6,7 % des emails commerciaux finissent dans le dossier spam au niveau mondial, pour un taux de placement inbox moyen de 84 % (Validity, 2025). Google et Yahoo rejettent depuis février 2024 tout email non authentifié à partir de 5 000 envois quotidiens vers des comptes personnels. Le seuil de plaintes toléré tombe à 0,3 % du volume envoyé sur la même période. Corriger l’authentification, la réputation du domaine, l’hygiène de la liste et le calibrage des envois avant d’incriminer le texte du message reste le chemin le plus direct vers l’inbox. Beaucoup de responsables emailing vivent la même situation : les campagnes finissent en spam sans raison visible, alors que le tableau de bord du SaaS d’envoi affiche des indicateurs au vert. La sender reputation, la réputation bâtie par le domaine auprès des FAI au fil des envois, ne se mesure pas au même endroit que les statistiques du SaaS d’emailing : Google Postmaster Tools et Microsoft SNDS voient autre chose.
Ce qui a changé dans les règles Gmail et Yahoo
Depuis février 2024, Google et Yahoo exigent une authentification SPF et DKIM active pour tout expéditeur de plus de 5 000 messages quotidiens vers des comptes personnels, associée à un enregistrement DMARC configuré au moins en p=none. Un lien de désabonnement en un clic, conforme à la RFC 8058, complète ces conditions. En novembre 2025, l’application de ces règles s’est durcie : les messages non conformes ne sont plus retardés le temps d’une correction, ils sont rejetés de manière permanente. Microsoft suit une logique voisine depuis mai 2025 sur Outlook et Hotmail : un domaine qui dépasse 5 000 messages quotidiens sans authentification complète reçoit un rejet SMTP 550 5.7.515, un code d’erreur bloquant plutôt qu’un simple classement en indésirables (support.microsoft.com, 2025).
Authentifier le domaine avec SPF, DKIM et DMARC
SPF liste les serveurs autorisés à envoyer pour le domaine ; DKIM signe chaque message avec une clé privée vérifiable par le destinataire. DMARC s’appuie sur ces 2 vérifications pour indiquer aux FAI la conduite à tenir quand l’une des deux échoue. La configuration DNS de SPF et de DKIM reste la base ; c’est DMARC qui transforme ces 2 signaux en politique appliquée, du simple rapport (p=none) jusqu’au rejet pur (p=reject). Un DMARC en p=reject sans phase d’observation préalable bloque aussi les messages légitimes mal alignés techniquement, par exemple ceux envoyés par un prestataire marketing jamais ajouté au SPF. La progression recommandée passe par p=none pendant 2 à 4 semaines de collecte de rapports agrégés, puis p=quarantine, avant d’atteindre p=reject une fois la configuration stabilisée. BIMI affiche le logo de la marque à côté du message dans certaines messageries. Il ne s’active qu’au-dessus d’un DMARC en quarantine ou reject, comme signal supplémentaire une fois l’authentification stabilisée.
Obtenir un consentement réel avant l’envoi (opt-in)
Un email envoyé à une adresse qui n’a jamais donné son accord se transforme vite en plainte, ce qui pèse directement contre le domaine. Le cadre légal impose de conserver la preuve du consentement : date de collecte et origine du formulaire. Le double opt-in ajoute une étape de confirmation par email qui filtre les adresses mal saisies et les faux formulaires, au prix d’une partie des inscrits qui ne confirment jamais. Les feedback loops mis en place par certains FAI transmettent directement chaque plainte à l’expéditeur : un volume de plaintes issu d’adresses jamais consentantes fait grimper le complaint rate plus vite qu’un contenu maladroit. Une liste achetée ou récupérée d’un ancien CRM porte quasi systématiquement une part d’adresses tombées en spam trap, ce qui déclenche un signal négatif indépendant du contenu envoyé.
Envoyer depuis un domaine dédié et réchauffé
Un domaine gratuit ou une adresse personnelle utilisée pour du volume commercial n’a aucun historique auprès des FAI. La sender reputation se construit sur un domaine et une IP dédiés, avec un IP warmup schedule progressif : quelques dizaines d’envois par jour la 1re semaine, une montée lente sur les suivantes, vers des destinataires déjà engagés en priorité. Un envoi brutal de plusieurs milliers de messages depuis un domaine tout juste créé ressemble, pour un filtre, au comportement d’un spammeur qui teste une nouvelle infrastructure. Un domaine partagé avec un IP pool mutualisé hérite aussi de la réputation des autres expéditeurs du même pool, un héritage qui ne se choisit pas. Les adresses catchall posent un problème voisin : elles acceptent tout message quelle que soit la boîte réelle visée, ce qui rend le hard bounce invisible jusqu’à ce que le destinataire signale lui-même le message en spam.
