Pourquoi votre infolettre finit dans les spams (et comment éviter ça)
Gmail, Yahoo et Microsoft ont durci leurs règles pour les expéditeurs de courriels, et les régulateurs français et canadiens sanctionnent de plus en plus lourdement les envois non consentis. Ce que votre PME doit faire concrètement pour que ses infolettres atterrissent en boîte de réception.
Entre le 1ᵉʳ février 2024 et le 5 mai 2025, les trois principales messageries grand public, Gmail, Yahoo et Microsoft, ont durci leurs règles à peu près simultanément. Depuis novembre 2025, Gmail ne se contente plus de router les envois non conformes vers le dossier courrier indésirable, il les rejette avec un code d'erreur 550, c'est-à-dire définitivement. En France, la CNIL a prononcé 486,8 millions d'euros de sanctions en 2025, dont 10 décisions ciblant spécifiquement la prospection commerciale. Au Canada, la LCAP continue de prévoir des amendes jusqu'à 10 millions de dollars par infraction pour une organisation.
Le paysage de l'envoi de courriels a changé de nature. Ce qui relevait autrefois du réglage technique marginal est devenu un sujet de conformité à part entière, avec un impact direct sur la délivrabilité et un risque juridique réel. Beaucoup de PME et de TPE continuent de gérer leur infolettre comme en 2020, en ignorant que le seuil des 5 000 messages par jour se franchit plus vite qu'on ne le croit et que les signaux techniques demandés par Google ou Microsoft s'imposent désormais à tout émetteur sérieux.
Ce guide fait le tour complet de ce qu'il faut comprendre, vérifier et mettre en place pour que vos courriels arrivent à destination, en 2026 et pour les années à venir.
Pourquoi vos courriels atterrissent dans les spams
L'authentification, votre carte d'identité numérique
Quand un serveur Gmail, Yahoo ou Outlook reçoit un courriel, il ne se demande pas d'abord si le contenu ressemble à du spam. Il se demande d'abord si l'expéditeur est bien celui qu'il prétend être. Cette vérification s'appuie sur trois protocoles : SPF, DKIM et DMARC. Sans eux, votre courriel ressemble à une lettre avec une enveloppe blanche, sans en-tête et sans signature. Le facteur la livre, peut-être, ou la met à la poubelle.
SPF (Sender Policy Framework) déclare dans le DNS de votre domaine la liste des serveurs autorisés à envoyer du courriel en votre nom. DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque message, qui prouve que le contenu n'a pas été modifié en transit. DMARC (Domain-based Message Authentication, Reporting and Conformance) combine les deux et indique à la messagerie destinataire quoi faire quand l'authentification échoue, en laisser passer, mettre en quarantaine ou rejeter.
Un courriel qui ne passe pas ces trois filtres correctement n'a quasiment aucune chance d'atteindre une boîte de réception Gmail, Yahoo ou Outlook aujourd'hui. C'est la base.
La réputation, ce que les messageries calculent en silence
L'authentification est nécessaire mais pas suffisante. Une fois que la messagerie a vérifié votre identité, elle consulte votre historique. Combien de messages votre domaine a-t-il envoyés la semaine dernière ? Combien ont été ouverts, supprimés sans lecture, marqués comme spam ? Quel est le taux de rebond ? Les destinataires répondent-ils, archivent-ils, déplacent-ils les messages hors du dossier promotions ?
Cette réputation est calculée par chaque messagerie pour chaque domaine expéditeur et pour chaque adresse IP utilisée. Google la rend partiellement visible à travers Postmaster Tools, Microsoft à travers son Smart Network Data Services. Yahoo n'offre pas d'outil équivalent mais applique les mêmes mécaniques. Une réputation dégradée ne se répare pas en une journée, ce qui rend la prévention d'autant plus importante que la correction.
Le contenu et l'engagement, un poids désormais secondaire
Longtemps, les guides sur la délivrabilité mettaient l'accent sur les mots à éviter dans l'objet (gratuit, urgent, argent) et sur la structure HTML du courriel. Ces filtres existent toujours mais pèsent beaucoup moins qu'avant. Un objet parfaitement rédigé n'ira pas en boîte de réception si votre DMARC est cassé. À l'inverse, un objet imparfait passera si votre réputation est solide et votre authentification propre.
