Comment un sous-domaine d'envoi d'e-mails protège votre réputation

Un sous-domaine d'envoi d'e-mails est un nom d'hôte dédié — quelque chose comme mail.example.com, news.example.com ou e.example.com — que vous utilisez pour envoyer du courrier en masse ou marketing plutôt que votre domaine racine. L'objectif est l'isolation : la réputation que vos campagnes bâtissent ou brûlent reste sur le sous-domaine, de sorte qu'un seul mauvais envoi n'entraîne pas la chute des e-mails d'entreprise et transactionnels qui partent de example.com lui-même. Ce guide explique quand un sous-domaine d'envoi vaut son coût, comment fonctionne réellement la séparation des réputations, comment l'authentifier avec SPF, DKIM et DMARC, et la seule mise en garde qui piège tout le monde : un sous-domaine flambant neuf part sans aucune réputation.

La réponse en bref#

Envoyez différents types de courrier depuis différents sous-domaines, et tenez votre domaine racine entièrement à l'écart de l'envoi en masse. Une organisation courante consiste en un sous-domaine transactionnel, un sous-domaine marketing et — si vous en faites — un sous-domaine distinct pour la prospection à froid. Chaque sous-domaine porte sa propre réputation d'expéditeur, de sorte qu'un pic de plaintes pour spam sur le flux marketing n'entraîne pas vos réinitialisations de mot de passe et vos reçus dans le dossier spam. L'authentification se fait par nom d'hôte pour le SPF et le DKIM, mais peut être gérée de manière centralisée grâce à la balise sp= du DMARC. La contrepartie : tout nouveau sous-domaine doit être chauffé progressivement avant de pouvoir envoyer à grand volume, car pour un fournisseur de messagerie, c'est un inconnu.

Pourquoi utiliser un sous-domaine d'envoi d'e-mails dédié#

L'argument en faveur d'un sous-domaine d'envoi se résume au rayon d'impact. Les fournisseurs de messagerie construisent un profil de réputation pour le domaine figurant dans votre adresse « From » visible, et ce profil est l'un des principaux facteurs déterminant si votre courrier arrive dans la boîte de réception ou dans les spams. Si tout ce que vous envoyez — reçus transactionnels, prospection commerciale et une newsletter à 200 000 destinataires — part de example.com, alors ces flux partagent une seule réputation. Le taux de plaintes de la newsletter, les rebonds de la campagne à froid et l'engagement quasi parfait des reçus sont tous fondus en un seul score.

Ce mélange convient tant que ce n'est pas le cas. Dès qu'un flux se comporte mal — une liste que vous n'avez pas nettoyée, un envoi de réengagement vers des contacts dormants, une campagne compromise — les dégâts touchent chaque message de ce domaine. Vos clients cessent de recevoir leurs confirmations de commande parce que votre équipe marketing a écrit à une liste obsolète. Isoler le courrier risqué à grand volume sur son propre sous-domaine circonscrit les retombées : si news.example.com est throttlé, example.com et votre flux transactionnel continuent de circuler.

La protection joue dans les deux sens. Le courrier d'entreprise depuis votre domaine racine — les réponses individuelles, les factures, les contrats — est à faible volume et à haute confiance, et vous ne voulez pas qu'un faux pas marketing le mette en danger. De même, vous ne voulez pas que vos envois en masse soient jugés par rapport à un domaine racine qui n'a aucun antécédent d'envoi en masse. Séparer les flux permet à chacun de bâtir la réputation adaptée à la façon dont il est réellement utilisé.

Comment fonctionne réellement la séparation des réputations#

Les fournisseurs évaluent la réputation à plusieurs niveaux : l'IP d'envoi, le domaine de signature/d'envoi et le domaine organisationnel plus large. Un sous-domaine vous donne une identité de domaine d'envoi distincte, si bien que news.example.com accumule son propre historique de volume, d'engagement, de plaintes et de captures par spam-trap, largement séparé de example.com.

« Largement » est le mot honnête ici. Un sous-domaine n'est pas une identité hermétiquement scellée. Les fournisseurs associent toujours un sous-domaine à son parent dans une certaine mesure — un domaine dont la réputation racine est véritablement toxique ne sera pas entièrement sauvé par la création d'un sous-domaine tout neuf, et c'est voulu par conception, pour empêcher les spammeurs de frapper sans fin des noms d'hôte à l'allure propre sous un domaine grillé. Ce qu'un sous-domaine vous procure de manière fiable, c'est une surface de réputation distincte pour des flux bien gérés qui seraient autrement entraînés vers le bas par un flux plus bruyant sous le même toit. Considérez-le comme une isolation solide, pas comme un pare-feu.

Parce que la réputation est ancrée au domaine « From » que vos destinataires voient, le sous-domaine n'isole la réputation que si vous envoyez réellement depuis lui — l'adresse From: visible doit être quelquechose@news.example.com, et non quelquechose@example.com avec le sous-domaine enfoui dans le return-path. Si le domaine From reste le domaine racine, c'est toujours le domaine racine qui gagne la réputation.

