Obtenir l’acheminement d’un courriel dans la boîte de réception en 2026 dépend de moins en moins du sujet parfait et de plus en plus de DNS, d’authentification, de réputation, de taux de spam et du comportement de l’expéditeur. Gmail et Yahoo maintiennent des exigences spécifiques pour ceux qui envoient de gros volumes, tandis que DMARC a franchi une étape supplémentaire avec la publication du RFC 9989. Un domaine mal configuré ou une IP à mauvaise réputation peuvent entraîner des limitations, des rejets ou des messages directement classés dans le spam.
Les clés pour assurer la délivrabilité des emails en 20 secondes
- Gmail considère comme expéditeur de masse celui qui envoie environ 5 000 messages ou plus par jour sur des comptes personnels Gmail.
- SPF, DKIM et DMARC font désormais partie des exigences techniques fondamentales pour les grands expéditeurs.
- Google recommande de maintenir le taux de spam en dessous de 0,1 % et de ne pas atteindre 0,3 %.
- Yahoo exige également des processus simples de désabonnement, à traiter dans un maximum de deux jours.
- IP, DNS, réputation et séparation du trafic importent autant que le contenu.
Ce changement n’a pas eu lieu du jour au lendemain. Gmail a renforcé ses exigences pour les grands expéditeurs en 2024, et depuis novembre 2025, il applique davantage de mesures contre le trafic non conforme. Google avertit que les messages concernés peuvent subir des rejets temporaires ou permanents, ou finir dans le spam.
En pratique, gérer une plateforme d’emailing de masse ressemble de plus en plus à la gestion d’un service réseau. Il faut connaître les domaines qui envoient, les adresses IP utilisées, la configuration des enregistrements DNS, les applications générant le trafic, et le pourcentage de destinataires signalant ces messages comme indésirables.
Gmail considère 5 000 envois quotidiens comme une frontière cruciale
Google définit comme expéditeur de masse celui qui envoie environ 5 000 messages ou plus en 24 heures à des comptes personnels Gmail.
Ce comptage ne se fait pas par sous-domaine.
Ainsi, si une organisation envoie 2 500 courriels depuis entreprise.com et 2 500 depuis marketing.entreprise.com, Google totalise ces envois puisqu’ils appartiennent au même domaine principal. Une fois qu’un domaine atteint la limite de masse, Gmail indique que cette classification est permanente.
Cela a des implications techniques.
Pour les grands expéditeurs, Gmail exige SPF et DKIM, ainsi que la publication d’une politique DMARC. Celle-ci peut commencer avec p=none, mais doit être en place.
Il faut également des enregistrements DNS valides pour le serveur ou l’adresse IP, une transmission via TLS, et le respect des RFC 5322.
Un point qui peut prêter à confusion : DMARC ne consiste pas uniquement à créer un enregistrement TXT dans DNS.
Pour qu’un message passe la vérification DMARC, le domaine visible dans l’en-tête From: doit être aligné avec un identifiant authentifié via SPF ou DKIM. C’est cette association entre l’identité visible et l’authentification qui limite la possibilité de falsification de domaines.
Le RFC 9989, publié en mai 2026, formalise la configuration actuelle de DMARC en remplaçant les RFC 7489 et 9091. Ce document fait partie du processus Standards Track du Internet Engineering Task Force (IETF).
De plus, le RFC 9990 concerne les rapports agrégés DMARC, et le RFC 9991 les rapports d’échec, séparant en documents distincts des fonctionnalités auparavant regroupées.
Un taux de spam de 0,3 % est déjà beaucoup
La réputation ne se résume pas uniquement à la vérification technique de l’authentification des messages.
Gmail prête une attention particulière aux signalements des utilisateurs.
Google recommande de maintenir le taux de spam signalé dans Postmaster Tools en dessous de 0,1 %, et d’éviter qu’il atteigne 0,3 % ou plus. Même dépasser 0,1 % peut nuire à la délivrabilité en boîte de réception.
Ce chiffre donne une idée de la problématique.
Avec 100 000 messages délivrés, 0,1 % correspondent à 100 signalements de spam. Atteindre 0,3 % équivaut à 300.
Cela explique pourquoi une liste de diffusion techniquement correcte peut encore voir sa réputation détériorée si elle contient trop d’utilisateurs qui ne souhaitent plus recevoir ces messages.
Google calcule ce taux quotidiennement et précise que les expéditeurs de masse ayant un taux supérieur à 0,3 % peuvent être exclus des mécanismes de mitigation. Pour redevenir éligibles, ils doivent rester en dessous de ce seuil pendant sept jours consécutifs.