Le contenu compte encore sur un point précis, l'engagement qu'il suscite. Un courriel ouvert, cliqué, répondu ou archivé signale à la messagerie que vous êtes attendu. Un courriel supprimé sans ouverture, signalé comme spam ou laissé sans interaction fait descendre votre note. C'est indirect mais continu.
Un durcissement récent qui a tout changé
La vague de resserrement commence le 1ᵉʳ février 2024, quand Gmail et Yahoo appliquent de concert les nouvelles règles annoncées trois mois plus tôt pour les expéditeurs de volume. Pour tout domaine qui envoie plus de 5 000 messages par jour vers des comptes personnels, l'authentification complète (SPF, DKIM, DMARC alignés) devient obligatoire, le taux de plainte doit rester sous 0,30 %, et un en-tête de désabonnement en un clic doit être implémenté.
Dans un premier temps, Google applique ces règles de manière progressive, en envoyant d'abord les messages non conformes vers le dossier spam. À partir de novembre 2025, Google passe au rejet pur et simple, avec code d'erreur 550. Les courriels n'arrivent plus du tout, ni en boîte de réception, ni en spam. Ils disparaissent avec un rejet à la connexion.
Microsoft emboîte le pas le 5 mai 2025 en appliquant ses propres règles aux domaines grand public (outlook.com, hotmail.com, live.com, msn.com). Le code de rejet dédié, 550 5.7.515, est renvoyé aux expéditeurs qui ne respectent pas SPF, DKIM et DMARC avec alignement. Microsoft exige également un en-tête de désabonnement fonctionnel et une adresse de réponse valide.
Pour 2026, aucun nouveau durcissement majeur n'a été annoncé dans les règles elles-mêmes, mais les seuils de tolérance se sont resserrés dans la pratique. Un taux de plainte qui était toléré autour de 0,20 % il y a deux ans devient dangereux aujourd'hui. Les expéditeurs stables visent désormais 0,10 % maximum, avec 0,30 % comme plafond absolu au-delà duquel le domaine perd son éligibilité à l'assistance de délivrabilité de Google pendant au moins sept jours consécutifs.
Gmail et Yahoo : ce que les règles exigent vraiment
Le seuil des 5 000 messages par jour (et pourquoi il se franchit sans prévenir)
La règle officielle cible les domaines qui envoient 5 000 messages ou plus par jour vers des comptes personnels Gmail ou Yahoo. Mais deux précisions rendent ce seuil moins théorique qu'il n'en a l'air.
D'abord, la classification est permanente. Une fois le seuil franchi, même un jour, votre domaine est considéré comme expéditeur de volume, et les règles s'appliquent indéfiniment. Vous ne pouvez pas revenir en arrière en réduisant vos envois. Google l'a confirmé à plusieurs reprises dans sa documentation.
Ensuite, beaucoup d'entreprises atteignent ce seuil sans s'en rendre compte. Une PME e-commerce qui envoie une infolettre mensuelle à 12 000 abonnés a dépassé le seuil sur cette seule journée. Un site qui combine transactionnels (confirmations de commande, mots de passe oubliés, alertes de stock) et promotionnels peut facilement atteindre 5 000 envois par jour sans faire de campagne. Les plateformes e-commerce Shopify, WooCommerce ou PrestaShop génèrent un volume transactionnel souvent sous-estimé.
En pratique, si vous avez une base de plus de 3 000 à 4 000 contacts actifs ou si vous générez du courriel transactionnel automatisé, considérez que les règles s'appliquent à vous, même si vous ne franchissez pas le seuil tous les jours. Le coût de la mise en conformité est de toute façon faible comparé à celui d'un rejet définitif.
SPF, DKIM et DMARC : la triple authentification obligatoire
Configurer l'authentification d'un domaine demande l'accès au DNS et quelques lignes à ajouter. C'est une opération unique qui ne se refait que lors d'un changement de prestataire d'envoi.
SPF se déclare avec un enregistrement TXT à la racine du domaine. Exemple pour un site qui utilise Brevo comme prestataire d'envoi et Google Workspace pour les courriels internes :
v=spf1 include:_spf.google.com include:spf.brevo.com -all
Le -all à la fin signifie que tout autre expéditeur non listé doit être rejeté. Utiliser ~all (échec doux) est possible mais moins propre.
