« Je ne l’ai jamais reçue, votre soumission. » Si vos courriels tombent dans les indésirables de vos clients, vous connaissez cette phrase par cœur. Le client fouille, puis retrouve votre message entre une fausse loterie et une offre de pilules. Le problème est rarement votre texte. Dans bien des cas qu’on voit passer, c’est votre domaine qui ne prouve pas que vous êtes bien vous.
Trois enregistrements DNS servent à faire cette preuve : SPF, DKIM et DMARC. Ils ne coûtent rien. Ils prennent une heure à configurer correctement. Et depuis 2024, les grands fournisseurs de courriel ne les traitent plus comme une option.
Pourquoi mes courriels tombent dans les indésirables?
Un serveur de réception, celui de Gmail, d’Outlook ou d’un autre, reçoit un message qui dit venir de votre domaine. Il n’a aucun moyen de vous appeler pour vérifier. Il regarde donc ce que votre domaine publie dans le DNS et pose trois questions.
Ce serveur avait-il le droit d’envoyer au nom de ce domaine? Le message a-t-il été modifié en chemin? Et si l’une des deux réponses est non, que veut le propriétaire du domaine qu’on fasse du message?
Si votre domaine ne répond à aucune de ces questions, le serveur doit deviner. Et quand il devine, il penche vers la prudence. Votre message aboutit alors dans le dossier Courrier indésirable d’Outlook ou dans les Spam de Gmail.
SPF, DKIM et DMARC en langage clair
SPF : la liste des expéditeurs autorisés
SPF est un enregistrement TXT qui énumère les serveurs autorisés à envoyer des courriels pour votre domaine. Microsoft 365, votre hébergeur web, votre outil d’infolettre, votre logiciel de facturation : chacun doit y figurer s’il envoie avec votre adresse.
Deux règles qu’on voit souvent brisées. Un domaine ne doit avoir qu’un seul enregistrement SPF; en ajouter un deuxième au lieu de fusionner les deux rend le SPF invalide. Et la norme limite à 10 le nombre de recherches DNS qu’un SPF peut déclencher. Empilez trop de services, et le SPF échoue même si chaque service y est.
DKIM : la signature du message
DKIM ajoute une signature cryptographique à chaque courriel envoyé. Le serveur de réception récupère la clé publique dans votre DNS et vérifie que le contenu n’a pas été modifié et qu’il vient bien d’un système qui détient la clé privée. Contrairement au SPF, la signature survit aux transferts automatiques.
DMARC : la consigne et les rapports
DMARC fait deux choses. Il exige que le domaine vérifié par SPF ou DKIM corresponde au domaine affiché dans le champ « De ». Et il dit au serveur de réception quoi faire en cas d’échec : rien de spécial (p=none), mettre en quarantaine (p=quarantine) ou rejeter (p=reject). En prime, il vous envoie des rapports qui montrent qui envoie des courriels en votre nom.
Cette correspondance est ce qui bloque l’usurpation. Sans DMARC, n’importe qui peut envoyer un message avec « De : comptabilite@votredomaine.ca » à partir de son propre serveur.
Les exigences de Gmail et Yahoo, et maintenant de Microsoft
Depuis février 2024, Google exige que tous les expéditeurs vers des adresses Gmail aient au minimum SPF ou DKIM. Ceux qui envoient environ 5 000 messages ou plus par jour vers Gmail doivent avoir les trois, avec un DMARC aligné, un lien de désabonnement en un clic dans leurs envois promotionnels et un taux de plaintes pour pourriel sous 0,3 %. Yahoo a annoncé des règles semblables au même moment.
Microsoft a suivi en mai 2025 pour Outlook.com, Hotmail et Live, avec le même seuil de 5 000 messages par jour : SPF, DKIM et un DMARC au moins à p=none.
