Délivrabilité des e-mails : SPF, DKIM et DMARC

Le paysage du marketing par e-mail a considérablement changé en février 2024. Google et Yahoo ont introduit des exigences obligatoires pour toute personne envoyant plus de 5 000 messages par jour à leurs utilisateurs. Ces règles ont été établies pour réduire le volume d’e-mails indésirables ou frauduleux qui encombrent les comptes des utilisateurs. Si un expéditeur ne respecte pas ces normes techniques, ses messages sont souvent rejetés immédiatement ou signalés comme suspects par le serveur de réception.

Ces mises à jour ne sont pas de simples suggestions ; ce sont des exigences techniques strictes. Un modèle courant dans les comptes à haut volume est une baisse soudaine des taux d’ouverture lorsque ces paramètres sont mal configurés. Dans un compte typique, l’accent est désormais mis sur trois protocoles d’authentification spécifiques : SPF, DKIM et DMARC. Sans eux, la probabilité d’atteindre la boîte de réception d’un utilisateur Gmail ou Yahoo est extrêmement faible. Les fournisseurs de messagerie utilisent ces enregistrements pour vérifier que l’expéditeur est bien celui qu’il prétend être.

Le Sender Policy Framework (SPF) est un enregistrement DNS qui spécifie quels serveurs de messagerie sont autorisés à envoyer des e-mails au nom de votre domaine. Considérez-le comme une liste d’invités pour une fête ; si un serveur ne figure pas sur la liste, l’agent de sécurité à la boîte de réception refusera probablement l’e-mail. Un enregistrement SPF standard est une entrée TXT dans vos paramètres DNS. Il commence généralement par v=spf1 et inclut les adresses IP ou les noms d’hôte de votre fournisseur de services de messagerie, tels que Mailchimp, Klaviyo ou Microsoft 365.

DKIM, ou DomainKeys Identified Mail, ajoute une couche de sécurité en attachant une signature numérique à chaque e-mail que vous envoyez. Cette signature est vérifiée à l’aide d’une clé publique située dans vos enregistrements DNS. Lorsque le serveur de réception reçoit l’e-mail, il utilise cette clé pour vérifier si le message a été altéré pendant le transit. Si la signature correspond au contenu, le serveur sait que l’e-mail est authentique. Dans une configuration typique pour une boutique Shopify, par exemple, la configuration de DKIM implique la copie de deux ou trois enregistrements CNAME fournis par la plateforme de marketing par e-mail dans le panneau du registraire de domaine.

DMARC signifie Domain-based Message Authentication, Reporting, and Conformance. Il agit comme un manuel d’instructions pour les fournisseurs de messagerie sur la marche à suivre si un e-mail échoue aux contrôles SPF ou DKIM. Avant DMARC, un serveur pouvait ne pas savoir s’il devait livrer ou bloquer un e-mail défaillant. Désormais, vous pouvez définir une politique qui indique au serveur de ne rien faire (p=none), de mettre l’e-mail en quarantaine (p=quarantine) ou de le rejeter complètement (p=reject).

Commencer avec une politique ‘none’ vous permet de recevoir des rapports sur qui envoie du courrier en utilisant votre domaine sans affecter la livraison. Cela est utile pour identifier les services tiers légitimes que vous avez peut-être oublié d’autoriser. Une fois que vous êtes sûr que toutes vos sources de courrier valides sont authentifiées, passer à une politique de ‘quarantaine’ ou de ‘rejet’ offre la meilleure protection contre l’usurpation d’identité. Cela aide à maintenir une réputation propre car cela empêche les acteurs malveillants d’utiliser votre nom de domaine pour des attaques de phishing.

La réputation est divisée en deux catégories : la réputation IP et la réputation de domaine. Les fournisseurs de messagerie suivent la façon dont les utilisateurs interagissent avec vos e-mails au fil du temps. Si les utilisateurs ouvrent fréquemment vos messages et cliquent sur des liens, votre réputation s’améliore. À l’inverse, si les utilisateurs ignorent vos e-mails ou les marquent comme spam, votre réputation en souffre. C’est pourquoi l’hygiène de la liste est une partie fondamentale d’une stratégie réussie.

La réputation de domaine est de plus en plus importante que la réputation IP. Cela signifie que même si vous changez de fournisseur de services de messagerie ou si vous passez à une nouvelle adresse IP, votre historique suit votre nom de domaine. Dans un scénario typique, une marque qui envoie du contenu pertinent à une audience engagée maintiendra un score de réputation élevé. Des plateformes comme Google Postmaster Tools fournissent un tableau de bord où vous pouvez voir votre réputation notée de ‘Mauvaise’ à ‘Élevée’. Viser une note ‘Élevée’ est nécessaire pour une livraison constante dans l’onglet principal.

Le seuil de 0,3 % est une limite spécifique fixée par Gmail. Si plus de trois destinataires sur 1 000 marquent votre e-mail comme spam, votre délivrabilité en souffrira probablement. Idéalement, vous devriez viser un taux de spam inférieur à 0,1 %. Lorsque le taux augmente, les filtres deviennent plus agressifs, et même vos abonnés les plus fidèles pourraient commencer à trouver vos newsletters dans leurs dossiers de courrier indésirable. Cette mesure est un reflet direct de la valeur que votre audience accorde à votre contenu.

Le suivi de ce taux nécessite l’utilisation d’outils fournis par les fournisseurs de messagerie. Comme Gmail n’envoie pas de boucles de rétroaction traditionnelles pour les plaintes de spam à la plupart des ESP, vous devez vérifier Google Postmaster Tools manuellement ou via API. De plus, des taux de spam élevés proviennent souvent de mauvaises pratiques d’acquisition, comme l’achat de listes ou le fait de ne pas utiliser un processus de double opt-in. Une liste propre de personnes qui veulent vraiment avoir de vos nouvelles est la meilleure défense contre les taux de plaintes élevés.

Pour évaluer votre situation actuelle, commencez par envoyer un e-mail de test à un service qui analyse vos en-têtes. Ces outils peuvent vous dire si vos enregistrements SPF, DKIM et DMARC passent la vérification. Vous devez également vérifier si votre IP d’envoi figure sur l’une des principales listes noires. Bien qu’être sur une liste noire mineure puisse ne pas arrêter tout le courrier, être sur une liste majeure comme Spamhaus entraînera des échecs de livraison importants.

Une autre étape consiste à examiner vos journaux de rebond. Les rebonds durs (hard bounces) se produisent lorsqu’une adresse e-mail est invalide ou n’existe pas. Ceux-ci doivent être supprimés immédiatement. Les rebonds souples (soft bounces) se produisent en raison de problèmes temporaires, comme une boîte de réception pleine ou un problème de serveur temporaire. Si une adresse rebondit souplement plusieurs fois, il est généralement préférable de la traiter comme un rebond dur et d’arrêter de lui envoyer des messages. Maintenir un faible taux de rebond est un signal aux fournisseurs que vous êtes un expéditeur responsable qui gère ses données avec soin.