Nouvelles règles e-mail pour le SaaS : guide de conformité SPF, DKIM et DMARC

Les principaux fournisseurs de messagerie sont passés d'un filtrage souple à un rejet strict des expéditeurs non conformes. Depuis début 2024, Gmail et Yahoo imposent des exigences aux expéditeurs en masse, rejoint par Microsoft en mai 2025. Ces changements affectent toute équipe logicielle envoyant des messages automatisés dans les boîtes de réception des utilisateurs, nécessitant une configuration DNS précise et une séparation des flux pour maintenir la délivrabilité.

Ce qui s'est passé

Le paysage de la livraison d'e-mails a considérablement évolué au cours des deux dernières années, les principaux fournisseurs renforçant la sécurité contre l'usurpation d'identité et le spam. En février 2024, Google et Yahoo ont introduit de nouvelles exigences pour les expéditeurs en masse, allant au-delà du simple classement en spam pour rejeter purement et simplement les courriers non authentifiés. Microsoft a suivi cette tendance pour les utilisateurs d'Outlook.com en mai 2025, mettant en œuvre des vérifications strictes similaires. L'objectif est de garantir que chaque e-mail atteignant une boîte de réception grand public puisse être vérifié cryptographiquement comme provenant du domaine déclaré.

Ces règles s'appliquent plus strictement aux expéditeurs transmettant plus de 5 000 messages par jour vers les comptes grand public d'un seul fournisseur. Cependant, les exigences techniques d'authentification s'appliquent à tous les expéditeurs, quel que soit le volume. Les fournisseurs utilisent ces signaux pour déterminer la réputation, ce qui signifie que même les petites startups peuvent rencontrer des problèmes de livraison si elles négligent la configuration de base. Un lancement produit soudain ou une campagne marketing massive peut faire franchir instantanément le seuil à un expéditeur à faible volume, déclenchant une application plus stricte sans avertissement préalable.

Le cœur de ces mises à jour repose sur trois protocoles d'authentification basés sur le DNS : SPF, DKIM et DMARC. Les fournisseurs exigent désormais une alignement entre ces enregistrements et l'adresse "De" visible. Si l'expéditeur technique de l'enveloppe ne correspond pas au domaine vu par les utilisateurs, le message échoue à l'authentification. Microsoft est devenu particulièrement strict, renvoyant des codes d'erreur spécifiques comme 550 5.7.515 lorsque les niveaux d'authentification sont insuffisants, obligeant les développeurs à corriger les enregistrements DNS plutôt qu'à ajuster le contenu des e-mails.

Détails clés

• Seuil d'expédition en masse : Environ 5 000 messages par jour vers les boîtes mail grand public d'un fournisseur déclenchent une classification stricte d'expéditeur en masse.
• Limites SPF : Les enregistrements SPF ne doivent pas dépasser 10 recherches DNS ; dépasser cette limite provoque une erreur permanente équivalente à l'absence d'enregistrement SPF.
• Taille de clé DKIM : Utilisez des clés de 2048 bits lorsqu'elles sont prises en charge, et assurez-vous que chaque outil envoyant en votre nom signe avec votre domaine spécifique.
• Politique DMARC : Commencez par p=none pour la surveillance, puis passez à p=quarantine ou p=reject une fois l'alignement confirmé.
• Norme de désabonnement : Les e-mails marketing doivent inclure les en-têtes de désabonnement en un clic RFC 8058, les exclusions étant traitées sous deux jours.
• Séparation des flux : Les e-mails transactionnels et marketing doivent utiliser des sous-domaines différents pour isoler les risques liés à la réputation.

Contexte

Pour comprendre ces exigences, il est utile de savoir comment fonctionne l'authentification des e-mails. Le SPF (Sender Policy Framework) est un enregistrement texte DNS qui liste les adresses IP autorisées à envoyer du courrier pour votre domaine. Le DKIM (DomainKeys Identified Mail) ajoute une signature numérique à chaque message, que les destinataires vérifient à l'aide d'une clé publique publiée dans votre DNS. Le DMARC (Domain-based Message Authentication, Reporting, and Conformance) lie ces éléments en vérifiant si le domaine dans l'en-tête "De" est aligné avec les domaines ayant réussi les contrôles SPF ou DKIM.

