Pourquoi une confirmation de commande que le client attend finit-elle quand même dans le dossier spam ? Parce que Gmail et Yahoo jugent le domaine d’envoi sur son authentification et son taux de plaintes. Les emails transactionnels (confirmation de commande, réinitialisation de mot de passe, facture) envoyés automatiquement après une action de l’utilisateur n’ont aucun passe-droit : un domaine non authentifié ou un taux de spam proche de 0,30 % dans Postmaster Tools les expose au dossier spam. Google demande de rester sous 0,10 %. Ce guide liste les réglages à vérifier, avec les seuils publiés par Google et Yahoo, relus en octobre 2026.
Pourquoi un email attendu atterrit-il en spam ?
Un reset de mot de passe passe par les mêmes filtres qu’une promotion : ils pèsent l’authentification du domaine, l’historique de l’IP, le volume de plaintes et le taux de rebond. On retrouve 4 causes. Le domaine n’est pas authentifié. Les envois marketing et transactionnels partagent la même réputation, si bien qu’une campagne mal ciblée pénalise les confirmations de commande. Les formulaires acceptent des adresses fausses ou mal saisies : chaque inscription fautive produit un hard bounce. Enfin le volume varie brutalement d’un jour à l’autre, typiquement lors du Black Friday.
Les sections suivantes suivent l’ordre dans lequel on règle ces causes. Le contenu du mail (objet, mise en page) a son propre article : les 5 pratiques indispensables des emails transactionnels.
Ce que Gmail et Yahoo exigent depuis 2024
Depuis le 1er février 2024, tout expéditeur vers Gmail doit authentifier son domaine avec SPF ou DKIM, publier un enregistrement PTR valide (DNS inverse), chiffrer l’envoi en TLS et garder son taux de spam sous 0,3 % dans Postmaster Tools. Au-delà de 5 000 messages par jour vers des comptes Gmail personnels, SPF, DKIM et DMARC deviennent tous les trois obligatoires, avec un domaine de l’en-tête From aligné sur le domaine SPF ou DKIM. Les messages doivent aussi respecter le format de la RFC 5322. La politique DMARC peut rester à p=none.
D’après la FAQ des consignes Google, les 5 000 messages se comptent par domaine principal : 2 500 envois depuis exemple.com et 2 500 depuis promo.exemple.com comptent ensemble pour 5 000. Google compte tous les messages d’un même domaine principal, transactionnels compris. Un sous-domaine séparé isole la réputation de chaque flux sans retirer l’obligation DMARC.
« Maintenez les taux de spam indiqués dans Postmaster Tools en dessous de 0,10 % et évitez d’atteindre un taux de spam de 0,30 % ou plus. » (consignes pour les expéditeurs Google)
Yahoo fixe la même limite de 0,3 % depuis février 2024 et recommande vivement une balise rua dans l’enregistrement DMARC pour recevoir les rapports (Yahoo Sender Hub). Le Complaint Feedback Loop de Yahoo permet de suivre les plaintes une fois DKIM en place.
SPF, DKIM, DMARC : les 3 enregistrements DNS à publier
Ces 3 protocoles se publient en TXT dans le DNS et sont normalisés par les RFC 7208 (SPF), RFC 6376 (DKIM) et RFC 7489 (DMARC). SPF liste les serveurs autorisés à envoyer pour votre domaine. DKIM signe chaque message avec une clé que le destinataire vérifie dans le DNS. DMARC dit quoi faire quand les deux échouent et où envoyer les rapports.
Chez votre hébergeur DNS, créez un TXT sur _dmarc.votredomaine.fr avec la valeur v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr et un TTL de 3600 secondes. Vérifiez la publication avec dig TXT _dmarc.votredomaine.fr. Laissez tourner 14 à 28 jours, lisez les rapports agrégés, puis passez à quarantine quand toutes vos sources légitimes passent. Un passage direct à reject coupe un outil oublié (CRM ou facturation) sans prévenir.
Un piège de terrain : chaque outil d’envoi ajoute son include au SPF. La RFC 7208 plafonne à 10 les résolutions DNS d’une évaluation, include imbriqués compris. Au-delà, le SPF renvoie une erreur permanente et le contrôle échoue.
