vérifie le cachet sur l'enveloppe. DMARC vérifie que le nom écrit au dos de la lettre est le même que celui du cachet. C'est ce dernier contrôle, l'alignement, qui pose le plus de problèmes quand on prospecte avec un outil d'envoi. On y revient plus bas.

Ces trois lignes ne garantissent pas la boîte de réception. Elles prouvent qui tu es. Ce que tu envoies, à qui et à quel rythme compte ensuite autant.

Ce que Gmail, Yahoo et Outlook exigent des expéditeurs

Depuis 2024, les trois grandes messageries ont écrit leurs règles noir sur blanc. Elles visent d'abord les gros expéditeurs, mais une partie s'applique à tout le monde.

Gmail. Depuis le 1er février 2024, tout expéditeur vers des comptes Gmail doit configurer SPF ou DKIM. Il doit aussi avoir des enregistrements DNS direct et inverse valides, chiffrer l'envoi en TLS et garder un taux de spam sous 0,3 % dans Postmaster Tools. Au-delà de 5 000 messages par jour vers des comptes Gmail, il faut SPF et DKIM, un DMARC (la règle p=none suffit), l'alignement et un désabonnement en un clic pour les messages marketing. Google recommande aussi de rester sous 0,10 % de spam signalé.

Google a durci le ton : depuis novembre 2025, Gmail renforce l'application de ces règles, avec des refus temporaires et définitifs pour le trafic non conforme. La même page précise qu'un expéditeur qui a dépassé le seuil une seule fois reste considéré comme expéditeur en masse, définitivement. Les sous-domaines comptent avec le domaine principal.

Yahoo. Les règles de Yahoo pour les expéditeurs sont presque les mêmes : SPF ou DKIM pour tous, taux de spam sous 0,3 %, DNS inverse valide. Les gros expéditeurs ajoutent SPF et DKIM, un DMARC au moins en p=none, l'alignement et un désabonnement en un clic, appliqué sous 2 jours.

Outlook. Microsoft a suivi en 2025 pour les domaines qui envoient plus de 5 000 emails par jour vers ses adresses grand public. Il exige SPF, DKIM et un DMARC au moins en p=none, aligné sur SPF ou DKIM. Depuis le 5 mai 2025, les messages non conformes de ces domaines sont rejetés avec le code « 550 5.7.515 ».

Et toi, avec tes 10 à 20 emails par jour ?

Tu es très loin des 5 000 messages par jour qui font de toi un expéditeur en masse. Tu n'es donc soumis qu'aux exigences de base. Ne t'arrête pas là pour autant, configure les trois protocoles.

La raison est simple : un petit expéditeur inconnu n'a pas d'historique pour le défendre. Un email de prospection part vers quelqu'un qui ne t'attend pas. Si en plus ton domaine n'a ni DKIM ni DMARC, tu donnes aux filtres toutes les raisons de se méfier. Les trois lignes prennent une heure à poser. Elles évitent des semaines de messages perdus sans que tu le saches.

Configurer SPF : un seul enregistrement, dix recherches au plus

L'enregistrement SPF se pose dans la zone DNS de ton domaine, chez ton registraire (OVH, Gandi, Cloudflare, etc.). C'est un enregistrement de type TXT, sur le domaine lui-même (hôte @). Si tu utilises Google Workspace, voici l'exemple donné par Google :

Type : TXT
Hôte : @
Valeur : v=spf1 include:_spf.google.com ~all

Chaque include: autorise un service à envoyer pour toi : ta messagerie, ton outil de facturation, ton outil d'envoi. Pour Microsoft 365, l'inclusion habituelle est include:spf.protection.outlook.com. Le ~all final dit aux destinataires de se méfier de tout autre serveur. C'est la valeur que Google recommande.

Deux erreurs cassent SPF sans prévenir :

• Deux enregistrements SPF sur le même domaine. La norme interdit d'en avoir plusieurs, et le contrôle renvoie alors une erreur permanente. Quand un outil te demande « d'ajouter son SPF », ajoute son include: dans ta ligne existante, ne crée pas une seconde ligne.
• Plus de 10 recherches DNS. Chaque include, a, mx ou redirect en coûte au moins une, et au-delà de 10 le contrôle échoue. Un domaine qui empile messagerie, CRM, facturation et deux outils d'emailing peut y arriver vite.

Google indique qu'un changement de SPF peut mettre jusqu'à 48 heures à se propager.

Configurer DKIM : la signature de chaque message

DKIM ne se configure pas seulement dans le DNS. C'est ta messagerie qui génère la paire de clés : elle garde la clé privée pour signer, tu publies la clé publique.

Dans Google Workspace, ça se passe dans la console d'administration (Applications, Gmail, Authentifier les e-mails). Tu génères la clé, Google te donne un enregistrement à publier, puis tu reviens cliquer sur « Démarrer l'authentification » :

Type : TXT
Hôte : google._domainkey
Valeur : v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…

google est le sélecteur : un nom qui permet d'avoir plusieurs clés sur le même domaine, une par service d'envoi. Gmail exige une clé d'au moins 1 024 bits et recommande 2 048 bits quand ton hébergeur DNS l'accepte. Choisis 2 048 si on te laisse le choix.

