Guide

Pourquoi tes e-mails finissent dans les spams, et comment y remédier avec trois enregistrements DNS

Les e-mails envoyés depuis ton propre domaine ont besoin de SPF, DKIM et DMARC pour être crus par les destinataires. Comment lire le résultat dans Gmail, ce que fait chaque enregistrement et comment les mettre en place pas à pas.

Dernière mise à jour: 17 octobre 2026

La réponse courte

Les e-mails envoyés depuis ton propre domaine ont besoin de trois enregistrements DNS pour que les serveurs de réception leur fassent confiance. SPF indique qui a le droit d’envoyer pour ton domaine. DKIM ajoute une signature qui montre que le message n’a pas été modifié en route. DMARC dit quoi faire quand ces contrôles échouent et t’envoie des rapports. Gmail et Yahoo les demandent tous les deux, et un enregistrement manquant ou erroné est une cause fréquente de messages filtrés ou refusés. Tu peux voir le résultat toi-même en une dizaine de minutes : envoie un test à une adresse Gmail, ouvre « Afficher l’original » et lis les lignes SPF, DKIM et DMARC.

Dans ce guide

Pour qui est ce guide

Tu envoies des e-mails depuis ton propre domaine : notifications du formulaire de contact, factures, une newsletter, ou une boîte chez un hébergeur ou chez Microsoft 365. Une partie arrive dans les spams, revient en erreur, ou quelqu’un te dit avoir reçu un message « de ta part » que tu n’as jamais envoyé. Ce guide montre comment lire ce que voit le destinataire et comment corriger les causes habituelles.

Tu n’as pas besoin de connaissances techniques pour faire le contrôle. Pour modifier les enregistrements DNS, il te faudra peut-être la personne qui gère ton domaine.

Ce que font les trois enregistrements

SPF est une liste, publiée dans ton DNS, des serveurs et services autorisés à envoyer du courrier pour ton domaine.
DKIM est une signature numérique. Ton service d’envoi signe chaque message et publie la clé correspondante dans ton DNS, de sorte que le destinataire peut vérifier que le message vient de ce domaine et n’a pas été modifié.
DMARC indique aux destinataires quoi faire quand SPF et DKIM ne correspondent pas à l’adresse de la ligne « De » (rien, quarantaine ou rejet), et où envoyer les rapports. Pour que DMARC réussisse, le domaine qui a réussi SPF ou DKIM doit être aligné avec le domaine de la ligne « De ».

Gmail demande à tout expéditeur d’avoir SPF ou DKIM. Les expéditeurs de gros volumes (Gmail cite environ 5 000 messages par jour) doivent avoir SPF, DKIM et DMARC, et une politique DMARC none est autorisée. Yahoo demande la même chose, recommande une adresse de rapports et une clé DKIM d’au moins 1024 bits (exigences Gmail pour les expéditeurs, bonnes pratiques Yahoo).

Comment savoir quelle cause s’applique

Envoie un message test depuis l’adresse que tu utilises vers une adresse Gmail qui t’appartient.
Ouvre-le, choisis les trois points puis Afficher l’original. En haut tu vois SPF, DKIM et DMARC, chacun avec PASS ou FAIL.
SPF échoue : le service qui a envoyé le message manque dans ton enregistrement SPF, ou ton domaine a plus d’un enregistrement SPF. La norme n’autorise qu’un seul enregistrement SPF par domaine (RFC 7208), et un contrôle SPF ne peut déclencher que 10 requêtes DNS au plus ; une longue chaîne d’entrées « include » peut donc aussi échouer.
DKIM échoue : la clé de signature n’a jamais été ajoutée à ton DNS, ou elle l’a été pour un autre domaine que celui de la ligne « De ».
DMARC manque ou n’est pas aligné : il n’y a pas d’enregistrement DMARC, ou le domaine « De » diffère du domaine qui a réussi SPF ou DKIM. C’est typique quand un outil de formulaire ou de facturation envoie en ton nom sans être configuré pour ton domaine.
Si Gmail rejette un message, le texte de retour contient un code qui nomme la cause : 4.7.27 SPF, 4.7.30 DKIM, 4.7.31 pas de DMARC, 4.7.32 pas aligné.

La solution, pas à pas

Liste tous les services qui envoient du courrier avec ton domaine. Fournisseur de messagerie, formulaire du site, facturation, newsletter, outil de réservation, support. Demande à ton équipe d’où elle envoie.
SPF. Publie un seul enregistrement TXT pour le domaine, qui inclut chaque service de ta liste. Chaque service documente l’entrée exacte à ajouter.
DKIM. Dans chaque service, active la signature pour ton domaine et ajoute à ton DNS la clé qu’il te donne.
DMARC. Commence par v=DMARC1; p=none; rua=mailto:rapports@ton-domaine en enregistrement TXT sur _dmarc.ton-domaine. Cela ne change rien à la livraison, tu reçois seulement des rapports.
Lis les rapports pendant deux à quatre semaines. Ils montrent qui envoie du courrier avec ton domaine. Corrige chaque expéditeur légitime qui échoue et note ceux que tu ne reconnais pas.
Durcis progressivement. Quand le courrier légitime passe, passe de none à quarantine, puis plus tard à reject si tu veux bloquer les messages usurpés. Ne le fais que lorsque les rapports sont propres.
Teste de nouveau après chaque changement et relis les trois lignes.

Utilise une boîte dédiée aux rapports, pas ta boîte de réception habituelle. Ils arrivent sous forme de nombreux fichiers lisibles par machine.

Un contrôle en dix minutes

Envoie un test à une adresse Gmail et ouvre Afficher l’original.
SPF, DKIM et DMARC indiquent-ils tous PASS ?
Y a-t-il exactement un enregistrement SPF sur ton domaine ?
Chaque service qui envoie en ton nom figure-t-il sur ta liste ?
Existe-t-il un enregistrement DMARC avec une adresse de rapports que tu lis vraiment ?

Quand demander de l’aide

Fais-toi aider si :

plusieurs services envoient avec ton domaine et les enregistrements se contredisent
les rapports montrent des expéditeurs que tu ne reconnais pas
tu veux passer à une politique plus stricte sans perdre de courrier légitime
tu as changé de fournisseur de messagerie et des messages disparaissent

Nous regardons tes enregistrements avec toi lors d’un appel vidéo gratuit de 30 minutes et nous te disons quoi changer : réserver un appel.