Emailing 2026: délivrabilité, SPF, DKIM, DMARC

Pourquoi la délivrabilité change en 2026: exigences Gmail & Yahoo

Depuis 2024, les principaux fournisseurs durcissent progressivement les règles pour les expéditeurs, avec une montée en puissance en 2025-2026. Trois axes: authentification obligatoire (SPF, DKIM, DMARC), seuils de plaintes bas (< 0,3% est une bonne cible) et gestion propre des désabonnements. Concrètement, cela veut dire que vous devez prouver l’authenticité de chaque email et protéger vos destinataires contre les abus.

Pour aller plus loin, consultez les recommandations officielles de Gmail pour les expéditeurs de masse et les exigences Yahoo pour les expéditeurs. Même si votre volume est modeste, alignez-vous sur ces standards: cela vous évite des surprises et alimente une meilleure réputation à long terme.

Les fondamentaux techniques d’authentification email

Les quatre couches à maîtriser: SPF, DKIM, DMARC et BIMI. Elles fonctionnent ensemble pour prouver l’origine, l’intégrité et l’alignement de vos messages. Voici l’essentiel, sans jargon inutile.

SPF: déclarer qui peut envoyer pour votre domaine

SPF (Sender Policy Framework) répertorie, dans un enregistrement DNS TXT, les serveurs autorisés à envoyer au nom de votre domaine. Les points clés:

• Syntaxe: v=spf1 include:service-mailer.com ip4:203.0.113.10 -all
• Limite de 10 recherches DNS: évitez d’empiler les include: inutiles.
• Un seul enregistrement SPF par domaine. Fusionnez les mécanismes si nécessaire.
• Terminez par -all (échec dur) lorsque la configuration est maîtrisée; ~all (échec mou) durant la phase de test.

Astuce Made2Com: dressez l’inventaire de tous vos points d’envoi (outil emailing, CRM, WordPress/WooCommerce, facture, support, etc.) avant d’éditer le SPF. Oublier une source crée des faux négatifs.

DKIM: signer vos messages

DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à l’en-tête de vos emails. Le serveur destinataire vérifie cette signature via une clé publique publiée en DNS. Les bonnes pratiques:

• Utilisez des clés 2048 bits lorsque possible.
• Nommez vos sélecteurs de façon explicite, par ex. selector2026.
• Assurez l’alignement du domaine DKIM avec le domaine visible dans l’adresse d’envoi (From:).
• Renouvelez vos clés périodiquement et supprimez les sélecteurs obsolètes.

DMARC: fixer la politique et recevoir des rapports

DMARC (Domain-based Message Authentication, Reporting & Conformance) orchestre SPF et DKIM. Il exige que l’un des deux réussisse et s’aligne avec le domaine de l’expéditeur. Il définit aussi quoi faire en cas d’échec et où envoyer les rapports.

• Enregistrement type: v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr; ruf=mailto:dmarc-forensics@votredomaine.fr; fo=1; adkim=s; aspf=s
• Politiques: p=none (observation), p=quarantine (quarantaine), p=reject (rejet). Ciblez p=reject une fois confiant.
• Alignements stricts: adkim=s, aspf=s renforcent la protection contre le spoofing.
• Sous-domaines: sp=quarantine ou sp=reject pour hériter d’une politique stricte.

Made2Com conseille une montée en puissance: 1) démarrer en p=none pour analyser, 2) passer à quarantine sur 50-100% (pct=), 3) basculer en reject quand les flux sont propres.

BIMI: afficher votre logo en boîte de réception

BIMI (Brand Indicators for Message Identification) permet d’afficher votre logo à côté de l’expéditeur, sous conditions: DMARC actif avec une politique quarantine ou reject, logo SVG Tiny P/S valide, et dans certains cas un certificat VMC. Au-delà de l’image de marque, BIMI renforce la confiance et améliore l’engagement.

Checklist BIMI:

• DMARC à p=quarantine ou p=reject
• Logo SVG Tiny P/S carré, fond transparent
• Enregistrement DNS: default._bimi.votredomaine.fr TXT "v=BIMI1; l=https://cdn.votredomaine.fr/logo-bimi.svg; a=https://votrecertificatVMC.pem"

Hygiène, réputation et engagement: la base qui protège votre délivrabilité

L’authentification ne suffira pas si vos pratiques d’envoi nuisent à votre réputation. 2026 accentue l’exigence d’hygiène de base: consentement, pertinence et nettoyage continu.

