Délivrabilité des e-mails : checklist SPF, DKIM et DMARC pour les SaaS

Vous pouvez rédiger l’e-mail de bienvenue parfait, l’envoyer en quelques millisecondes, et le voir malgré tout finir dans les spams. Les fournisseurs de messagerie comme Gmail, Outlook et Yahoo décident où atterrit un message bien avant que quiconque ne le lise, et la première chose qu’ils vérifient, c’est que l’expéditeur est bien celui qu’il prétend être.

Trois enregistrements DNS répondent à cette question : SPF, DKIM et DMARC. Cette checklist explique chacun d’eux simplement et montre comment les configurer pour le domaine depuis lequel vous envoyez.

Pourquoi c’est plus important que jamais

En février 2024, Google et Yahoo ont commencé à appliquer des règles plus strictes à tous ceux qui envoient des e-mails à leurs utilisateurs :

• Tous les expéditeurs doivent s’authentifier avec SPF ou DKIM, envoyer via TLS et maintenir un faible taux de plaintes pour spam (Google demande moins de 0,3 %).
• Les expéditeurs en masse, soit environ 5 000 messages ou plus par jour vers Gmail, doivent disposer de SPF et DKIM et d’une politique DMARC, avec le domaine visible du From aligné sur ceux-ci. Les e-mails marketing doivent aussi proposer un désabonnement en un clic.

D’autres fournisseurs ont suivi. Les messages qui échouent à ces contrôles sont de plus en plus souvent rejetés purement et simplement, et pas seulement classés en spam.

La place d’Inbixio

Avec Inbixio, vos e-mails sont délivrés par votre propre serveur SMTP : la boîte mail que vous avez connectée dans Email Servers (serveurs e-mail). Vos enregistrements d’authentification décrivent donc votre fournisseur de messagerie (Google Workspace, Microsoft 365, Zoho, votre hébergeur), et non Inbixio. Configurez-les une fois pour votre domaine, et chaque e-mail envoyé via l’API en bénéficie.

Les exemples ci-dessous utilisent yourco.com. Remplacez-le par votre domaine.

1. SPF : qui peut envoyer pour votre domaine

SPF (Sender Policy Framework) est un enregistrement TXT qui liste les serveurs autorisés à envoyer des e-mails pour votre domaine. Les destinataires comparent le serveur qui a délivré un message à cette liste.

Ajoutez un enregistrement TXT à la racine de votre domaine :

yourco.com.  TXT  "v=spf1 include:_spf.google.com ~all"

La partie include: dépend de votre fournisseur :

Les règles qui piègent souvent :

• Un seul enregistrement SPF par domaine. Si vous utilisez deux services, combinez-les : v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all. Deux enregistrements SPF distincts les rendent tous deux invalides.
• 10 requêtes DNS au maximum. Chaque include: compte, de même que les includes qu’il contient. Supprimez les services que vous n’utilisez plus.
• Terminez par ~all (échec léger) pendant la configuration. Passez à -all (échec strict) une fois que vous êtes sûr que la liste est complète.

2. DKIM : une signature sur chaque message

DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque e-mail. Votre fournisseur de messagerie signe avec une clé privée, et vous publiez la clé publique correspondante dans le DNS pour que les destinataires puissent vérifier que le message n’a pas été modifié et provient bien de votre domaine.

Vous n’écrivez pas cet enregistrement à la main : votre fournisseur le génère.

• Google Workspace : Admin console → Apps → Google Workspace → Gmail → Authenticate email.
• Microsoft 365 : Microsoft Defender portal → Email authentication settings → DKIM.
• Zoho Mail : Admin console → Domains → votre domaine → Email configuration → DKIM.

Chacun vous fournit un enregistrement à publier, généralement un TXT ou un CNAME sur un nom comme google._domainkey.yourco.com. Ajoutez-le dans votre DNS, attendez sa propagation, puis cliquez sur Start authentication (ou l’équivalent) dans la console du fournisseur. Choisissez une clé de 2048 bits si l’option vous est proposée.

