Les e-mails de votre plateforme finissent en spam ? SPF, DKIM et DMARC expliqués

Un membre effectue un dépôt, et l’e-mail de confirmation part en spam. Il ne blâme pas Gmail — il vous blâme, et il ouvre un ticket d’assistance avec une certaine irritation. La délivrabilité des e-mails est l’un des aspects les moins glamour et les plus critiques pour la confiance dans la gestion d’une plateforme. La bonne nouvelle : elle repose surtout sur trois enregistrements DNS et une poignée d’habitudes.

Les trois enregistrements qui décident où vos e-mails atterrissent

SPF : qui peut envoyer pour votre domaine

Un enregistrement SPF est une ligne dans votre DNS qui liste les serveurs autorisés à envoyer des e-mails pour votre domaine. Sans lui, n’importe qui sur terre peut envoyer des e-mails en prétendant être vous, et les filtres de réception traitent vos messages authentiques avec suspicion en conséquence. Avec lui, votre serveur de plateforme et votre boîte professionnelle figurent sur la liste des invités ; les spammeurs, non.

Le détail qui piège les gens : chaque expéditeur doit figurer sur cette liste. Si votre plateforme envoie depuis le serveur mais que votre boîte d’assistance envoie via un fournisseur de messagerie distinct, les deux appartiennent à l’enregistrement. Oubliez-en un, et ce flux d’e-mails parfaitement authentiques commence à échouer aux vérifications — généralement découvert par un membre, dans un ticket, après qu’un avis de paiement n’est jamais arrivé.

DKIM : une signature sur chaque message

DKIM attache une signature cryptographique à chaque e-mail sortant. Le destinataire la vérifie par rapport à une clé dans votre DNS et sait deux choses : l’e-mail vient vraiment de votre domaine, et personne ne l’a modifié en cours de route. Un e-mail non signé provenant d’une plateforme financière est exactement ce que les filtres modernes sont entraînés à considérer avec méfiance.

La signature ne compte que si la clé dans votre DNS correspond réellement à la clé privée avec laquelle votre serveur signe. Publiez une clé que le serveur ne détient pas — après une migration, par exemple, ou une réinstallation du panneau — et vos e-mails partent non signés alors que chaque page de réglages continue d’affirmer que DKIM est activé. C’est la défaillance la plus silencieuse de tout cet article, et la section de test ci-dessous est la façon de la détecter.

DMARC : la politique qui les relie

DMARC indique aux destinataires quoi faire des e-mails qui échouent à SPF ou DKIM — les surveiller, les mettre en quarantaine ou les rejeter. Même commencer avec une politique de surveillance améliore la façon dont les filtres notent votre domaine, et les rapports qu’il génère vous montrent qui d’autre envoie (ou prétend envoyer) en votre nom.

DMARC ajoute aussi la vérification qui manque aux deux autres : le domaine que votre membre voit réellement dans la ligne De doit s’aligner avec les domaines authentifiés par SPF et DKIM. Cette règle d’alignement est ce qui empêche une configuration d’envoi trompeuse de passer sur un détail technique. En pratique, déployez-le par étapes — surveillez d’abord pendant que vous lisez les rapports, puis mettez en quarantaine, puis rejetez une fois que vous êtes sûr qu’aucun expéditeur légitime n’a été oublié.

Configurer correctement les trois est un travail ponctuel ; c’est aussi l’un des services de notre hub de services, car le faire à moitié est pire qu’il n’y paraît — une clé DKIM cassée empoisonne discrètement un domaine pendant des semaines. Notre service Business Email Setup couvre exactement ce terrain : SPF et DKIM configurés sur une boîte aux lettres sur votre propre domaine au niveau Basic à $20, et l’ensemble complet — SPF, DKIM et DMARC, jusqu’à cinq boîtes aux lettres — à $50, avec des e-mails testés pour confirmer qu’ils arrivent dans la boîte de réception.

Lisez vos rapports DMARC, au moins au début

Les rapports générés par DMARC sont le diagnostic le plus sous-utilisé de la messagerie de plateforme. Les grands fournisseurs de boîtes aux lettres envoient des résumés agrégés des e-mails qu’ils ont reçus prétendant venir de votre domaine : quels serveurs les ont envoyés, quelle part a passé l’authentification, et quelle part ne l’a pas passée. Dans les premières semaines suivant la configuration, ces rapports sont la façon de trouver l’expéditeur que vous avez oublié — un ancien formulaire de contact, un second fournisseur de messagerie, une installation de test sur un sous-domaine — avant qu’une politique plus stricte ne commence à rejeter ses e-mails. Plus tard, ils constituent un système d’alerte précoce : une source que vous ne reconnaissez pas, envoyant en votre nom et échouant, est une usurpation sur laquelle vous pouvez agir tant qu’elle est encore petite.

