SPF, DKIM, DMARC : préparer son domaine avant d’envoyer
Trois enregistrements DNS décident si vos emails arrivent en boîte de réception. Ce qu'ils font, comment les configurer pour Google Workspace, et pourquoi un domaine d'envoi séparé.
Un email de prospection parfait ne sert à rien s'il finit en spam. Avant le premier envoi, trois enregistrements DNS doivent être en place sur le domaine qui envoie : SPF, DKIM et DMARC. Depuis février 2024, Gmail et Yahoo les exigent des expéditeurs, et rejettent ou classent en spam ce qui n'est pas authentifié.
SPF : qui a le droit d'envoyer
SPF est un enregistrement TXT à la racine du domaine qui liste les serveurs autorisés à envoyer pour lui. Pour Google Workspace :
v=spf1 include:_spf.google.com ~all
Un domaine ne doit avoir qu'un seul enregistrement SPF : si vous utilisez plusieurs services d'envoi, ajoutez leurs include: au même enregistrement, sans dépasser dix recherches DNS.
DKIM : la signature
DKIM signe chaque email avec une clé privée ; le destinataire vérifie la signature avec la clé publique publiée dans votre DNS. Dans la console d'administration de Google Workspace (Applications › Google Workspace › Gmail › Authentifier les e-mails), générez une clé de 2048 bits, publiez l'enregistrement TXT proposé sur google._domainkey, puis cliquez sur « Lancer l'authentification ».
DMARC : la règle, et les rapports
DMARC dit aux destinataires quoi faire d'un email qui échoue à SPF et DKIM, et où envoyer des rapports. On commence en observation :
_dmarc TXT v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr
Une fois les rapports propres pendant quelques semaines, passez à p=quarantine, puis à p=reject. Gmail demande au minimum p=none aux expéditeurs importants, et que le domaine de l'adresse d'expéditeur corresponde à celui authentifié par SPF ou DKIM.
Un domaine d'envoi séparé
La réputation d'envoi se construit par domaine. Prospecter depuis votre domaine principal, c'est risquer que vos factures et vos emails clients arrivent en spam le jour où une campagne se passe mal. La pratique courante : un domaine proche, réservé à la prospection (par exemple une variante de votre nom), avec ses propres SPF, DKIM et DMARC, et son site qui redirige vers le principal.
La montée en charge
Un domaine ou une boîte neufs n'ont pas d'historique. Commencez par quelques dizaines d'emails par jour et par boîte, espacés, puis augmentez progressivement sur plusieurs semaines en surveillant les rebonds et les réponses. Google demande aussi de garder un taux de spam signalé sous 0,3 %.
Vérifier
Envoyez un email à une adresse Gmail de test, ouvrez-le, puis « Afficher l'original » : SPF, DKIM et DMARC doivent tous afficher PASS. Coldlyne fait cette vérification sur le domaine de chaque boîte avant d'autoriser le premier envoi, et règle lui-même le rythme de la montée en charge.
Et la désinscription
Pour les envois réguliers, Gmail et Yahoo exigent aussi une désinscription en un clic, par l'en-tête List-Unsubscribe et List-Unsubscribe-Post (RFC 8058), traitée sous deux jours. C'est de toute façon ce que demande la CNIL : quelqu'un qui ne veut plus de vos emails doit pouvoir le dire en un geste.