Exigences pour les expéditeurs Google et Yahoo : la checklist complète

En février 2024, Google et Yahoo ont transformé une longue liste de bonnes pratiques d'e-mailing en règles imposées. Ce qui n'était que des conseils — authentifiez votre courrier, facilitez la désinscription, n'envoyez pas de contenu indésirable — est devenu un ensemble d'exigences qui déterminent si vos messages sont acceptés, ralentis ou rejetés d'emblée. Si vous envoyez du courrier marketing ou transactionnel à un volume réel, voici désormais la checklist que vous devez respecter. En voici la version complète et à jour, en langage clair, avec les actions qu'exige chaque point.

La réponse en bref#

Les exigences de Google et Yahoo pour les expéditeurs se répartissent en trois catégories valables pour tout le monde, et un palier plus strict pour les expéditeurs en masse — quiconque envoie environ 5 000 messages ou plus par jour vers des adresses Gmail. Chaque expéditeur doit s'authentifier avec SPF ou DKIM, publier un DNS direct et inverse valide sur ses IP d'envoi, et transmettre en TLS. Les expéditeurs en masse doivent en outre utiliser SPF, DKIM et DMARC avec alignement, ajouter la désinscription en un clic au courrier marketing, et maintenir leur taux de plaintes pour spam sous 0,3 % tel que mesuré dans Google Postmaster Tools. Les deux fournisseurs ont annoncé des règles concordantes et ont commencé à les appliquer de concert. Le choix prudent est de traiter le palier des expéditeurs en masse comme la référence pour tout le monde, car les seuils ne font que se durcir avec le temps et il n'y a aucun inconvénient à les respecter tôt.

À qui cela s'applique#

Le seuil de l'expéditeur en masse se mesure par fournisseur, sur les adresses Gmail en particulier : envoyez environ 5 000 messages ou plus en une seule journée à des destinataires Gmail et vous êtes un expéditeur en masse aux yeux de Google, de façon permanente — la classification ne se réinitialise pas si vous repassez sous la barre le lendemain. Yahoo a défini le même palier pour Yahoo, AOL et ses autres domaines. Le décompte porte sur l'ensemble de votre domaine d'envoi, si bien que le courrier provenant des sous-domaines et des flux distincts (marketing, notifications produit, reçus) s'additionne.

La lecture pratique est plus simple que le calcul du seuil. Si vous gérez l'e-mailing d'une entreprise, d'une agence ou d'un produit en croissance, vous franchirez les 5 000 par jour vers un même fournisseur plus tôt que vous ne le pensez, et ces exigences sont toutes des choses qu'un expéditeur bien géré devrait faire de toute façon. Le reste de ce guide traite donc la liste complète des expéditeurs en masse comme le standard à atteindre. Sous le seuil, vous pouvez techniquement vous en tirer avec moins, mais « techniquement conforme » est un mauvais point de départ pour bâtir un programme d'envoi.

Les exigences en un coup d'œil#

1. Authentifier avec SPF, DKIM et DMARC#

L'authentification est le ticket d'entrée, et pour les expéditeurs en masse elle est non négociable sur les trois enregistrements. SPF, DKIM et DMARC sont des enregistrements DNS qui, ensemble, prouvent qu'un message provient réellement de votre domaine et n'a pas été falsifié en chemin. SPF liste les serveurs autorisés à envoyer pour votre domaine ; DKIM ajoute une signature cryptographique que le destinataire peut vérifier ; DMARC relie les deux à l'adresse « From » visible et indique aux fournisseurs quoi faire lorsqu'un message échoue.

Pour les expéditeurs ordinaires, Google et Yahoo exigent au moins l'un des deux, SPF ou DKIM. Pour les expéditeurs en masse, il vous faut les trois. L'échec le plus courant ici n'est pas un enregistrement manquant — c'est un enregistrement mal configuré : un enregistrement SPF qui n'inclut pas votre fournisseur de messagerie, une clé DKIM publiée sous le mauvais sélecteur, ou un enregistrement DMARC qui existe techniquement mais n'est pas aligné. Configurez chaque enregistrement avec soin — vous pouvez générer l'enregistrement SPF exact de votre fournisseur pour obtenir le bon mécanisme include: — puis confirmez-le sur un message réel avant de présumer qu'il passe.

