Vous lancez votre première campagne d'emails à froid demain. 500 destinataires bien ciblés, un message personnalisé, une offre claire. Vous cliquez sur "envoyer" et… 60 % arrivent en spam. Votre message n'y est pour rien : votre domaine n'a pas les enregistrements DNS que Gmail, Outlook et Yahoo attendent pour distinguer un expéditeur légitime d'un usurpateur.
Trois enregistrements gouvernent la délivrabilité technique d'un domaine d'envoi : SPF, DKIM et DMARC. Sans eux, vos mails sont traités comme suspects par défaut. Bien configurés, ils sont la première condition pour que vos emails arrivent en boîte de réception. Ils ne suffisent pas à eux seuls, mais on ne peut pas s'en passer.
Le test en 30 secondes
Avant même de lire la suite : envoyez un email depuis votre domaine vers check-auth@verifier.gappssmtp.com ou vers votre propre compte Gmail. Ouvrez le message reçu → "Afficher l'original" → cherchez les lignes SPF: PASS, DKIM: PASS, DMARC: PASS. Trois PASS = vous pouvez envoyer. Un FAIL = lisez cet article avant de lancer votre campagne.
Pourquoi ces trois enregistrements existent
Le protocole SMTP de 1982 a un défaut originel : n'importe qui peut mettre n'importe quelle adresse dans le champ "expéditeur". Un spammeur peut écrire un mail "de la part de" leon@outsend.xyz sans jamais avoir touché le domaine outsend.xyz. Pour limiter l'usurpation, l'IETF a publié trois standards complémentaires : RFC 7208 (SPF) en 2014, RFC 6376 (DKIM) en 2011, RFC 7489 (DMARC) en 2015.
Chacun répond à une question précise du serveur de réception :
- SPF : "ce serveur a-t-il l'autorisation d'envoyer pour ce domaine ?"
- DKIM : "le message a-t-il été altéré entre l'expéditeur et moi ?"
- DMARC : "que fait le domaine si SPF ou DKIM échoue ?"
Depuis février 2024, Gmail et Yahoo exigent les trois pour tout expéditeur qui dépasse 5 000 messages par jour. Sous ce seuil, ils tolèrent l'absence de DMARC mais commencent à mettre en spam les domaines qui n'ont ni SPF ni DKIM. En prospection à froid, même 50 destinataires par jour suffisent à déclencher le filtre si votre domaine n'est pas signé.
SPF : l'enregistrement DNS qui autorise vos serveurs d'envoi
SPF (Sender Policy Framework) est un enregistrement TXT dans la zone DNS de votre domaine. Il liste les serveurs habilités à envoyer du courrier en votre nom. Si Gmail reçoit un mail prétendument envoyé par vous mais depuis un serveur absent de cette liste, il sait que c'est suspect.
Exemple d'enregistrement SPF pour un domaine qui envoie via Gmail Workspace et Brevo :
outsend.xyz. IN TXT "v=spf1 include:_spf.google.com include:spf.sendinblue.com -all"Décryptage :
v=spf1: version du protocoleinclude:_spf.google.com: autorise les serveurs Google Workspaceinclude:spf.sendinblue.com: autorise les serveurs Brevo (ex-Sendinblue)-all: rejette strictement tout serveur non listé (le tiret est essentiel :~allserait "soft fail", moins protecteur)
La limite officielle SPF est de 10 lookups DNS par enregistrement. Au-delà, Gmail considère l'enregistrement comme cassé et le traite comme inexistant. Si vous cumulez Mailgun + Brevo + Mailchimp + Salesforce + Office 365, vous dépassez cette limite. Une seule solution : "aplatir" le SPF avec un service comme EasyDMARC ou Dmarcian.
DKIM : la signature cryptographique de chaque message
DKIM (DomainKeys Identified Mail) signe cryptographiquement chaque email sortant avec une clé privée stockée sur votre serveur d'envoi. La clé publique correspondante est publiée dans votre zone DNS. Le serveur de réception lit l'en-tête DKIM-Signature du message, va chercher la clé publique correspondante sur votre DNS, et vérifie que la signature est valide.
Concrètement, l'en-tête DKIM ressemble à :
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
d=outsend.xyz; s=brevo1;
h=from:to:subject:date;
bh=base64hash; b=signature...Le champ s=brevo1 est le sélecteur. Le serveur de réception va chercher la clé publique à brevo1._domainkey.outsend.xyz. Si la clé est absente ou si la signature ne valide pas, DKIM échoue.
Chaque outil d'envoi a son propre sélecteur et sa propre clé. Si vous utilisez Brevo + Gmail Workspace, vous aurez deux enregistrements DKIM distincts à publier, un par fournisseur.
DMARC : la politique qui dit quoi faire en cas d'échec
DMARC (Domain-based Message Authentication, Reporting and Conformance) fixe la politique du domaine. Une fois SPF et DKIM publiés, DMARC indique au serveur de réception comment réagir si l'un ou l'autre échoue.
Trois politiques possibles :
p=none: observe, ne rejette rien. Idéal en phase d'apprentissage pour collecter des rapports.p=quarantine: met en spam les messages qui échouent l'alignement.p=reject: rejette purement et simplement, ils n'arrivent jamais.
Pour commencer en prospection à froid, on publie p=none pendant 2-4 semaines, on lit les rapports XML quotidiens envoyés par les fournisseurs, on corrige les fuites éventuelles, puis on passe à p=quarantine et finalement p=reject.
Exemple d'enregistrement DMARC pour outsend.xyz :
_dmarc.outsend.xyz. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@outsend.xyz; pct=100; adkim=s; aspf=s"Le rua=mailto: est l'adresse qui reçoit les rapports agrégés quotidiens. Sans rapports, vous ne savez pas ce qui se passe.