DKIM nécessite que votre prestataire d'envoi génère une paire de clés, dont la publique est publiée dans votre DNS. La plupart des plateformes (Brevo, Mailchimp, Cyberimpact, Klaviyo, ActiveCampaign, Postmark, SendGrid) fournissent les enregistrements à copier-coller. Google exige une clé de 1024 bits minimum, avec une recommandation de 2048 bits. Beaucoup de prestataires signent encore en 1024 bits par défaut, vérifiez la valeur et demandez 2048 si nécessaire.
DMARC se déclare avec un enregistrement TXT sur le sous-domaine _dmarc. Un DMARC de démarrage, uniquement en observation, ressemble à ceci :
v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.com
La politique p=none n'impose rien mais collecte des rapports agrégés sur les envois échoués. C'est le minimum exigé par Gmail, Yahoo et Microsoft pour les expéditeurs de volume. Une fois le trafic propre et les rapports lus, la politique peut évoluer vers p=quarantine (mise en spam des messages non conformes), puis p=reject (rejet pur). Le passage en p=reject n'est pas obligatoire pour la conformité actuelle mais il est recommandé pour se protéger de l'usurpation de domaine.
L'alignement entre le domaine de l'en-tête From: et le domaine signé par DKIM ou SPF est la condition clé. Un courriel envoyé depuis @mtom-creation.com doit être signé par mtom-creation.com ou par un sous-domaine déclaré. Un courriel signé par @votreprestataire.net mais expédié sous votre nom échouera l'alignement.
Le désabonnement en un clic (RFC 8058)
La spécification RFC 8058 définit un mécanisme précis pour permettre à un destinataire de se désabonner d'une liste en un seul clic, sans ouvrir le courriel, sans cliquer sur un lien dans le corps, sans confirmer sur une page web.
Concrètement, deux en-têtes doivent être ajoutés à chaque courriel d'infolettre :
List-Unsubscribe: <https://votre-domaine.com/unsubscribe?u=abc123>, <mailto:unsubscribe@votre-domaine.com?subject=abc123>
List-Unsubscribe-Post: List-Unsubscribe=One-Click
Le second en-tête est la nouveauté de RFC 8058 : il signale à la messagerie que l'URL du premier accepte une requête HTTP POST, que la messagerie envoie directement quand l'utilisateur clique sur le lien de désabonnement affiché en haut du message par Gmail, Yahoo ou Outlook. L'utilisateur est désinscrit sans quitter son client de messagerie.
Gmail exige que l'URL soit HTTPS, que la requête POST fonctionne sans cookies et qu'elle désinscrive effectivement la personne. Le traitement doit être fait dans un délai de deux jours maximum. Les en-têtes List-Unsubscribe doivent être couverts par la signature DKIM pour être pris en compte.
La plupart des plateformes de courriel professionnel implémentent cela automatiquement, mais pas toutes, surtout si vous utilisez un plugin WordPress pour vos infolettres ou un script maison. Vérifiez que vos courriels sortants comportent bien les deux en-têtes en inspectant les en-têtes techniques d'un message reçu (dans Gmail, menu trois points puis "afficher l'original").
Le taux de plainte à 0,30 % et la cible à 0,10 %
Un destinataire qui clique sur "signaler comme spam" dans son client de messagerie génère une plainte comptabilisée par la messagerie. Le taux de plainte est le ratio entre ces signalements et le nombre total de courriels délivrés.
Le seuil officiel de Gmail est de 0,30 %. Au-delà, votre domaine perd l'éligibilité aux programmes de délivrabilité, et les messages commencent à être redirigés massivement vers le dossier courrier indésirable, voire rejetés. Une fois le taux redescendu, il faut rester sous ce seuil pendant sept jours consécutifs avant de retrouver une situation normale.
La cible réelle pour rester en sécurité est plutôt 0,10 %. À ce niveau, vous avez une marge en cas de pic imprévu (un courriel mal ciblé, une segmentation ratée, une période de vacances où l'audience est moins engagée). Au-delà de 0,10 %, vous êtes dans une zone où un incident peut vous faire franchir le plafond de tolérance.
Google Postmaster Tools affiche ce taux jour par jour pour tout domaine enregistré, à condition que vous envoyiez un volume suffisant pour que les statistiques soient significatives. Si vous ne l'avez pas encore activé, c'est le premier outil à configurer.