2. Publier une politique DMARC, alignée, à partir de p=none#

DMARC est l'enregistrement qui rend SPF et DKIM applicables, et il comporte deux parties que les fournisseurs vérifient indépendamment : la politique et l'alignement. La politique — la valeur p= — indique aux destinataires quoi faire du courrier qui échoue : p=none se contente de surveiller et de faire des rapports, p=quarantine envoie les échecs en spam, et p=reject les refuse. L'exigence est qu'un enregistrement DMARC existe avec une politique d'au moins p=none. Vous n'êtes pas obligé d'appliquer dès le premier jour ; vous devez en revanche publier et surveiller.

L'alignement est la partie que les gens oublient. DMARC ne passe que lorsque le domaine qui s'est authentifié via SPF ou DKIM correspond au domaine figurant dans l'en-tête « From » visible. Un message peut passer le SPF brut et tout de même échouer au DMARC parce que le domaine de l'enveloppe ne correspond pas au domaine du From. Le guide pas à pas pour configurer DMARC parcourt la syntaxe de l'enregistrement, l'adresse de rapport rua et le chemin de p=none vers l'application. Commencez à p=none, lisez vos rapports agrégés jusqu'à ce que chaque flux de courrier légitime s'authentifie et s'aligne, puis resserrez vers quarantine et finalement reject. Le passage à l'application est le moment où DMARC commence réellement à bloquer les usurpateurs qui abusent de votre domaine — cela en vaut la peine, mais seulement après que la surveillance a confirmé que vous ne bloquerez pas votre propre courrier.

3. Ajouter la désinscription en un clic au courrier marketing#

Pour les expéditeurs en masse, les messages marketing et promotionnels doivent inclure une désinscription en un clic fonctionnelle — et « un clic » a ici un sens technique précis. Ce n'est pas simplement un lien de désinscription en pied de page. Cela requiert deux en-têtes : List-Unsubscribe, qui porte l'URL de désinscription, et List-Unsubscribe-Post, qui permet au client de messagerie de déclencher la désinscription en une seule action, sans que le destinataire ait à charger une page de destination ni à remplir un formulaire. Lorsque Gmail affiche son propre bouton « Se désabonner » à côté de votre nom d'expéditeur, ce sont ces en-têtes à l'œuvre.

Deux règles la régissent. La désinscription doit s'effectuer en un seul clic — sans connexion, sans page « choisissez vos préférences », sans étape de confirmation. Et vous devez traiter la demande sous deux jours. Le fonctionnement complet, y compris la manière d'ajouter les en-têtes si votre plateforme ne le fait pas automatiquement, se trouve dans le guide de la désinscription en un clic. De façon contre-intuitive, rendre le départ de votre liste trivialement facile est bon pour la délivrabilité : une désinscription est une sortie discrète, tandis que l'alternative — un destinataire qui clique sur « signaler comme spam » parce qu'il n'a pas trouvé la sortie — est le signal le plus dommageable que vous puissiez générer.

4. Maintenir votre taux de plaintes pour spam sous 0,3 %#

C'est l'exigence assortie d'un chiffre ferme, et c'est celle sur laquelle les expéditeurs trébuchent le plus souvent. Google mesure votre taux de plaintes pour spam dans Google Postmaster Tools : la part des messages remis que les destinataires marquent comme spam. La règle est de rester sous 0,3 %, et Google est explicite sur le fait que vous devez éviter d'atteindre 0,1 % — traitez 0,1 % comme le plafond de travail et 0,3 % comme la ligne où l'application mord. Franchissez-la et Gmail commence à ralentir votre courrier ou à le classer en spam jusqu'à ce que le taux se rétablisse.

Ce taux est impitoyable en raison de son mode de calcul. Un petit envoi mal ciblé vers un segment désengagé peut faire bondir le chiffre quotidien bien au-delà de 0,3 % même si votre moyenne à vie paraît correcte. Le guide du taux de plaintes pour spam explique comment ce chiffre est mesuré et les leviers qui le font bouger, et le guide plus large sur les raisons pour lesquelles les e-mails partent en spam montre où se situent ces plaintes parmi les autres causes. Les paramètres que vous contrôlez sont le consentement (n'écrire qu'aux gens qui l'ont demandé), la pertinence (segmenter plutôt qu'envoyer en masse) et la cadence (un envoi régulier et attendu plutôt que des rafales surprises). Vous ne pouvez pas gérer ce que vous n'observez pas, alors inscrivez-vous à Postmaster Tools et consultez le graphique du taux de spam après chaque envoi significatif.