Une organisation de sous-domaines qui passe à l'échelle#

Il n'existe pas de schéma unique correct, mais le modèle durable consiste à séparer par type de courrier, car les différents types présentent des profils de risque et d'engagement fondamentalement différents :

• Transactionnel (t.example.com ou similaire) — reçus, réinitialisations de mot de passe, avis d'expédition. Déclenchés par une action de l'utilisateur, ouverts presque universellement, et faisant l'objet de plaintes presque jamais. Ce flux mérite sa propre réputation immaculée et ne devrait jamais partager un sous-domaine avec le marketing.
• Marketing (news.example.com, mail.example.com) — newsletters, promotions, annonces de produits. Volume plus élevé, engagement plus faible et plus variable, quelques plaintes occasionnelles. C'est le flux qu'il vaut le plus la peine d'isoler.
• Prospection à froid (un sous-domaine distinct, ou mieux, un domaine entièrement distinct) — la catégorie la plus risquée de loin. Le courrier à froid attire les plaintes et les captures par spam-trap, et de nombreux expéditeurs le gardent délibérément à l'écart de leur domaine de marque principal, afin qu'une réputation de prospection grillée ne puisse pas toucher le courrier dont leur activité dépend.

La règle importante est que le transactionnel et le marketing ne partagent jamais de réputation. Si vous ne faites rien d'autre, séparez ces deux-là. Garder chaque flux sur son propre sous-domaine facilite aussi grandement le diagnostic : lorsque le placement chute, votre monitoring pointe vers un seul nom d'hôte au lieu de vous forcer à démêler lequel de plusieurs flux mélangés en est la cause. Cela se marie naturellement avec le fait de garder chaque liste propre — voir comment nettoyer une liste d'e-mails — puisque l'isolation limite les dégâts, mais c'est l'hygiène qui les prévient.

Authentifier un sous-domaine d'envoi#

Chaque sous-domaine d'envoi a besoin de la pile d'authentification complète — SPF, DKIM et DMARC — tout comme un domaine racine. Le piège qui fait trébucher les gens, c'est que ces enregistrements se comportent différemment en matière d'héritage. Pour les concepts derrière chaque enregistrement, voir l' explication SPF, DKIM et DMARC ; ce qui suit décrit comment ils s'appliquent spécifiquement aux sous-domaines.

Le SPF n'est pas hérité. Un sous-domaine n'utilise pas l'enregistrement SPF de son parent. Si example.com publie un enregistrement SPF et que mail.example.com n'en publie aucun, le sous-domaine n'a aucune politique SPF — l'enregistrement du parent ne s'applique pas. Vous devez publier un enregistrement TXT SPF distinct sur le sous-domaine, répertoriant le service qui envoie son courrier :

mail.example.com.  TXT  "v=spf1 include:sendgrid.net ~all"

Le DKIM est publié sous le sous-domaine. Votre plateforme d'envoi vous donne un sélecteur, et la clé publique réside à ce sélecteur sous le nom d'hôte d'envoi. Pour le courrier depuis mail.example.com, l'enregistrement DKIM se trouve par exemple à :

s1._domainkey.mail.example.com.  TXT  "v=DKIM1; k=rsa; p=MIGfMA0G..."

Signez avec d=mail.example.com afin que le domaine de signature corresponde au domaine From et que le message reste aligné DKIM.

Le DMARC peut être hérité — et c'est là que ça devient utile. Lorsqu'un destinataire vérifie le DMARC pour un courrier depuis mail.example.com, il cherche d'abord un enregistrement à _dmarc.mail.example.com. S'il n'en existe aucun, il se rabat sur l'enregistrement du domaine organisationnel à _dmarc.example.com et applique la politique des sous-domaines issue de la balise sp= si elle est présente, sinon la politique principale p=. Ainsi, un seul enregistrement au niveau du domaine organisationnel peut régir tous les sous-domaines d'un coup :

_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Ici, p=reject couvre example.com lui-même et sp=reject couvre chaque sous-domaine dépourvu de son propre enregistrement. Si vous voulez qu'un sous-domaine applique une politique différente — par exemple, maintenir un sous-domaine d'envoi tout juste lancé à p=none pour la surveillance pendant que le domaine racine reste à reject — publiez un enregistrement DMARC dédié sur ce sous-domaine, qui remplace le sp= hérité :

_dmarc.mail.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Un dernier point sur l'alignement. L'alignement relâché (la valeur par défaut du DMARC) traite un sous-domaine et son parent comme le même domaine organisationnel, si bien qu'un DKIM signé comme d=mail.example.com s'aligne toujours avec un From: de example.com. Mais puisque la raison même du sous-domaine est d'envoyer en tant que sous-domaine, gardez le domaine From, le d= du DKIM et le return-path tous sur le même nom d'hôte — de cette façon, vous êtes aligné selon les règles relâchées comme strictes, et la réputation atterrit exactement là où vous le souhaitez. Si vous n'appliquez pas déjà le DMARC en mode enforcement, configurez le DMARC d'abord au niveau du domaine organisationnel et laissez sp= étendre la politique à vos nouveaux sous-domaines d'envoi.