Sous-domaine séparé, IP dédiée ou IP partagée
Prenez un sous-domaine séparé dans tous les cas. Une IP dédiée ne vaut que si vos envois sont réguliers. Séparez les flux dès le départ : notifications.votredomaine.fr pour les transactionnels et news.votredomaine.fr pour le marketing. Contrôlez ensuite le PTR de l’IP avec l’outil Dig de Google Admin Toolbox. Yahoo déconseille d’envoyer le marketing depuis les mêmes IP que le transactionnel, car chaque IP a sa propre réputation.
| Critère | Transactionnel | Marketing |
|---|---|---|
| Déclencheur | Action de l’utilisateur (commande, inscription, mot de passe oublié) | Décision de l’expéditeur (newsletter, promotion) |
| Domaine d’envoi conseillé | notifications.votredomaine.fr | news.votredomaine.fr |
| Désinscription en un clic (RFC 8058) | Exclue de l’obligation Gmail | Exigée pour les expéditeurs en masse |
| Décompte des 5 000 messages Gmail | Compté par domaine principal | Compté par domaine principal |
| IP | Dédiée si le volume est régulier, sinon IP pool mutualisé d’un fournisseur réputé | Séparée de l’IP transactionnelle |
| Conséquence d’un blocage | Clients sans lien de réinitialisation ni facture | Campagne perdue |
Avec quelques centaines de messages par jour et des pauses le week-end, l’historique d’une IP dédiée reste maigre : un pool mutualisé et bien géré par un fournisseur d’envoi sérieux donne alors en général de meilleurs résultats. Évitez aussi l’adresse de la boîte de l’entreprise comme expéditeur applicatif, ainsi que les adresses « noreply » sans suivi. Google demande par ailleurs de ne pas usurper les en-têtes From de Gmail : un envoi applicatif avec une adresse en gmail.com y contrevient.
Réchauffer une IP dédiée sans se faire limiter
Google demande de commencer par un faible volume vers des destinataires engagés, de l’augmenter progressivement sans doubler du jour au lendemain, puis de surveiller les réponses du serveur et le taux de spam. Gmail renvoie le code SMTP 4.7.28 quand il détecte un taux inhabituel de courrier non sollicité venant de l’IP : réduisez le volume au lieu de relancer en boucle.
Un conseil d’usage pour un flux transactionnel : routez d’abord les mails les plus attendus (confirmation de commande, lien de connexion) sur la nouvelle IP, puis ajoutez les notifications secondaires par paliers. Le IP warm-up d’une IP dédiée prend en général plusieurs semaines, avec des paliers quotidiens que Google Postmaster Tools permet de contrôler.
Désinscription en un clic : les transactionnels en sont exclus
Google réserve la désinscription en un clic aux messages marketing et promotionnels, avec une échéance au 1er juin 2024 pour les expéditeurs qui proposaient déjà un lien de désinscription. Il cite lui-même en exemples de transactionnels exclus les réinitialisations de mot de passe, les confirmations de réservation et les confirmations de formulaire. Pour vos newsletters, Google recommande de traiter chaque demande sous 48 heures. Côté technique, l’en-tête List-Unsubscribe s’implémente selon la RFC 8058.
Reste une nuance : c’est le destinataire qui tranche sur la nature d’un message. Une confirmation de commande qui embarque un bandeau promotionnel peut être perçue comme du marketing, puis signalée comme spam.
Ce qui compte dans le mail lui-même
Utilisez un expéditeur reconnaissable dont l’adresse accepte les réponses (pourquoi bannir les adresses noreply). Écrivez un objet qui annonce l’événement (« Votre commande n° 4821 est confirmée »), avec un lien de suivi sur votre propre domaine.
Surveiller : les signaux qui précèdent le passage en spam
La réputation d’expéditeur se dégrade rarement d’un coup. 4 signaux la précèdent, à relever chaque semaine.
Google Postmaster Tools vient en premier : il affiche le taux de spam de votre domaine côté Gmail. Visez moins de 0,10 %. Depuis juin 2024, un expéditeur en masse au-dessus de 0,30 % n’est plus éligible aux mesures d’atténuation. Elles ne reviennent qu’après 7 jours consécutifs sous ce seuil (FAQ Google citée plus haut). Une alerte interne à 0,20 % laisse de la marge.