5. Publier un DNS direct et inverse valide (enregistrements PTR)#

Chaque IP depuis laquelle vous envoyez doit avoir un enregistrement PTR — un DNS inverse qui associe l'IP à un nom d'hôte — et ce nom d'hôte doit résoudre en direct vers la même IP. Cette correspondance directe-et-inverse, parfois appelée DNS en boucle complète, est un contrôle de légitimité de base : les vrais serveurs de messagerie l'ont, l'infrastructure de spam jetable souvent non. Si vous envoyez via un fournisseur de messagerie établi, il a presque certainement déjà configuré cela sur ses IP partagées ou dédiées. Si vous exploitez votre propre serveur de messagerie ou utilisez une IP dédiée, c'est à vous de le configurer avec le fournisseur de l'IP, et c'est un oubli fréquent lors de la mise en place d'une nouvelle infrastructure d'envoi.

En plus de l'enregistrement PTR, la mise en forme de votre message doit être propre : un domaine d'envoi valide et résoluble, un message correctement formaté selon les normes de messagerie, et un en-tête « From » qui correspond au domaine que vous authentifiez. Rien de tout cela n'est exotique — c'est la différence entre un message qui semble provenir d'une véritable organisation et un message qui a l'air assemblé par un script.

6. Chiffrer la transmission avec le TLS#

Google et Yahoo exigent que le courrier soit transmis en TLS — Transport Layer Security — pour la connexion entre votre serveur d'envoi et le leur. Cela chiffre le message en transit afin qu'il ne puisse être lu ni altéré en chemin. En pratique, tout fournisseur de messagerie réputé négocie le TLS par défaut, si bien que pour la plupart des expéditeurs cette exigence est remplie sans aucune action. Si vous exploitez votre propre serveur de messagerie sortant, vérifiez qu'il propose STARTTLS et négocie avec succès une connexion chiffrée avec les grands fournisseurs. Le TLS concerne ici le saut de transport, et il est distinct des enregistrements d'authentification ci-dessus — il vous faut les deux.

7. Ne pas usurper l'en-tête From de Gmail#

Gmail applique désormais une règle anti-usurpation spécifique : vous ne pouvez pas envoyer de courrier en utilisant une adresse @gmail.com dans l'en-tête From, à moins que le message ne soit réellement envoyé via les systèmes de Google. Les marketeurs qui plaçaient autrefois une adresse Gmail personnelle dans le champ « From » de campagnes envoyées via une plateforme tierce se sont fait rattraper par cette règle — ces messages sont de plus en plus rejetés. La solution est simple et correcte : envoyez depuis votre propre domaine authentifié, et non depuis une adresse Gmail (ou Yahoo) gratuite dont vous ne contrôlez pas l'infrastructure. Votre adresse From devrait se trouver sur un domaine où vous avez publié SPF, DKIM et DMARC, ce qui est exactement là où vous la voulez pour l'authentification de toute façon.

8. N'envoyer que du courrier que les gens veulent vraiment#

Les exigences que Google publie se terminent par une règle qui se lit comme un principe mais qui est imposée à travers des métriques concrètes : n'envoyez qu'aux destinataires qui veulent votre courrier. C'est là que l'hygiène de liste rejoint la conformité. Deux signaux transforment le « courrier non désiré » en dégât de délivrabilité — les plaintes pour spam, que nous avons évoquées, et les rebonds durs. Écrire à des adresses mortes, mal saisies ou abandonnées fait grimper votre taux de rebond, et un taux de rebond élevé signale aux fournisseurs que vous ne savez pas qui figure sur votre liste. Pire, certaines de ces adresses mortes sont recyclées en spam traps — des adresses qui n'existent que pour piéger les expéditeurs à l'hygiène défaillante, et un tir dessus cause un tort réel et durable à votre réputation d'expéditeur.

La solution directe est la vérification : passez votre liste par une validation pour retirer la syntaxe invalide, les domaines morts et les boîtes non distribuables avant d'envoyer, et vérifiez les nouvelles adresses au moment de l'inscription afin que le courrier indésirable n'entre jamais en premier lieu. Chaque adresse que Qualisend vérifie revient avec un statut — distribuable, à risque, non distribuable ou inconnu — plus un code de motif et un score de confiance, de sorte que vous puissiez supprimer les adresses qui rebondiraient ou se plaindraient avant qu'elles n'atteignent jamais une boîte Gmail ou Yahoo. C'est l'exigence dans laquelle la plupart des expéditeurs sous-investissent, et c'est celle qui protège les deux métriques — plaintes et rebonds — que tout le cadre surveille.