La mise en garde du warm-up que personne ne saute#

Un sous-domaine d'envoi flambant neuf n'a aucun historique d'envoi, ce qui signifie qu'il n'a pas de réputation — et l'absence de réputation, du point de vue d'un fournisseur de messagerie, est plus proche du mauvais que du bon. Pointez une grosse campagne vers un sous-domaine froid dès le premier jour et vous vous exposez au throttling, au classement en masse dans un dossier ou à des blocages purs et simples, précisément parce qu'un afflux soudain depuis un nom d'hôte inconnu ressemble à une opération de spam.

Un nouveau sous-domaine doit donc être chauffé progressivement : commencez par un faible volume quotidien vers vos destinataires les plus engagés et récemment actifs, et montez progressivement en charge sur plusieurs semaines à mesure que le sous-domaine se forge un bon antécédent. Envoyer à des personnes qui ouvrent et cliquent enseigne aux fournisseurs que le sous-domaine est digne de confiance ; envoyer à une liste obsolète leur enseigne le contraire, et sur un sous-domaine tout neuf, il n'y a aucune bienveillance accumulée pour absorber l'erreur. C'est aussi pourquoi vous planifiez une migration de sous-domaine avant d'en avoir besoin — basculer tout votre volume vers un nouveau sous-domaine du jour au lendemain gaspille la piste d'envol du warm-up et peut plomber le placement pendant des semaines.

Le coût du warm-up est réel, mais c'est un investissement ponctuel, et c'est exactement pourquoi l' isolation en vaut la peine : une fois que chaque sous-domaine a sa propre réputation établie, ils échouent indépendamment. Si vous envisagez un passage à un sous-domaine dans le cadre d'une correction plus large du placement en boîte de réception, le guide de délivrabilité des e-mails explique où il s'inscrit parmi les autres leviers, et les exigences pour expéditeurs de Google et Yahoo détaillent les seuils d'authentification et de taux de plaintes que chaque nom d'hôte d'envoi doit désormais franchir.

Foire aux questions#

Dois-je envoyer mes e-mails marketing depuis un sous-domaine ou depuis mon domaine principal ?#

Depuis un sous-domaine, dans presque tous les cas. Envoyer du marketing en masse depuis votre domaine racine signifie qu'une mauvaise campagne — une liste obsolète, un pic de plaintes — nuit à la réputation de vos e-mails transactionnels et d'entreprise aussi, puisqu'ils partagent le même domaine « From ». Un sous-domaine dédié comme news.example.com isole ce risque, de sorte qu'un faux pas marketing ne puisse pas envoyer vos reçus et vos réinitialisations de mot de passe dans les spams. Le seul coût est de chauffer le sous-domaine avant d'envoyer à grand volume.

Les sous-domaines héritent-ils du SPF et du DKIM du domaine racine ?#

Non. Le SPF et le DKIM ne sont pas hérités — un sous-domaine sans enregistrement SPF n'a aucune politique SPF, quel que soit ce que publie le parent, et les clés DKIM doivent être publiées sous le nom d'hôte d'envoi (par exemple selector._domainkey.mail.example.com). Le DMARC fait exception : si un sous-domaine n'a pas son propre enregistrement _dmarc, les destinataires appliquent la politique du domaine organisationnel, en utilisant la balise sp= (politique des sous-domaines) si elle est définie.

Qu'est-ce que la balise DMARC sp et quand faut-il l'utiliser ?#

La balise sp= dans l'enregistrement DMARC de votre domaine organisationnel définit la politique appliquée aux sous-domaines qui ne publient pas leur propre enregistrement DMARC. Par exemple, v=DMARC1; p=reject; sp=reject applique reject à la fois au domaine racine et à tous ses sous-domaines à partir d'un seul enregistrement. Utilisez-la pour étendre une politique stricte à chaque sous-domaine d'envoi automatiquement, et ne publiez un enregistrement _dmarc dédié sur un sous-domaine particulier que lorsque vous avez besoin qu'il applique une politique différente — par exemple maintenir un sous-domaine tout juste lancé à p=none pendant sa montée en charge.

Un nouveau sous-domaine d'envoi doit-il être chauffé progressivement ?#

Oui. Un nouveau sous-domaine n'a aucun historique d'envoi, et pour un fournisseur de messagerie, cette page blanche est traitée avec méfiance plutôt qu'avec confiance. Y envoyer un gros volume immédiatement invite au throttling ou au placement en spam. Chauffez-le en commençant par un faible volume vers vos destinataires les plus engagés et en montant progressivement en charge sur plusieurs semaines, afin de laisser le sous-domaine bâtir une réputation positive avant qu'il ne porte l'intégralité de votre charge d'envoi.

Un sous-domaine d'envoi circonscrit les dégâts d'un mauvais envoi, mais il ne peut pas annuler le mauvais envoi lui-même — cela dépend toujours de qui figure sur votre liste. Passez votre liste au crible du vérificateur d'e-mails gratuit pour éliminer les adresses mortes, les fautes de frappe et les spam-traps avant qu'elles n'atteignent le moindre sous-domaine, afin que la réputation que chacun bâtit soit propre dès la première campagne.