En résumé, l’infrastructure d’email doit respecter deux principes fondamentaux : l’authentification et la réputation sont deux enjeux distincts.
Même avec SPF, DKIM et DMARC parfaitement configurés, les messages peuvent finir dans le spam si les destinataires les signalent en masse.
Yahoo a une politique très similaire
Yahoo applique une politique proche de celle de Google.
Pour les expéditeurs de masse, elle exige SPF, DKIM, une politique DMARC valide avec au moins p=none, et une cohérence entre le domaine affiché et SPF ou DKIM, ainsi qu’une conformité aux standards RFC 5321 et RFC 5322.
Un taux de spam inférieur à 0,3 % est également requis.
Une exigence particulière concerne les désabonnements.
Les emails marketing et d’abonnement doivent proposer un mécanisme simple de désinscription, incluant List-Unsubscribe, et Yahoo demande que les demandes soient traitées dans un délai maximum de deux jours.
Gmail exige aussi un clic pour se désabonner dans les messages promotionnels et marketing envoyés en masse.
Ce mécanisme n’est pas obligatoire pour les emails purement transactionnels, comme la réinitialisation de mot de passe ou la confirmation de réservation, en lien direct avec une action utilisateur.
Ceci est encadré par la RFC 8058.
Les en-têtes List-Unsubscribe et List-Unsubscribe-Post contiennent une URL HTTPS où le fournisseur peut envoyer une requête POST pour désabonner sans que l’utilisateur ait à naviguer plusieurs pages.
L’importance continue de la réputation d’une IP
La généralisation de SPF, DKIM et DMARC n’a pas fait disparaître le facteur classique de la délivrabilité : la adresse IP d’origine.
Les fournisseurs de messagerie examinent autant les domaines que l’infrastructure d’envoi.
Une IP nouvelle qui envoie subitement des centaines de milliers de messages n’a pas le même historique qu’une IP qui, depuis des mois, maintient un volume stable, avec peu de signalements et des désinscriptions correctement traitées.
D’où l’intérêt du processus d’échauffement, ou warm-up, de l’IP.
Il n’existe pas de calendrier universel garantissant une bonne réputation automatiquement. Le principe consiste à commencer avec des volumes contrôlés, en ciblant des destinataires susceptibles d’interagir positivement, puis augmenter progressivement le trafic pour éviter des pics difficiles à justifier.
La stabilité est essentielle.
Google recommande d’augmenter graduellement le volume lorsque le schéma d’envoi change, car une hausse brutale peut poser des problèmes de délivrabilité. Leur documentation insiste aussi sur l’importance d’envoyer des volumes que les destinataires attendent.
Cela transforme la gestion de capacité en une opération comparable à celle de toute infrastructure technique.
Changer de fournisseur, initier une nouvelle IP ou déplacer des centaines de milliers de courriels vers un autre pool ne doit pas uniquement être vu comme une opération commerciale.
Séparer le marketing du courrier transactionnel pour limiter les risques
Une stratégie efficace consiste à séparer différents types de trafic.
Un email pour réinitialiser un mot de passe a une fonction très différente d’une campagne promotionnelle.
Le premier est explicitement demandé par l’utilisateur, souvent nécessaire pour accéder à un service. Le second dépend d’une liste d’abonnement et comporte un risque accru de désinscriptions, de manque d’interaction ou de signalements de spam.
Si ces deux types de courriels partagent la même infrastructure, une dégradation dans les campagnes promotionnelles peut impacter des messages beaucoup plus sensibles.
Une séparation peut être réalisée via des domaines ou sous-domaines d’envoi, des identifiants DKIM distincts, et dans les grandes infrastructures, des pools d’IP différents.
Cela ne garantit pas que la séparation élimine tous les risques réputationnels. Google rajoute certains critères au domaine principal pour classer les expéditeurs de masse, et les fournisseurs peuvent faire le lien entre plusieurs signaux provenant d’une même organisation.
Mais la distinction opérationnelle facilite une chose essentielle : identifier quel type d’application génère chaque comportement.
En cas d’augmentation des rebonds ou dénonciations, il doit être possible de repérer rapidement s’ils proviennent de newsletters, de campagnes commerciales, de notifications ou d’emails transactionnels.
Une liste noire n’est pas la seule indication à surveiller
Les listes de blocage restent un outil utilisé dans l’écosystème email, mais réduire la délivrabilité à la simple vérification de la présence d’une IP sur une liste noire est une vision limitée.