Microsoft 365 fonctionne autrement : il te demande deux enregistrements CNAME (selector1._domainkey et selector2._domainkey) qui pointent vers ses propres serveurs. Le principe reste le même.

Configurer DMARC : commencer par p=none

DMARC se pose en dernier. Google demande d'attendre 48 heures après SPF et DKIM avant de configurer DMARC. L'enregistrement va sur un hôte précis, _dmarc :

Type : TXT
Hôte : _dmarc
Valeur : v=DMARC1; p=none; rua=mailto:dmarc@tonstudio.fr

p est la règle appliquée aux messages qui échouent. Avec none, rien ne change pour eux : tu observes. Avec quarantine, ils vont en spam. Avec reject, ils sont refusés. rua est l'adresse qui reçoit les rapports quotidiens : qui a envoyé des emails en ton nom, et s'ils ont passé SPF et DKIM. Ces rapports arrivent en XML, illisibles à l'œil nu. Un lecteur de rapports DMARC, il en existe des gratuits, les met en tableau.

Une fois que les rapports ne montrent plus que tes propres services, et qu'ils passent, durcis la règle : p=quarantine, puis p=reject. Google propose de le faire par paliers avec la balise pct, qui applique la règle à une partie des messages seulement.

L'alignement : le piège des outils de prospection

DMARC ne se contente pas de vérifier que SPF ou DKIM passe. Il vérifie que le domaine validé est le même que celui affiché dans « De ». C'est l'alignement, et c'est là que beaucoup de configurations échouent.

Prenons un outil d'envoi qui expédie tes emails depuis ses propres serveurs. SPF peut passer, mais pour le domaine de l'outil (celui des messages en retour), pas pour le tien. DKIM peut passer aussi, signé par l'outil avec son domaine. Résultat : deux contrôles au vert et un DMARC en échec, parce qu'aucun des deux n'est aligné sur tonstudio.fr.

La parade : dans les réglages de l'outil, active la signature DKIM avec ton propre domaine (souvent appelée « domaine personnalisé » ou « custom DKIM »). Si l'outil envoie à travers ta boîte Google Workspace ou Microsoft 365, c'est ta messagerie qui signe, avec ton domaine si tu as fait l'étape précédente. Pour le vérifier, regarde dans l'en-tête d'un message reçu la mention d= de la signature DKIM : elle doit porter ton domaine.

Pourquoi prospecter depuis un domaine secondaire

Ton domaine principal porte tes factures, tes échanges avec tes clients, tes devis. Si tes emails de prospection dégradent sa réputation (trop de signalements, une liste mal nettoyée), ce sont aussi ces messages-là qui risquent d'arriver en spam. Un domaine secondaire isole ce risque.

Concrètement, pour tonstudio.fr :

• Achète un nom proche et lisible : tonstudio.com, tonstudio-design.fr, avec-tonstudio.fr. Pas une suite de chiffres, qui fait penser à de l'hameçonnage.
• Redirige son site vers ton site principal. Un prospect qui tape l'adresse doit tomber sur toi.
• Crée de vraies boîtes, au nom d'une vraie personne (julie@tonstudio-design.fr), avec ta signature habituelle.
• Pose SPF, DKIM et DMARC sur ce domaine aussi. Un domaine secondaire nu est pire que pas de domaine secondaire.

Pourquoi un domaine distinct plutôt qu'un sous-domaine du type contact.tonstudio.fr ? Parce qu'un sous-domaine reste rattaché au domaine principal. Google, par exemple, compte les messages de tous les sous-domaines avec ceux du domaine principal pour décider si tu es un expéditeur en masse.

Une limite à dire franchement : un domaine secondaire protège ton domaine principal, il ne rend pas une mauvaise prospection acceptable. Si tes messages sont signalés comme spam, le domaine secondaire s'abîmera aussi, et il faudra en racheter un. On ne change pas de domaine pour fuir les signalements, on change de façon d'écrire.

Le warm-up : monter le volume doucement

Un domaine acheté hier n'a aucun historique. S'il envoie 200 emails dès le premier jour, les messageries y voient le comportement typique d'un expéditeur de spam. Google le dit dans ses consignes : commence avec un faible volume vers des destinataires engagés et augmente lentement. C'est le warm-up, la mise en température du domaine.

Aucune messagerie ne publie de calendrier officiel. Voici l'ordre de grandeur sur lequel on s'appuie, par boîte d'envoi. C'est un exemple prudent, pas une norme :

Les plafonds techniques sont bien plus hauts : Google Workspace autorise 2 000 messages par jour et par utilisateur, 500 pendant l'essai. Ce sont des limites anti-abus, pas un objectif. Une boîte qui envoie 20 emails personnalisés par jour, c'est déjà 400 emails sur un mois de 20 jours ouvrés, relances comprises. Si tu as besoin de plus, ajoute une deuxième boîte plutôt que de pousser la première.