Rester sous les seuils de plaintes et de hard bounce
0,3 % de plaintes suffit à faire basculer un expéditeur du côté surveillé chez Google et Yahoo, avec une marge de sécurité recommandée sous 0,1 %. Le seuil critique de hard bounce se situe autour de 2 % du volume envoyé. Au-delà, la plupart des FAI considèrent la liste comme mal entretenue, quel que soit le soin apporté au contenu des messages.
Seulement 25 % des expéditeurs interrogés dans le Benchmark 2025 déclarent maintenir leur taux de plaintes sous le seuil recommandé de 0,1 % (Validity, 2025).
Le soft bounce, temporaire (boîte pleine, serveur momentanément indisponible), n’a pas le même poids que le hard bounce : il ne pénalise la réputation que s’il se répète sur la même adresse au fil de plusieurs envois consécutifs. Confondre les 2 types de bounce dans un seul indicateur global masque souvent la vraie source du problème, surtout quand le taux affiché par le tableau de bord ESP reste bas alors que le hard bounce isolé dépasse déjà 2 %.
Éviter le contenu qui déclenche les filtres
Les mots considérés comme spam trigger comptent moins depuis que les filtres s’appuient sur le machine learning plutôt que sur une liste figée de termes interdits. Certains déclencheurs restent pénalisants en 2025 et 2026 : majuscules en cascade, ponctuation multipliée, promesses de gain immédiat, mention répétée du mot gratuit. Le guide des mots à éviter reste un point de départ utile, moins comme liste noire absolue que comme indicateur du ton qui déclenche une inspection plus poussée. Un email composé d’une seule grande image sans texte autour reste un signal classique de contournement de filtre, une technique historiquement utilisée pour cacher du texte promotionnel derrière une image.
Limiter les pièces jointes et les liens à risque
Une pièce jointe exécutable ou une archive compressée suffit à faire basculer un message vers la quarantaine, même envoyée par un domaine parfaitement authentifié. Les filtres antivirus des FAI scannent chaque pièce jointe indépendamment du reste du message et appliquent leur propre verdict. Un lien raccourci via un service tiers inconnu du filtre produit le même effet, tout comme un lien qui redirige plusieurs fois avant d’atteindre sa destination finale : le filtre ne peut pas vérifier la réputation du domaine final avant de décider. Remplacer les pièces jointes par un lien direct vers un document hébergé retire ce signal. Remplacer les liens raccourcis par l’URL complète du domaine principal fait de même, sans rien changer au message lui-même.
Le tableau de bord de l’ESP ne voit pas ce que voit Gmail
Un ESP calcule ses propres statistiques à partir de ce qu’il observe sur son infrastructure d’envoi. Google Postmaster Tools et Microsoft SNDS calculent les leurs à partir de ce qui arrive réellement dans leurs boîtes. Les 2 mesures divergent dès qu’une partie du volume passe par une IP mutualisée ou qu’un sous-domaine diffère entre l’outil d’envoi et le domaine principal. Les écarts s’additionnent vite.
Vérifier dans cet ordre limite les fausses pistes avant d’incriminer le contenu du message :
- Le taux de plaintes et le taux de blocage relevés dans Google Postmaster Tools, sur le domaine vérifié plutôt que sur l’IP seule.
- Le hard bounce rate et le soft bounce rate remontés par l’ESP, en distinguant le NDR (Non-Delivery Report) et son Enhanced Status Code associé.
- Les rapports agrégés DMARC reçus sur l’adresse rua, qui signalent des messages légitimes mal alignés avant même d’atteindre le filtre anti-spam.
Ajouter un outil de plus à une pile qui en compte déjà plusieurs pour le warmup ou l’envoi semble coûteux face au bénéfice attendu. Aucun de ces outils ne vérifie individuellement chaque adresse avant l’envoi : ils mesurent une réputation globale une fois la campagne partie. Un contrôle de la liste avant le déclenchement agit sur la cause du hard bounce plutôt que sur sa conséquence. Un taux de hard bounce maintenu sous 1,5 % limite l’impact sur la réputation du domaine et améliore le placement inbox. Passer un échantillon de la liste au crible avant le prochain envoi reste la façon la plus rapide de savoir si le hard bounce va peser sur la réputation du domaine.
Ce que les filtres regardent déjà du côté du comportement
Gmail et Yahoo s’appuient sur des modèles qui évaluent le comportement des destinataires en temps réel : ouverture, suppression sans lecture, marquage manuel, temps passé sur le message avant action. Ces signaux comptent plus que les règles fixes appliquées au moment de l’envoi. Le prochain durcissement des seuils ne passera probablement pas par une annonce de politique produit : il se verra d’abord dans Google Postmaster Tools, avant que la documentation officielle ne le confirme.