Microsoft et Outlook : des règles similaires, appliquées à leur tour
Microsoft a publié en avril 2025 une mise à jour de ses exigences pour les expéditeurs de volume, entrée en vigueur le 5 mai 2025. Les règles reprennent l'essentiel de ce que Gmail et Yahoo demandent depuis 2024 : SPF, DKIM, DMARC avec alignement d'au moins un des deux premiers, politique DMARC au minimum en p=none, en-tête de désabonnement fonctionnel et adresse de réponse valide.
La spécificité de Microsoft tient au code d'erreur renvoyé aux expéditeurs non conformes : 550 5.7.515. Contrairement à Gmail qui a laissé près de deux ans de transition, Microsoft a commencé directement par la redirection vers le dossier courrier indésirable, avec le rejet complet appliqué progressivement sur 2025 en fonction du comportement de l'expéditeur. Au deuxième trimestre 2026, la plupart des domaines non conformes sont désormais rejetés.
Les règles Microsoft s'appliquent aux adresses en @outlook.com, @hotmail.com, @live.com, @msn.com, mais pas aux comptes Microsoft 365 professionnels, qui relèvent de règles distinctes gérées par l'administrateur de chaque locataire. Cette distinction importe pour les B2B : un courriel envoyé à prenom@entreprise.com où l'entreprise utilise Microsoft 365 ne passe pas par les mêmes filtres grand public, même si la messagerie est techniquement hébergée par Microsoft.
En pratique, si vos infolettres sont correctement configurées pour Gmail et Yahoo, elles le sont aussi pour Microsoft. Les règles se recoupent presque entièrement. Le seul point d'attention spécifique est l'adresse de réponse : Microsoft exige qu'elle soit valide et capable de recevoir des réponses, ce qui rend les adresses du type noreply@ problématiques. Une infolettre@votre-domaine.com qui redirige vers une vraie boîte consultée régulièrement est préférable.
Le RGPD et la CNIL en France : le consentement n'est pas négociable
B2C et B2B, deux régimes qui ne sont pas deux libertés
Le droit européen, d'application directe en France et articulé avec la loi Informatique et Libertés, distingue deux situations pour la prospection par courriel.
En B2C, le principe est l'opt-in strict. Une entreprise ne peut envoyer de courriel commercial à un particulier que si celui-ci a donné son consentement préalable, libre, éclairé, spécifique et univoque. Concrètement, une case à cocher non pré-cochée lors d'une inscription, avec une mention claire sur la finalité, accompagnée d'un lien vers la politique de confidentialité.
En B2B, la CNIL accepte une souplesse : la prospection est possible sans consentement préalable, à condition que le destinataire soit démarché dans le cadre de son activité professionnelle, que le message concerne ses fonctions, que l'entreprise expéditrice puisse s'appuyer sur une base légale d'intérêt légitime, et que le destinataire puisse se désinscrire à tout moment. Cela ne signifie pas que tout est permis : une prospection B2B non sollicitée qui ne respecte pas ces conditions expose aux mêmes sanctions qu'une prospection B2C illégale.
La distinction ne vaut que pour la phase de démarchage initial. Une fois une relation commerciale établie, les règles convergent : consentement explicite, preuve de ce consentement, désinscription facile, effacement des données à la demande.
Le double opt-in, la preuve comme exigence pratique
Le RGPD n'impose pas formellement le double opt-in (la validation de l'inscription par un second clic dans un courriel de confirmation), mais il impose à l'entreprise de pouvoir prouver le consentement à tout moment. Cette preuve doit inclure la date de l'inscription, son contexte (URL du formulaire), son contenu (ce que l'utilisateur a coché) et son origine (adresse IP ou autre identifiant).
Dans cette optique, le double opt-in est la méthode la plus simple pour disposer d'une preuve solide. Le courriel de confirmation horodate l'accord, le lien de validation établit une traçabilité, et l'inscription n'est active qu'après action explicite du destinataire. Les inscriptions par des tiers, les faux abonnés ou les erreurs de saisie sont filtrées au passage.
La CNIL recommande fortement le double opt-in, sans l'exiger. En pratique, en cas de contrôle ou de plainte, une entreprise qui ne peut produire que des adresses collectées sans traçabilité se trouve dans une position défensive très inconfortable.