Pendant le warm-up, ce sont les réponses qui comptent. Un message qui reçoit une réponse est un signal positif pour la messagerie du destinataire. Il existe des outils de warm-up automatique qui échangent des emails entre boîtes partenaires pour simuler cette activité. Ils peuvent aider à démarrer, mais ils ne remplacent pas de vrais échanges avec de vraies personnes.

Comment vérifier que tout est en place

Ne fais pas confiance à ta configuration, teste-la. Quatre vérifications, de la plus rapide à la plus complète.

1. Lire tes enregistrements DNS. Dans un terminal :

nslookup -type=txt tonstudio.fr
nslookup -type=txt google._domainkey.tonstudio.fr
nslookup -type=txt _dmarc.tonstudio.fr

Sur Mac ou Linux, dig txt tonstudio.fr +short donne la même chose. Tu dois voir une seule ligne v=spf1, ta clé DKIM et ta ligne DMARC. Sans terminal, l'outil Check MX de la Google Admin Toolbox fait ce contrôle en ligne.

2. T'envoyer un email sur une adresse Gmail. Ouvre-le, menu des trois points, puis « Afficher l'original ». En haut de la page, Gmail affiche le résultat de SPF, DKIM et DMARC. Les trois doivent indiquer « PASS ». Fais le même test depuis ton outil de prospection, pas seulement depuis ta messagerie : c'est souvent là que l'alignement casse.

3. Lire tes rapports DMARC. Après quelques jours, ils te montrent tous les serveurs qui envoient en ton nom. Un service oublié dans ton SPF y apparaît en échec.

4. Suivre Postmaster Tools. L'outil gratuit de Google affiche le taux de spam, la réputation, l'authentification et les erreurs de distribution de tes envois vers Gmail. Limite : les données peuvent manquer quand le volume du jour est trop faible, ce qui sera souvent ton cas en prospection. Il reste utile pour voir si quelque chose dérape.

L'ordre des opérations, en résumé

1. Diagnostiquer : lance les trois commandes nslookup sur ton domaine actuel et note ce qui manque.
2. Corriger SPF (une seule ligne) et activer DKIM dans ta messagerie.
3. Publier DMARC en p=none, 48 heures plus tard, avec une adresse de rapports.
4. Acheter le domaine secondaire et y poser les trois mêmes lignes, puis lancer le warm-up. Plus tôt il démarre, plus tôt tu prospectes à ton rythme.

La technique fait arriver l'email ; c'est le texte qui fait répondre. Une fois ces quatre points réglés, passe à notre guide du cold email pour freelances et à nos exemples de mails de prospection.

Chez Prosper, cette partie est incluse : on envoie depuis des domaines et des adresses dédiés, jamais depuis ton adresse principale, avec leur configuration et leur montée en volume. Voir comment on travaille.

Questions fréquentes

Faut-il vraiment les trois, ou SPF suffit ?

Pour un petit volume, Gmail et Yahoo demandent au minimum SPF ou DKIM. Mais sans DKIM, ton message n'a pas de signature, et sans DMARC personne ne vérifie que ton domaine affiché correspond. Les trois prennent une heure à configurer : pose-les tous.

Combien de temps faut-il pour que la configuration soit prise en compte ?

Un changement DNS se propage en général en quelques heures, et Google parle d'un maximum de 48 heures. Pour DMARC, Google conseille d'attendre 48 heures après SPF et DKIM. Depuis un domaine neuf, compte ensuite trois à quatre semaines de montée progressive avant d'atteindre ton rythme de croisière, comme dans le tableau du warm-up.

Un lien de désinscription est-il obligatoire dans un email de prospection ?

Le désabonnement en un clic de Gmail et Yahoo vise les gros expéditeurs et les messages marketing. Côté droit français, en revanche, chaque message de prospection B2B doit permettre de refuser de nouvelles sollicitations par un moyen simple, rappelle la CNIL. Une phrase du type « Si ce n'est pas le sujet, dites-le-moi et je ne vous écrirai plus » suffit souvent. Le cadre complet est dans notre article sur la prospection par email et le RGPD.

Mes emails arrivent en spam alors que SPF, DKIM et DMARC passent. Pourquoi ?

L'authentification prouve qui tu es, pas que ton message est attendu. Les causes habituelles : un domaine trop jeune qui envoie trop vite, des adresses invalides, des signalements, un message identique envoyé en masse, des liens ou des pièces jointes dès le premier contact. Ralentis, nettoie ta liste et personnalise chaque message.

Puis-je prospecter depuis une adresse Gmail gratuite ?

Tu ne contrôles pas le DNS de gmail.com : impossible d'y poser ton propre SPF, DKIM ou DMARC, et ton adresse ne dit rien de ton activité. Pour prospecter, utilise une adresse sur ton propre domaine, ou mieux sur un domaine secondaire dédié.