3. DMARC : la politique qui relie le tout

DMARC indique aux destinataires quoi faire lorsqu’un message échoue à SPF et à DKIM, et leur demande de vous envoyer des rapports. Il vérifie aussi l’alignement : le domaine de l’adresse From visible doit correspondre au domaine qui a passé SPF ou DKIM.

Commencez en mode surveillance :

_dmarc.yourco.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourco.com; adkim=r; aspf=r"

• p=none se contente de surveiller. Rien n’est bloqué pendant que vous examinez les rapports.
• rua= indique où envoyer les rapports agrégés quotidiens. Ce sont des fichiers XML : un lecteur de rapports DMARC gratuit les rend lisibles.

Après deux à quatre semaines de rapports sans anomalie, durcissez la politique par étapes : p=quarantine (les e-mails en échec vont en spam), puis p=reject (les e-mails en échec sont refusés). C’est cette dernière étape qui empêche des tiers d’envoyer du phishing en votre nom.

4. Gardez une adresse d’expédition cohérente

Avec Inbixio, les e-mails sont envoyés depuis l’adresse correspondant au nom d’utilisateur SMTP que vous avez connecté, par exemple notifications@yourco.com. Pour garder un alignement simple :

• envoyez depuis une adresse du même domaine que celui pour lequel vous avez configuré SPF, DKIM et DMARC,
• utilisez un petit ensemble stable d’adresses d’expédition (notifications@, security@, billing@), et
• si différents services doivent utiliser différentes adresses, connectez un serveur par adresse et rattachez chaque clé API à son serveur.

5. Les bonnes habitudes qui protègent votre réputation

L’authentification prouve qui vous êtes ; votre comportement détermine si les destinataires vous font confiance :

• N’écrivez qu’aux personnes qui s’y attendent. Les e-mails transactionnels (reçus, réinitialisations, codes) génèrent très peu de plaintes. Gardez le marketing séparé et basé sur le consentement (opt-in).
• Supprimez les adresses qui rebondissent. Envoyer de façon répétée vers des boîtes invalides ressemble à la liste d’un spammeur. Les avis de rebond arrivent dans la boîte mail d’envoi (celle que vous avez connectée à Inbixio) : consultez-la et retirez ces adresses de vos listes.
• Écrivez comme un humain. Un objet clair, une mise en page qui passe bien en texte brut, une adresse d’expédition qui accepte les réponses et aucun raccourcisseur de liens.
• Montez en charge progressivement. Un nouveau domaine qui envoie soudainement 50 000 e-mails paraît suspect. Augmentez le volume sur quelques semaines.

Comment vérifier votre configuration

1. Envoyez un test via Inbixio à une adresse Gmail que vous contrôlez.
2. Dans Gmail, ouvrez le message, cliquez sur ⋮ → Show original (« Afficher l’original » dans Gmail en français), et cherchez SPF: PASS, DKIM: PASS et DMARC: PASS.
3. Pour un suivi continu, enregistrez votre domaine dans Google Postmaster Tools afin de voir votre taux de spam et votre réputation.

La checklist

• Un seul enregistrement SPF qui inclut votre fournisseur de messagerie, sous les 10 requêtes DNS
• DKIM activé chez votre fournisseur, avec l’enregistrement DNS publié et vérifié
• DMARC en p=none avec des rapports envoyés à une adresse surveillée
• Des adresses d’expédition sur le même domaine que vos enregistrements SPF, DKIM et DMARC
• « Afficher l’original » dans Gmail indique PASS pour les trois
• Un rappel pour passer DMARC en quarantine, puis en reject

Ensuite, mettez tout cela en pratique sur les e-mails que vos utilisateurs attendent le plus : codes OTP et de vérification et réinitialisations de mot de passe.