Les sanctions récentes, ce que la CNIL surveille vraiment
Le bilan 2024 de la CNIL fait état de 87 sanctions prononcées pour un montant total de 55,2 millions d'euros. En 2025, le volume a plus que doublé pour atteindre 486,8 millions d'euros, dont deux décisions majeures concernant Google (325 millions) et Shein (150 millions), toutes deux liées au consentement publicitaire et marketing.
Parmi les dossiers moins médiatisés, dix décisions ont visé spécifiquement la prospection commerciale. L'affaire FORIOU, sanctionnée de 310 000 euros en 2024, illustre ce que la CNIL reproche en pratique : une entreprise qui envoyait des courriels commerciaux à partir de bases clients revendues, sans consentement valide et sans information claire des destinataires sur la finalité et l'origine de leurs données.
Les griefs récurrents dans ces décisions sont toujours les mêmes : absence de preuve du consentement, cases pré-cochées, consentement dilué dans les conditions générales, mentions floues ou absentes sur la réutilisation des données à des fins de marketing, absence de lien de désabonnement fonctionnel, absence de réponse aux demandes d'accès ou de suppression.
Pour une TPE ou une PME, une sanction CNIL n'arrive pas par hasard ni par mauvaise chance. Elle arrive après un signalement, souvent par un destinataire qui a essayé de se désabonner sans succès, ou par un salarié ou ancien salarié qui a identifié une pratique non conforme. La conformité est à la fois une protection juridique et une hygiène relationnelle.
Le Canada : LCAP et Loi 25 au Québec
La Loi canadienne anti-pourriel (LCAP), en vigueur depuis 2014, est l'une des législations les plus strictes au monde en matière de prospection électronique. Le principe central est le consentement exprès : pour envoyer un message électronique commercial à un destinataire au Canada, l'expéditeur doit avoir obtenu un accord explicite, par écrit ou verbalement, avec preuve conservée.
Le consentement tacite existe dans des cas limités, notamment quand une relation d'affaires existante est établie (achat récent, contrat en cours, demande de renseignements dans les six derniers mois). Au-delà de ces cas, l'envoi sans consentement exprès est une infraction. Les sanctions peuvent atteindre 1 million de dollars canadiens pour une personne physique et 10 millions pour une organisation, par infraction. Les destinataires peuvent également engager un recours civil avec un plafond d'indemnisation de 200 dollars par contravention, jusqu'à un million par jour.
Chaque message commercial doit comporter une identification claire de l'expéditeur, ses coordonnées physiques, et un mécanisme d'exclusion gratuit et facilement accessible. La désinscription doit être effective dans un délai de dix jours ouvrables.
Au Québec, la Loi 25 (anciennement projet de loi 64) ajoute une couche supplémentaire sur la protection des renseignements personnels. Depuis son entrée en vigueur complète en septembre 2024, elle impose aux entreprises québécoises de désigner un responsable de la protection des données, de tenir un registre des traitements, d'obtenir un consentement granulaire pour chaque finalité, et d'informer la Commission d'accès à l'information en cas de fuite de données. Les sanctions peuvent atteindre 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu.
Pour une entreprise québécoise qui envoie des infolettres, la conformité combine donc LCAP fédérale (consentement, identification, désabonnement) et Loi 25 québécoise (granularité du consentement, registre, responsable de la protection). Les deux cadres se renforcent mutuellement.
Votre checklist de conformité
Auditer votre authentification DNS
Le premier réflexe est de vérifier l'état de vos trois enregistrements DNS. Plusieurs outils gratuits permettent de le faire en quelques secondes.
MXToolbox propose un Super Tool qui analyse SPF, DKIM et DMARC en saisissant simplement votre domaine. Mail-tester.com envoie un rapport complet sur un courriel envoyé à une adresse unique, avec un score sur 10 qui détaille chaque problème. Google propose sa propre vérification dans Postmaster Tools. DMARC Analyzer, EasyDMARC et Valimail proposent des services freemium avec collecte et analyse des rapports DMARC agrégés.