Des habitudes qui aident (et qui nuisent)

• Envoyez depuis votre propre domaine. Les e-mails de la plateforme doivent provenir d’adresses sur votre domaine, sur une messagerie professionnelle appropriée — jamais depuis une boîte gratuite.
• Réchauffez un nouveau domaine. Un domaine tout neuf envoyant des centaines de messages le premier jour correspond presque exactement au profil du spammeur. Augmentez le volume progressivement au cours des premières semaines.
• Gardez un contenu propre. Des objets en majuscules criardes, des URL raccourcies et des e-mails composés uniquement d’images sont des signaux classiques de spam.
• Traitez vos rebonds. Envoyer à répétition à des adresses mortes nuit à la réputation d’expéditeur pour tous les autres membres aussi.
• Séparez les flux. Les e-mails transactionnels (dépôts, réinitialisations) sont sacrés. Des envois marketing depuis le même domaine les mettent en danger ; utilisez un sous-domaine si vous devez les envoyer.
• Retestez après chaque changement. Un déménagement d’hébergement, un nouveau fournisseur de boîte aux lettres ou un nettoyage DNS peut casser silencieusement l’un des trois enregistrements. Les enregistrements pointent vers des expéditeurs ; changez un expéditeur et l’enregistrement doit changer avec lui.

Testez-le comme un membre le vit

Créez des comptes de test chez les principaux fournisseurs de boîtes aux lettres et déclenchez chaque e-mail que votre plateforme envoie : inscription, confirmation de dépôt, avis de paiement, réinitialisation de mot de passe. Vérifiez où chacun atterrit et consultez les résultats d’authentification dans les en-têtes du message — vous voulez voir SPF réussi, DKIM réussi, DMARC réussi. Quinze minutes de ce travail permettent de trouver des problèmes que vos membres trouveraient sinon à votre place, en public, au pire moment. Cela appartient à la même liste de contrôle pré-lancement que les éléments de notre liste de contrôle de lancement GoldCoders.

Regardez les en-têtes, pas seulement le dossier. Un e-mail peut arriver dans la boîte de réception un bon jour avec une signature cassée en dessous, parce que la réputation l’a porté — et la réputation est un coussin, pas une réparation. Les lignes d’en-tête sont la preuve : elles disent clairement quelles vérifications ont été effectuées et lesquelles ont réussi, pour ce message précis, issu de ce flux précis.

Pourquoi cela compte au-delà de la boîte de réception

La délivrabilité est aussi, discrètement, une fonction de sécurité : SPF, DKIM et DMARC sont ce qui empêche des inconnus d’envoyer de faux e-mails convaincants de “problème de paiement” en votre nom. Si ce n’est pas déjà fait, lisez notre liste de contrôle de durcissement de plateforme — la configuration e-mail de votre domaine fait partie des défenses de votre plateforme.

Depuis notre bureau

Notre propre domaine passe SPF, DKIM et DMARC — nous les avons vérifiés en-tête par en-tête lorsque nous avons configuré la messagerie de HyipTemplates, car nos confirmations de commande et nos réponses d’assistance voyagent par le même canal que celui sur lequel nos clients comptent. Quand un seul de ces enregistrements était erroné pendant la configuration, notre propre e-mail de test a atterri en spam en moins d’une heure. C’est à cette vitesse que cela se manifeste. Si vous préférez ne pas vivre dans les enregistrements DNS, c’est tout le travail de notre configuration d’e-mail professionnel, disponible dans notre boutique — SPF, DKIM et DMARC configurés et testés avec de vrais messages.

L’essentiel

Publiez des enregistrements SPF, DKIM et DMARC corrects, envoyez depuis votre propre domaine sur une vraie messagerie professionnelle, réchauffez progressivement, et testez chaque type de message comme un membre. Vos confirmations arriveront dans la boîte de réception — et les membres cesseront de se demander où elles sont passées.

Questions fréquentes

J’ai configuré SPF, DKIM et DMARC, mais les e-mails finissent toujours en spam. Pourquoi ?

L’authentification prouve que l’e-mail vient vraiment de votre domaine ; elle ne rend pas l’e-mail bienvenu. Les nouveaux domaines commencent sans réputation, donc les premiers messages sont jugés plus durement — gardez un volume honnête, n’envoyez jamais à des listes que vous n’avez pas gagnées, et laissez quelques semaines d’envois propres construire l’historique. Si même un seul enregistrement est désaligné — le domaine DKIM ne correspondant pas au domaine De, par exemple — toute la preuve vacille, alors revérifiez l’alignement avant de blâmer la réputation.

Combien de temps faut-il pour que les modifications d’enregistrements DNS prennent effet ?

Généralement de quelques minutes à quelques heures, occasionnellement jusqu’à une journée pendant que les caches expirent. Modifiez un enregistrement à la fois et testez après chacun — trois changements à la fois transforment tout échec en jeu de devinettes.

DMARC peut-il casser ma messagerie si je le configure mal ?

Oui, si vous passez directement à une politique stricte. Commencez avec p=none, qui ne fait que rapporter, lisez les rapports jusqu’à ce qu’ils montrent vos vrais expéditeurs en train de réussir, et seulement ensuite passez à la quarantaine ou au rejet. La politique est un curseur, pas un interrupteur — notre configuration d’e-mail professionnel suit le même ordre.