Mettre la checklist en pratique#

Les exigences ne sont pas une configuration ponctuelle que l'on coche puis que l'on oublie. L'authentification et le DNS se configurent une fois, mais le taux de plaintes, le taux de rebond et la qualité de liste sont continus — ils dérivent dès que vous cessez de les surveiller. Un rythme opérationnel raisonnable : configurez SPF, DKIM, DMARC, PTR et TLS une fois et vérifiez-les ; ajoutez la désinscription en un clic à chaque modèle marketing ; inscrivez-vous à Google Postmaster Tools et à Microsoft SNDS ; et re-vérifiez votre liste avant les envois importants tout en validant en continu les nouvelles inscriptions. Si vous souhaitez le contexte plus large autour de ces règles — montée en charge, segmentation, réparation de réputation — le guide de la délivrabilité des e-mails couvre les leviers au-delà du minimum de conformité. Respectez la checklist et vous franchissez la porte ; faites le travail continu et vous méritez réellement la boîte de réception qui se trouve derrière.

Foire aux questions#

Les exigences de Google et Yahoo s'appliquent-elles à moi si j'envoie moins de 5 000 e-mails par jour ?#

Certaines s'appliquent à tout expéditeur, quel que soit le volume : vous avez besoin de SPF ou DKIM, d'un DNS direct et inverse valide, d'une transmission en TLS, et vous ne pouvez pas usurper une adresse d'expéditeur Gmail. Les règles plus strictes pour les expéditeurs en masse — les trois à la fois, SPF, DKIM et DMARC, plus la désinscription en un clic et le plafond de plaintes de 0,3 % — entrent formellement en vigueur à environ 5 000 messages par jour vers un seul fournisseur. Mais ce seuil ne concerne que l'application des règles ; les fournisseurs évaluent les mêmes signaux même pour les petits expéditeurs, donc l'approche prudente consiste à respecter la liste complète, quel que soit votre volume actuel.

Quelle est la limite du taux de plaintes pour spam, et comment est-elle mesurée ?#

Google exige des expéditeurs en masse qu'ils maintiennent leur taux de plaintes pour spam sous 0,3 % et vous met en garde contre le fait d'atteindre 0,1 %. Ce taux correspond à la part de vos messages remis que les destinataires marquent comme spam, mesurée dans Google Postmaster Tools, où vous devez inscrire votre domaine pour la consulter. Il est calculé de manière glissante, si bien qu'un seul envoi mal ciblé vers un segment désengagé peut faire bondir le chiffre quotidien au-delà de la limite même si votre moyenne à long terme est saine — c'est pourquoi le consentement, la segmentation et l'hygiène de liste comptent plus que n'importe quelle campagne isolée.

Un lien de désinscription en pied de page suffit-il à respecter l'exigence du un clic ?#

Non. L'exigence porte spécifiquement sur la désinscription en un clic acheminée via les en-têtes d'e-mail List-Unsubscribe et List-Unsubscribe-Post, qui permettent au client de messagerie de désinscrire le destinataire en une seule action, sans charger de page de destination. Un lien en pied de page reste une bonne pratique et vous devez le conserver, mais à lui seul il ne satisfait pas l'exigence d'en-tête pour le courrier marketing en masse. La désinscription doit aussi s'effectuer en un clic — sans connexion ni page de préférences — et être traitée sous deux jours.

Respecter ces exigences garantit-il que mon e-mail atteint la boîte de réception ?#

Non — les exigences sont une porte d'entrée, pas une garantie. Les respecter signifie que les fournisseurs accepteront et prendront en compte votre courrier ; elles ne déterminent pas le placement en boîte de réception. L'endroit où atterrit votre courrier reste déterminé par la réputation de l'expéditeur, l'engagement des destinataires, les taux de plaintes et de rebond, et la qualité de la liste. Un expéditeur parfaitement conforme mais doté d'une liste sale ou d'une mauvaise réputation finit tout de même en spam. Considérez la checklist comme le prix du billet d'entrée, puis faites le travail d'hygiène de liste et de réputation qui, lui, mérite réellement le placement.

Les exigences que Google et Yahoo appliquent le plus agressivement — de faibles plaintes et de faibles rebonds — se ramènent toutes deux à qui figure sur votre liste. Le plan gratuit exécute le pipeline de vérification complet sur 100 adresses pour que vous puissiez repérer les adresses mortes et à risque avant qu'elles ne vous coûtent cher, et le vérificateur d'e-mails gratuit détecte les fautes de frappe et les domaines morts directement dans le navigateur.