Les rebonds suivent. Un hard bounce (adresse inexistante) doit déclencher une suppression immédiate de l’adresse. Un soft bounce (boîte pleine, serveur indisponible) se retente quelques fois avant abandon. Les rapports de non-remise (NDR) donnent le code exact de chaque refus : un code en 5.x.x signale un échec définitif, un code en 4.x.x un échec temporaire, selon la norme des codes SMTP étendus. Le 4.7.28 de Gmail, vu plus haut, appartient à cette seconde famille. Archivez ces codes par domaine destinataire pour repérer celui qui vous limite.
La présence sur une liste noire compte aussi. Interrogez régulièrement l’IP et le domaine d’envoi auprès des principales blacklists : un blocage s’y voit souvent avant de peser sur vos statistiques.
Restent les spam traps, des adresses sans utilisateur réel que des organismes anti-spam surveillent pour repérer les envois vers des listes mal entretenues. Elles se glissent dans les listes anciennes ou importées. Le remède est l’hygiène de liste : retirer les contacts inactifs et vérifier les adresses avant l’envoi pour écarter celles qui rebondiraient. Passez un échantillon de votre base dans une vérification avant le prochain gros envoi : la part d’adresses invalides apparaît tout de suite.
La checklist technique avant la mise en production
- SPF publié, une seule ligne TXT, 10 résolutions DNS au maximum.
- DKIM actif sur le domaine d’envoi, clé testée.
- DMARC en p=none avec une adresse rua, puis durcissement après lecture des rapports.
- Sous-domaine séparé pour les transactionnels, PTR et DNS direct cohérents.
- IP dédiée seulement si le volume est régulier, avec un plan de montée en charge.
- Envoi chiffré en TLS depuis le serveur ou la plateforme.
- Aucun contenu promotionnel dans les mails purement transactionnels, qui échappent à l’obligation de désinscription en un clic.
- Taux de spam sous 0,10 % dans Postmaster Tools, avec une alerte interne à 0,20 % (conseil d’usage).
- Rebonds durs supprimés à la première occurrence.
- Contrôle hebdomadaire des blacklists et des retours de non-remise.
- Adresses vérifiées à l’import d’une liste et nettoyage des inactifs.
- Test d’un envoi réel par seed testing ou avec Mail-tester avant chaque changement d’outil d’envoi.
Questions fréquentes
Mon volume vers Gmail est faible : suis-je concerné ?
Oui, par les exigences de base. Sous 5 000 messages par jour, le DMARC n’est pas obligatoire ; les autres exigences restent : authentification SPF ou DKIM, TLS, PTR et taux de spam sous 0,3 %. La barre des 0,10 % s’applique à tous.
Combien de temps faut-il pour rétablir une réputation dégradée ?
Google indique que les améliorations du taux de spam mettent du temps à se refléter dans le classement. Comptez plusieurs semaines, par estimation. Un expéditeur en masse redevient éligible aux mesures d’atténuation après 7 jours consécutifs sous 0,3 % (règle en vigueur depuis juin 2024).
Un score Mail-tester de 10/10 garantit-il l’inbox ?
Non. Mail-tester note un message sur 10 : ce test ponctuel contrôle l’authentification et le contenu d’un seul envoi, avec un passage de l’IP sur les listes noires. Il ne dit rien de l’historique d’envoi ni du comportement des destinataires chez Gmail. Doublez-le du suivi dans Postmaster Tools.
Puis-je envoyer mes transactionnels depuis une boîte Gmail ?
Ce n’est pas adapté. Une boîte de messagerie n’a pas d’API d’envoi et ne remonte pas les rebonds de façon exploitable. Passez par une plateforme d’envoi qui signe en DKIM sur votre domaine.
Comment vérifier votre réglage en deux minutes ?
Pour vérifier votre propre réglage, envoyez un message de test vers une adresse Gmail, ouvrez le menu « Afficher l’original » et contrôlez que SPF, DKIM et DMARC affichent PASS. Le guide de la délivrabilité email prolonge cette checklist sur l’inbox placement.