L'objectif de cet audit est simple : obtenir un SPF valide avec une politique stricte, un DKIM signé en 2048 bits avec alignement sur votre domaine, et un DMARC au moins en p=none avec une adresse de rapport valide. Si vous envoyez depuis plusieurs outils (Brevo pour les campagnes, Google Workspace pour les échanges internes, WooCommerce pour les transactionnels), tous doivent être inclus dans votre SPF et tous doivent signer en DKIM avec votre domaine.
Surveiller votre réputation avec Postmaster Tools
Gmail Postmaster Tools est gratuit, prend dix minutes à configurer (ajout d'un enregistrement DNS TXT pour prouver la propriété du domaine) et fournit des tableaux de bord quotidiens sur le taux de plainte, la réputation du domaine, la réputation de l'adresse IP, le statut d'authentification et les erreurs de livraison.
La configuration se fait à l'adresse gmail.com/postmaster. Une fois votre domaine validé, les données s'accumulent sur environ 72 heures. Le tableau de bord affiche l'évolution du taux de plainte en pourcentage par jour, avec une alerte visuelle au-dessus de 0,10 % et un seuil critique à 0,30 %. La réputation est classée en quatre niveaux : haute, moyenne, basse, mauvaise. Un domaine en réputation moyenne voit déjà ses courriels partiellement redirigés en spam.
Microsoft propose un outil équivalent via son Smart Network Data Services, accessible à l'adresse sendersupport.olc.protection.outlook.com/snds. Les données sont moins granulaires que celles de Google mais permettent d'identifier les adresses IP signalées comme problématiques. Yahoo ne propose pas d'outil public.
Activer le désabonnement en un clic côté technique
Vérifier que vos courriels comportent bien les deux en-têtes List-Unsubscribe et List-Unsubscribe-Post est rapide. Envoyez un courriel de test depuis votre plateforme d'envoi vers une adresse Gmail. Dans Gmail, ouvrez le message, cliquez sur le menu trois points en haut à droite, puis sur "Afficher l'original". Les en-têtes techniques s'affichent au début du document. Cherchez les lignes List-Unsubscribe: et List-Unsubscribe-Post:.
Si la seconde manque, votre plateforme n'a pas implémenté RFC 8058. Les principales plateformes du marché (Brevo, Mailchimp, Klaviyo, Cyberimpact, ActiveCampaign, Campaign Monitor, Constant Contact, MailerLite) l'ont fait. Les plugins WordPress d'infolettre (Newsletter, MailPoet, Fluent SMTP couplé à un service tiers) l'ont fait également, mais une configuration manuelle est parfois nécessaire.
Si vous utilisez un script maison ou une extension peu maintenue, la mise en conformité passe par l'ajout manuel des en-têtes et par la mise en place d'un point d'accès HTTPS qui accepte une requête POST et désinscrit le destinataire sans confirmation supplémentaire.
Documenter le consentement et l'historique
Ce quatrième volet est le plus négligé, parce qu'il ne produit pas de résultat visible tant qu'il n'est pas utile. Votre plateforme de courriel doit conserver, pour chaque abonné, la date d'inscription, l'URL du formulaire utilisé, le texte exact de la case de consentement, l'adresse IP de l'inscription et la date de confirmation (pour le double opt-in).
Ces données doivent rester accessibles pendant toute la durée de l'abonnement et pendant au moins trois ans après la désinscription, pour pouvoir répondre à une demande d'accès ou à un contrôle. Elles doivent également être exportables, pour fournir une preuve structurée en cas de litige.
La plupart des plateformes professionnelles le font par défaut. Vérifiez que le vôtre le fait et que l'historique n'est pas écrasé lors d'une modification de profil. Testez-le en exportant la fiche d'un contact et en vérifiant que toutes les informations nécessaires sont présentes.
La délivrabilité n'est plus une option
La période où l'on pouvait envoyer une infolettre à 2 000 contacts depuis une adresse Gmail gratuite sans se soucier de l'authentification ni de la preuve de consentement est terminée. Les trois messageries qui reçoivent l'essentiel du courriel personnel dans le monde francophone, Gmail, Yahoo et Outlook, appliquent désormais les mêmes exigences techniques. Les régulateurs français, européens et canadiens sanctionnent les manquements de plus en plus fréquemment et lourdement.