Hygiène de liste: consentement et ménage régulier

• Activez le double opt-in pour toute nouvelle liste.
• Rendez le désabonnement en 1 clic visible dans chaque message.
• Supprimez les adresses hard bounce immédiatement; mettez en quarantaine les soft bounces après 3 tentatives.
• Écartez les inactifs prolongés (par ex., 90-120 jours) ou passez-les sur un segment de réactivation dédié.

Engagement: cadence, contenu, segmentation

Plus vos messages sont attendus, plus les boîtes mail les favorisent. Travaillez la pertinence (segmenter par intérêts, récence d’achat), la cadence (éviter les pics soudains), et le contexte (objet clair, pré-header utile, appel à l’action unique). Suivez vos KPIs: taux d’ouverture, clics, spam rate, bounces, délivrabilité dossier principal vs promotions.

Infrastructure: signaux techniques qui comptent

• TLS: chiffrez les connexions SMTP.
• rDNS/PTR: le reverse DNS doit pointer vers un hostname cohérent.
• HELO/EHLO: nom d’hôte valide et stable.
• IP dédiée vs partagée: selon volume et profil; échauffez (warm-up) toute nouvelle IP/domaine progressivement.
• Surveillance des listes noires (RBL): corrigez la cause avant toute demande de retrait.

Protégez votre délivrabilité avant 2026

Audit express + mise en conformité SPF, DKIM, DMARC & BIMI pour votre domaine, avec monitoring et bonnes pratiques adaptées à votre activité.

Prendre RDV avec un expert

Implémenter SPF, DKIM, DMARC et BIMI: pas à pas

Voici un déroulé pragmatique pour sécuriser votre domaine. Travaillez en environnement de test si possible, puis basculez en production.

Étape 1 — SPF propre et unique

1. Faites l’inventaire des sources d’envoi (outil marketing, CRM, WordPress/WooCommerce, support, facturation).
2. Récupérez les mécanismes recommandés par chaque fournisseur (include:, ip4:, ip6:).
3. Fusionnez dans un seul TXT: v=spf1 include:mailerA.com include:mailerB.net ip4:203.0.113.10 -all.
4. Vérifiez que vous restez sous la limite de 10 requêtes DNS (incluant les includes).

Étape 2 — DKIM par source d’envoi

1. Générez des clés 2048 bits si l’émetteur le supporte.
2. Publiez la clé publique dans un enregistrement selector._domainkey.votredomaine.fr.
3. Activez la signature côté émetteur; envoyez un test et validez la signature.
4. Notez vos sélecteurs dans une documentation interne (date de création, service, contact).

Étape 3 — DMARC en mode observation

1. Créez _dmarc.votredomaine.fr avec: v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr; ruf=mailto:dmarc-forensics@votredomaine.fr; fo=1; adkim=s; aspf=s.
2. Analysez les rapports agrégés (RUA) pour repérer les sources qui échouent.
3. Corrigez SPF/DKIM jusqu’à obtenir >98% d’alignement.

Étape 4 — Durcir la politique DMARC

1. Passez à p=quarantine; pct=50 durant 2 à 4 semaines.
2. Surveillez les KPIs (plaintes, rebonds, réputation domaine/IP).
3. Basculez en p=reject; pct=100 lorsque tout est vert.

Étape 5 — Déployer BIMI

1. Créez un logo SVG Tiny P/S, format carré, fond transparent.
2. Hébergez-le en HTTPS public et stable.
3. Publiez default._bimi.votredomaine.fr TXT "v=BIMI1; l=https://cdn.votredomaine.fr/logo-bimi.svg; a=https://votrecertificatVMC.pem".
4. Vérifiez l’affichage sur les boîtes supportées; prévoyez un délai de propagation.