Une PME de 12 employés n’envoie pas 5 000 courriels par jour, direz-vous. C’est vrai. Mais les filtres ne se contentent pas des seuils officiels. Un domaine bien authentifié part avec une meilleure note qu’un domaine qui ne publie rien, peu importe le volume.
Comment vérifier votre domaine en deux minutes
Envoyez-vous un courriel vers une adresse Gmail personnelle. Ouvrez-le, cliquez sur les trois points, puis sur « Afficher l’original ». Gmail affiche en haut trois lignes : SPF, DKIM et DMARC, chacune avec PASS ou FAIL.
Trois PASS : votre authentification est en ordre, cherchez ailleurs. Un FAIL ou une ligne absente : voilà votre point de départ.
Faites le test pour chaque système qui envoie avec votre domaine, pas seulement pour Outlook. Le formulaire de contact du site, la confirmation de commande WooCommerce et le logiciel de rendez-vous sont souvent ceux qui échouent.
Dans quel ordre corriger?
- Faites la liste de tout ce qui envoie des courriels avec votre domaine.
- Fusionnez ces expéditeurs dans un seul enregistrement SPF, terminé par ~all ou -all.
- Activez DKIM dans chaque service qui le permet : Microsoft 365, votre outil d’infolettre, votre hébergeur.
- Publiez un DMARC à p=none avec une adresse pour recevoir les rapports.
- Lisez les rapports pendant deux à quatre semaines pour repérer les expéditeurs oubliés.
- Passez à p=quarantine, puis à p=reject quand plus rien de légitime n’échoue.
Ne sautez pas l’étape 5. Passer directement à p=reject, c’est la meilleure façon de bloquer vos propres factures envoyées par le logiciel comptable que personne n’avait mis dans la liste.
Le cas du formulaire de site web
C’est le piège le plus courant sur les sites WordPress. Le formulaire de contact envoie le message au propriétaire du site, mais en mettant l’adresse du visiteur dans le champ « De ». Pour Gmail, c’est un serveur web qui prétend être une adresse Gmail. Échec garanti.
La correction est simple. Le formulaire doit envoyer depuis une adresse de votre domaine, par exemple site@votredomaine.ca, à travers un serveur SMTP authentifié, et placer l’adresse du visiteur dans le champ « Répondre à ». Vous cliquez sur Répondre, la réponse va au bon endroit, et l’authentification passe.
Prenez l’exemple d’un salon de coiffure à Donnacona dont les confirmations de rendez-vous partent du site. Si elles tombent dans les indésirables, les clientes ne les voient pas, et les absences se multiplient. Le correctif tient en un réglage d’extension SMTP et deux enregistrements DNS.
Tout est vert, mais vos courriels tombent dans les indésirables quand même?
L’authentification règle la question de l’identité. La délivrabilité des courriels dépend aussi de votre réputation d’expéditeur. Si vous envoyez une infolettre à une vieille liste achetée ou jamais nettoyée, les plaintes vont monter et le filtre va réagir, avec ou sans DMARC.
Quelques autres causes qu’on rencontre : une adresse IP d’envoi partagée avec un expéditeur mal entretenu, un message composé uniquement d’une image, des liens raccourcis, ou un nom de domaine tout neuf qui n’a pas encore d’historique.
Notre conseil : séparez les envois. Les courriels de tous les jours passent par Microsoft 365, les infolettres par un service spécialisé, idéalement sur un sous-domaine. Une infolettre qui reçoit des plaintes ne doit pas faire couler les soumissions de vos représentants.
On s’en occupe pour vous
La configuration de SPF, DKIM et DMARC est incluse dans notre offre Microsoft 365, et on l’applique aussi aux sites hébergés chez nous pour les formulaires et les boutiques. Si vous changez de système de courriel, notre article sur la migration des courriels vers Microsoft 365 montre où ces réglages s’insèrent.
Faites le test « Afficher l’original » aujourd’hui. S’il y a un FAIL, envoyez-nous une capture par la page Parler à un expert.