Chaque fournisseur repose sur ses propres systèmes de réputation et de filtrage.
Une IP peut ne pas figurer sur une liste noire publique tout en ayant une mauvaise réputation chez Gmail ou Yahoo. Inversement, une IP peut apparaître sur une liste dont l’impact sur les principaux fournisseurs est faible.
C’est pourquoi la surveillance doit provenir de plusieurs sources.
Pour Gmail, Postmaster Tools fournit des données sur la réputation, l’authentification, le spam et la conformité. Google a aussi intégré un tableau spécifique pour vérifier le status de conformité du domaine.
Les rapports agrégés DMARC offrent une autre perspective : ils indiquent quelles adresses IP envoient des emails pour un domaine donné, et vérifient SPF et DKIM.
À cela s’ajoutent des métriques propres : rebonds, désabonnements, signalements.
L’objectif n’est pas simplement d’avoir un tableau de bord avec des indicateurs, mais de détecter rapidement toute évolution anormale.
DMARC ne remplace pas SPF ni DKIM
Une confusion courante est de considérer SPF, DKIM et DMARC comme trois mécanismes équivalents.
Ce n’est pas le cas.
SPF permet au propriétaire d’un domaine d’annoncer quels serveurs sont autorisés à envoyer des emails en son nom.
DKIM ajoute une signature cryptographique à l’email, permettant au récepteur de vérifier que le message n’a pas été modifié et que la signature correspond au domaine indiqué.
DMARC exploite ces résultats d’authentification pour vérifier leur alignement avec le domaine visible dans l’en-tête From:.
Le RFC 9989 définit un résultat DMARC valide lorsque le domaine d’envoi a une politique en place et qu’au moins un identifiant authentifié est en ligne avec ce domaine.
Cela est particulièrement important lorsque plusieurs applications tierces – marketing, CRM, support – envoient au nom d’une organisation. Chaque application doit respecter la politique d’authentification.
Les rapports DMARC sont précieux pour repérer des serveurs légitimes mais non documentés, ou des tentatives de phishing.
2026 : l’ère de la gouvernance opérationnelle de l’email
Le changement le plus significatif ne réside pas dans une règle spécifique de Gmail ou Yahoo.
Il est dans le fait que l’email commercial devient une infrastructure nécessitant une gestion technique continue.
Il faut gérer domaines, DNS, IP, TLS, clés DKIM, politiques DMARC, rapports, listes d’abonnés, désabonnements, rebonds et réputation. Tout changement de fournisseur peut impacter plusieurs de ces éléments simultanément.
Une campagne bien conçue, avec une offre attractive, peut rester inutilisable si l’infrastructure qui la transporte a perdu la confiance du destinataire.
Inversement, une configuration parfaite ne garantit pas qu’un email non sollicité devienne voulu.
Google insiste sur cette distinction. Ses exigences techniques ne remplacent pas la nécessité d’envoyer des messages que les destinataires souhaitent recevoir.
La délivrabilité en 2026 se résume ainsi : prouver qui envoie, utiliser une infrastructure cohérente, et faire en sorte que les utilisateurs ne veuillent pas signaler ces emails comme spam.
Tout le reste vient après.
Questions fréquentes
Quand Gmail considère-t-il qu’un domaine est un expéditeur de masse ?
Lorsqu’il envoie environ 5 000 messages ou plus en 24 heures vers des comptes personnels Gmail. Google additionne les envois réalisés depuis le même domaine principal, et cette classification devient permanente une fois atteinte.
Quel taux de spam Gmail recommande-t-il ?
Google conseille de rester en dessous de 0,1 % et d’éviter d’atteindre 0,3 %. Des taux supérieurs à 0,1 % peuvent déjà nuire à la délivrabilité en boîte de réception.
DMARC est-il obligatoire pour l’envoi de courriers massifs ?
Gmail et Yahoo exigent DMARC pour leurs catégories d’expéditeurs de masse. Les deux plateformes permettent de commencer avec une politique p=none, mais SPF, DKIM et la cohérence du domaine doivent être configurés correctement.
Qu’a changé DMARC en 2026 ?
En mai 2026, le RFC 9989 a été publié, définissant la nouvelle spécification DMARC en tant que norme de l’IETF. Il remplace le RFC 7489 et le RFC 9091, et s’accompagne des RFC 9990 (rapports agrégés) et RFC 9991 (rapports d’échec).
Source : brandergroup