Cas d’usage WordPress & WooCommerce: emails marketing et transactionnels

Beaucoup d’indépendants et TPE s’appuient sur WordPress et WooCommerce. Deux catégories d’emails cohabitent: les marketing (newsletters, automation) et les transactionnels (commandes, réinitialisations de mot de passe, notifications). Ils ne doivent pas forcément partager la même infrastructure.

• SMTP dédié pour les transactionnels: fiabilisez l’envoi avec une authentification forte (TLS, login) et un domaine aligné.
• Sous-domaine dédié pour le marketing (par ex. mail.votredomaine.fr) pour isoler la réputation.
• Webhooks/bounces: captez les retours pour nettoyer automatiquement vos listes.
• Templates: privilégiez un HTML simple, léger et accessible; n’abusez pas des images.

Made2Com configure ces briques de bout en bout: DNS, SMTP/transactionnel, authentification, connexion à votre outil marketing et monitoring. Résultat: un socle technique propre qui protège vos ventes et vos communications.

Mesurer, comprendre, optimiser: KPIs et outils

Vous ne pouvez améliorer que ce que vous mesurez. Mettez en place un tableau de bord hebdomadaire avec ces indicateurs clés:

• Taux d’ouverture et de clics par segment
• Taux de rebond (hard/soft) et taux de spam
• Réputation de domaine et d’IP
• Répartition inbox/principal vs promotions/spam

Activez également les outils des fournisseurs: vérifiez votre domaine, ajoutez les enregistrements nécessaires et exploitez les rapports de réputation. Utilisez les données pour tester des améliorations ciblées: ajuster l’objet, alléger le HTML, réduire la fréquence pour les segments froids, renforcer l’opt-in.

Erreurs fréquentes qui ruinent la délivrabilité (et comment les réparer)

• Plusieurs enregistrements SPF: fusionnez tout dans un seul TXT.
• DKIM désaligné: alignez le domaine DKIM avec le From.
• DMARC sans politique: après observation, durcissez vers quarantine puis reject.
• Pas de lien de désabonnement clair: implémentez un-subscribe visible et fonctionnel.
• Envoyer à des inactifs: mettez en place des scénarios de réactivation; sinon, purgez.
• Changements brutaux de volume: échauffez toute nouvelle IP/domaine.

Plan d’action 90 jours: votre feuille de route 2026

Semaine 1–2: Audit & fondations

• Audit DNS: SPF unique, DKIM par source, DMARC en p=none.
• Cartographie des flux (marketing vs transactionnels), séparation par sous-domaine.
• Hygiène de base: double opt-in, lien de désabonnement en 1 clic, politique de bounces.

Semaine 3–6: Alignement & montée en charge

• Corriger les échecs d’alignement SPF/DKIM.
• Passage à p=quarantine avec pct=50, suivi des KPIs.
• Warm-up progressif si nouvelle IP/domaine.

Semaine 7–10: Durcissement & BIMI

• Basculer en p=reject; pct=100.
• Déployer BIMI (logo SVG + VMC si requis).
• Optimiser les segments et la cadence par engagement.

Semaine 11–12: Optimisation continue

• Tests A/B (objet, expéditeur, contenu, CTA).
• Nettoyage des inactifs et désabonnés, consolidation du reporting.
• Documentation interne et passage en routine de monitoring.

Et si on simplifiait? L’approche Made2Com

Notre mission: rendre la technique simple et fiable pour les indépendants, TPE et PME. En pratique, nous auditons votre domaine, corrigeons SPF/DKIM, mettons DMARC en observation puis en rejet, déployons BIMI, sécurisons WordPress/WooCommerce et mettons en place un tableau de bord de délivrabilité. Vous gardez la maîtrise; nous vous livrons une configuration documentée, mesurable et prête pour les exigences 2026.

Conclusion: la délivrabilité, un avantage concurrentiel

En 2026, la délivrabilité n’est pas qu’une contrainte: c’est un avantage. Les marques qui envoient moins mais mieux gagnent en confiance, en conversion et en valeur à vie client. Verrouillez vos fondamentaux (SPF, DKIM, DMARC, BIMI), entretenez une hygiène irréprochable et pilotez vos KPIs chaque semaine. Besoin d’un accompagnement rapide et clair? Made2Com aligne votre stack technique et vos pratiques marketing pour que chaque email compte.