Les 3 cas de figure en prospection
| Configuration domaine | Conséquence en cold email |
|---|---|
| 0 enregistrement (domaine neuf, jamais configuré) | 50-70 % en spam dès le 50e message. Gmail rejette en masse. |
| SPF seul, DKIM absent | 10-30 % en spam. Yahoo refuse les volumes > 100/jour. |
| SPF + DKIM, DMARC absent | Délivrabilité acceptable mais vous recevez zéro feedback. Une erreur de configuration peut abîmer la réputation de votre domaine sans que vous le voyiez. |
| SPF + DKIM + DMARC (p=none puis quarantine) | Configuration de référence. Gmail, Yahoo et Outlook vous traitent comme un expéditeur fiable. |
Ce que regarde Gmail avant d'accepter votre message
Gmail applique en 2026 une grille de scoring qui combine plus de 100 signaux. Les trois enregistrements DNS ne sont qu'une partie de l'équation, mais ce sont les seuls qu'un envoyeur peut entièrement contrôler en amont. Les autres signaux dépendent du comportement des destinataires (taux d'ouverture, signalements spam, désabonnements) et de l'historique d'envoi du domaine.
L'ordre opérationnel de vérification côté Gmail :
- Le domaine de l'expéditeur a-t-il un SPF valide ? Le serveur d'envoi est-il listé ?
- Le message porte-t-il une signature DKIM ? La clé publique valide-t-elle ?
- SPF et DKIM s'alignent-ils avec le domaine visible dans le champ "From" ? (c'est l'alignement DMARC)
- Le domaine d'envoi a-t-il un historique de réputation positive ?
- Le contenu du message déclenche-t-il des règles anti-spam classiques ?
Si les trois premiers points échouent, le message est pénalisé avant même que le contenu soit analysé. La CNIL rappelle dans son guide de la prospection commerciale par courrier électronique les obligations légales (consentement préalable B2C, opt-out simple, identification claire de l'annonceur). La conformité technique de délivrabilité s'ajoute à ces obligations légales, sans s'y substituer.
Comment outsend vérifie un domaine avant envoi
Le module delivery_check d'outsend interroge la zone DNS publique d'un domaine et restitue en quelques secondes l'état des trois enregistrements, sans installation. Vous collez un domaine, vous recevez un rapport structuré :
- SPF : présent / absent, contenu textuel, nombre de lookups consommés, qualifier final (-all / ~all / ?all)
- DKIM : sélecteurs détectés sur les noms standards (default, google, brevo, mailgun, k1, etc.), algorithme, longueur de clé
- DMARC : présent / absent, politique (none / quarantine / reject), pourcentage appliqué, adresse de rapport agrégé
- Verdict global : prêt pour envoi volume / configuration partielle / à corriger avant toute campagne
Le check est passé en batch sur une liste de prospects pour qualifier les destinataires : un domaine cible qui n'a pas SPF/DKIM/DMARC accepte votre message plus facilement (pas de filtrage strict côté entrée), mais il signale aussi un destinataire moins bien équipé, ce qui est utile pour segmenter une campagne.
Aucun outil ne remplace la configuration manuelle dans votre zone DNS (chez OVH, Gandi, Cloudflare, Route 53). Le check d'outsend vous dit où vous en êtes et ce qui manque, pas où cliquer chez votre registrar.
FAQ
Combien de temps prend la propagation DNS ?
Entre 5 minutes et 48h selon le TTL configuré chez votre registrar. La plupart des fournisseurs DNS modernes (Cloudflare, Gandi) propagent en moins de 15 minutes. Vérifiez avec dig TXT outsend.xyz ou via un outil web type MXToolbox.
Faut-il un domaine dédié à la prospection ou je peux utiliser mon domaine principal ?
Domaine dédié recommandé pour les volumes > 500/jour. Un domaine de prospection grillé n'entraîne pas la réputation de votre domaine corporate. Pattern courant : outsend.xyz pour la marque, outsendmail.com ou get-outsend.com pour les campagnes à froid.
SPF avec ~all ou -all, lequel choisir ?
-all (hard fail) si vous maîtrisez tous vos envois et que vous voulez protéger votre domaine contre l'usurpation. ~all (soft fail) en phase d'apprentissage, le temps d'identifier toutes les sources légitimes. Évitez ?all qui ne sert à rien.
Que faire des rapports DMARC reçus en XML ?
Les lire avec un outil dédié : Dmarcian, EasyDMARC, MXToolbox proposent un parsing gratuit jusqu'à un certain volume. Ces rapports révèlent les serveurs qui envoient en votre nom sans autorisation (souvent : un outil oublié, un legacy CRM, parfois une vraie tentative d'usurpation).
Mon domaine est ancien mais sans authentification, que faire ?
Publier SPF + DKIM d'abord, attendre 7 jours, publier DMARC en p=none. Lire 4 semaines de rapports. Corriger les fuites détectées. Passer à p=quarantine avec pct=25 (quarantaine progressive de 25 % du trafic d'échec), puis monter à 100 %, puis passer à p=reject. Compter 6-8 semaines pour la séquence complète.
Outsend signe automatiquement mes emails de campagne ?
Non : outsend n'envoie pas vos campagnes, il ne signe donc rien à votre place. La signature DKIM est posée par l'outil qui envoie (Brevo, Lemlist, votre propre serveur), avec les enregistrements que vous publiez dans votre zone DNS. outsend intervient avant : il contrôle que SPF, DKIM et DMARC sont bien en place sur votre domaine.
Besoin d'une vue d'ensemble ? Consultez toutes les fonctionnalités OutSend.
outsend.xyz : plateforme française de scraping et prospection en alpha. Compte gratuit sur /inscription.