Vos devis n'arrivent plus, vos clients trouvent vos factures dans leurs indésirables, ou Gmail refuse carrément vos messages. Le problème vient rarement du contenu du message : le plus souvent, il vient de la réputation de votre domaine ou de la configuration qui prouve que vos e-mails sont bien les vôtres. Voici les cinq vérifications à faire, dans l'ordre. Si votre site a été piraté et envoie du spam, notre page e-mails en spam et domaine sur liste noire détaille la remise en état.
1. Votre domaine a-t-il un enregistrement SPF ?
Le SPF est une ligne dans la configuration de votre nom de domaine qui liste les serveurs autorisés à envoyer des e-mails en votre nom : votre messagerie (Microsoft 365, Google Workspace, l'hébergeur), votre outil de newsletter, votre site. Un SPF absent, ou qui oublie l'un de ces services, fait baisser la confiance des messageries.
Point d'attention : il ne doit y avoir qu'un seul enregistrement SPF par domaine. Deux lignes SPF séparées invalident les deux.
2. Vos e-mails sont-ils signés avec DKIM ?
DKIM ajoute une signature à chaque e-mail, vérifiable par le destinataire. Elle s'active dans votre messagerie et dans votre outil de newsletter, puis se publie dans la configuration du domaine. Chaque service d'envoi a sa propre signature.
3. Avez-vous une politique DMARC ?
DMARC indique aux messageries quoi faire d'un e-mail qui échoue aux contrôles SPF et DKIM : le laisser passer, le mettre en indésirables, ou le refuser. Depuis février 2024, Gmail et Yahoo demandent à tous les expéditeurs une authentification SPF ou DKIM, et une politique DMARC à ceux qui envoient en grand volume. Commencer par une politique d'observation (p=none) permet de recevoir des rapports sans bloquer quoi que ce soit.
4. Votre domaine ou votre serveur est-il sur une liste noire ?
Des listes comme celles de Spamhaus recensent les domaines et adresses IP qui ont envoyé du spam. Les messageries les consultent. Un outil gratuit de vérification de listes noires vous dit en quelques secondes si votre domaine ou l'IP de votre serveur y figurent.
Si c'est le cas, la question devient : qui a envoyé ce spam ? Bien souvent, ce n'est pas vous mais votre site.
5. Votre site envoie-t-il du spam à votre insu ?
C'est la cause qu'on oublie. Un site WordPress piraté, ou un formulaire de contact sans protection, peut envoyer des milliers d'e-mails depuis votre serveur et avec votre domaine. Les signes :
- des centaines de messages d'erreur de distribution pour des e-mails que vous n'avez jamais écrits ;
- un e-mail de l'hébergeur évoquant un « abus » ou un blocage des envois ;
- un formulaire de contact qui reçoit des messages absurdes en série ;
- des scripts PHP inconnus sur le serveur.
Dans quel ordre agir
- Arrêter la source : sécuriser le formulaire, nettoyer le site, changer les mots de passe des boîtes et des comptes d'envoi.
- Corriger SPF, DKIM et DMARC.
- Demander le retrait des listes noires, une fois les envois arrêtés : une demande faite avant sera refusée ou suivie d'une nouvelle inscription.
- Laisser la réputation remonter, progressivement, en évitant les envois massifs pendant quelques semaines.
Le diagnostic est gratuit : on vérifie ces cinq points et on vous dit quoi corriger. Les réglages SPF, DKIM et DMARC sont compris dans notre nettoyage complet ; quand le problème vient seulement du formulaire, un dépannage à partir de 120 € suffit.