La bonne nouvelle est que la mise en conformité est une opération de quelques heures pour une TPE ou une PME. Configurer SPF, DKIM et DMARC ne demande que l'accès au DNS et un peu de méthode. Vérifier le désabonnement en un clic prend trente secondes. Activer Postmaster Tools prend dix minutes. Documenter le consentement revient à choisir une plateforme d'envoi sérieuse et à utiliser ses fonctionnalités par défaut.
Chez MtoM Création, nous auditons régulièrement les configurations de courriel de nos clients et constatons que la plupart des problèmes de délivrabilité se règlent en une demi-journée, à condition de savoir où regarder. Une infolettre qui n'arrive pas dans les boîtes de réception coûte bien plus cher que le temps nécessaire pour s'assurer qu'elle y arrive, en revenu manqué, en abonnés perdus et en confiance entamée auprès d'une audience qu'il a fallu des années à construire.
Publié le 24 avril 2026 · Par L'équipe MtoM
Questions fréquentes
Connectez-vous à Gmail Postmaster Tools avec votre compte Google et ajoutez votre domaine. Après 72 heures, si votre domaine envoie assez de courriel vers des adresses Gmail personnelles, les tableaux de bord commenceront à afficher des données. Si aucune donnée n'apparaît après une semaine, c'est que vous êtes sous le seuil des 5 000 messages par jour. Notez que le seuil est calculé sur les envois vers comptes Gmail personnels uniquement, pas sur vos envois totaux.
Partiellement. Gmail et Outlook grand public ne vous permettent pas d'envoyer en volume depuis leur interface, mais si vous utilisez un client SMTP tiers qui relaie via leur serveur, vous êtes soumis aux limites de volume et aux règles d'authentification. La solution propre pour une entreprise est d'utiliser un prestataire d'envoi dédié (Brevo, Mailchimp, Cyberimpact, Klaviyo) avec votre propre domaine. C'est la seule configuration où SPF, DKIM et DMARC sont réellement contrôlables de votre côté.
Aucune des deux législations ne l'impose formellement. Le RGPD français exige la preuve du consentement, ce que le double opt-in simplifie sans être la seule méthode acceptée. La LCAP canadienne exige un consentement exprès, également prouvable par d'autres moyens. Mais dans les faits, le double opt-in est la méthode la plus simple à documenter en cas de contrôle ou de plainte, et il filtre les inscriptions frauduleuses ou erronées. Nous le recommandons systématiquement.
Votre domaine perd son éligibilité aux programmes de délivrabilité de Google pendant au moins sept jours consécutifs, même après correction. Pendant cette période, vos courriels sont majoritairement redirigés en spam, voire rejetés pour les destinataires les plus sensibles. La reconquête d'une bonne réputation prend ensuite plusieurs semaines. Les causes les plus fréquentes de dépassement sont un ciblage trop large, l'envoi à des contacts inactifs depuis longtemps, ou un changement brusque de fréquence d'envoi perçu comme intrusif.
Pour la conformité avec les règles Gmail, Yahoo et Microsoft, `p=none` suffit. Passer en `p=quarantine` puis `p=reject` est recommandé pour se protéger contre l'usurpation de votre domaine par des spammeurs ou des attaques de phishing qui se font passer pour vous. La progression se fait par étapes sur plusieurs semaines, en lisant les rapports DMARC agrégés pour vérifier qu'aucun envoi légitime ne serait rejeté. Pour un domaine qui reçoit beaucoup de tentatives d'usurpation (marques connues, sites e-commerce), `p=reject` devient un impératif de sécurité.
Oui. En B2C, le consentement n'est pas permanent : un client qui a acheté il y a cinq ans et qui n'a plus d'interaction depuis n'est plus considéré comme ayant consenti activement à recevoir votre prospection. Le RGPD parle de consentement éclairé et révocable, ce qui implique un consentement qui reste vivant. Au Canada, la LCAP prévoit un consentement tacite limité à deux ans après une transaction commerciale complétée, et six mois après une simple demande de renseignements. Au-delà, sans action récente de la personne, la prospection doit reposer sur un consentement exprès renouvelé. Relancer les inactifs est légitime mais doit passer par une sollicitation de réengagement, pas par un envoi de promotion classique.
Vous avez un projet web?
Travaillons ensemble !
Nous sommes là pour vous accompagner dans la mise en place de votre projet web, de la première idée jusqu'à sa réalisation complète.