L'alignement est le point de défaillance le plus courant. Si votre fournisseur d'e-mails signe les messages avec son propre domaine au lieu du vôtre, le DMARC échouera même si le SPF et le DKIM réussissent techniquement. C'est pourquoi l'utilisation d'un sous-domaine dédié pour l'envoi, tel que mail.example.com, est cruciale. Cela vous permet de contrôler les enregistrements DNS et garantit que les résultats d'authentification correspondent à l'adresse d'expéditeur visible. Sans cet alignement, des fournisseurs comme Outlook rejetteront entièrement le message.

Pourquoi c'est important

Pour les équipes gérant des logiciels auto-hébergés ou des produits SaaS, la délivrabilité des e-mails est directement liée à la confiance et à la fidélisation des utilisateurs. Si les e-mails de réinitialisation de mot de passe arrivent dans les spams ou sont rejetés, les utilisateurs ne peuvent pas accéder à leurs comptes, entraînant des tickets de support et du churn. Le passage d'un filtrage souple à un rejet strict signifie qu'il n'y a pas de seconde chance pour les messages mal configurés. Une fois qu'un domaine est signalé pour une mauvaise authentification ou des taux de plainte élevés, récupérer sa réputation est difficile et long.

La stabilité opérationnelle dépend également de la séparation des flux d'e-mails. Les campagnes marketing génèrent souvent des taux de plainte pour spam plus élevés que les messages transactionnels. Si les deux types d'e-mails proviennent du même domaine ou pool d'IP, une newsletter mal reçue peut nuire à la réputation des notifications système critiques. En isolant ces flux, vous garantissez que les expérimentations marketing ne compromettent pas la livraison des alertes de sécurité et des reçus de facturation. Cette séparation est désormais une bonne pratique imposée par les algorithmes des fournisseurs.

De plus, la surveillance de ces métriques fournit des signes avant-coureurs de problèmes d'infrastructure. Des outils comme Google Postmaster Tools et les rapports agrégés DMARC révèlent si des services non autorisés envoient du courrier au nom de votre domaine ou si des outils légitimes sont mal configurés. Ignorer ces signaux peut conduire à un blacklisting soudain. La gestion proactive des enregistrements DNS et de la réputation de l'expéditeur n'est plus optionnelle pour toute équipe comptant sur l'e-mail pour la communication utilisateur.

Ce que vous pouvez faire

• Auditer les enregistrements DNS : Vérifiez que vous avez un seul enregistrement SPF par domaine et qu'il inclut tous les services d'envoi actuels sans dépasser 10 recherches.
• Mettre en place la surveillance DMARC : Publiez un enregistrement DMARC avec p=none et une adresse e-mail de reporting pour recevoir des agrégats XML quotidiens des fournisseurs.
• Séparer les domaines d'envoi : Configurez des sous-domaines distincts pour les e-mails transactionnels et marketing afin d'isoler la réputation et d'éviter la contamination croisée.
• Activer le désabonnement en un clic : Ajoutez les en-têtes RFC 8058 à tous les e-mails marketing, en veillant à ce que le lien de désabonnement traite les demandes immédiatement sans connexion.
• Vérifier le DNS inverse : Si vous hébergez votre serveur de messagerie, assurez-vous que chaque IP d'envoi possède un enregistrement PTR qui résout vers le nom d'hôte correct.
• Surveiller les taux de plainte : Utilisez Google Postmaster Tools et Microsoft SNDS pour suivre les plaintes pour spam, en les maintenant sous 0,1 % pour éviter le throttling.

Gardez le statut de votre domaine et de vos certificats visible pour empêcher que des pannes sans rapport n'aggravent les problèmes d'e-mail.