SPF, DKIM et DMARC pour les boutiques en ligne : respecter les règles d’envoi de Gmail et Yahoo

Rôle de SPF, DKIM et DMARC, exigences de Gmail, Yahoo et Outlook.com envers les expéditeurs, configuration sur Shopify et WooCommerce, passage à p=reject.

Rédaction FixReports12 min de lecture

Pour respecter les règles d’envoi de Gmail et Yahoo, toute boutique en ligne a besoin de SPF ou de DKIM sur son domaine d’envoi, et les expéditeurs en masse ont besoin des deux, ainsi que d’un enregistrement DMARC avec une politique d’au moins p=none et un domaine From visible aligné sur SPF ou DKIM. Les expéditeurs en masse doivent aussi proposer la désinscription en un clic dans leurs e-mails marketing et maintenir leur taux de spam signalé sous 0,3 %. Sur Shopify, cela consiste à authentifier votre domaine d’expéditeur dans l’interface d’administration et à ajouter un enregistrement DMARC ; sur WooCommerce, à envoyer vos e-mails via un fournisseur authentifié. Une fois que les rapports DMARC montrent que tous vos e-mails légitimes passent les contrôles, vous pouvez faire évoluer la politique vers p=reject.

Points clés

À quoi servent SPF, DKIM et DMARC ?

SPF liste qui peut envoyer des e-mails pour votre domaine, DKIM signe chaque message, et DMARC relie les deux à l’adresse From que voient vos clients.

EnregistrementCe qu’il prouveOù il se trouveNorme
SPFLe serveur d’envoi est autorisé pour le domaine utilisé dans l’enveloppe (MAIL FROM)Enregistrement TXT sur le domaineRFC 7208 (s’ouvre dans un nouvel onglet)
DKIMLe message a été signé par le domaine et n’a pas été modifié en transitEnregistrement TXT à selector._domainkey.example.comRFC 6376 (s’ouvre dans un nouvel onglet)
DMARCSPF ou DKIM a réussi pour un domaine aligné sur le domaine From visible ; indique aux destinataires quoi faire en cas d’échec et où envoyer les rapportsEnregistrement TXT à _dmarc.example.comRFC 9989 (s’ouvre dans un nouvel onglet)

L’alignement passe facilement inaperçu. Votre plateforme d’e-mail peut réussir le contrôle SPF pour son propre domaine de rebond (bounce) alors que votre adresse From affiche le domaine de votre boutique. Ce message réussit le contrôle SPF mais échoue au contrôle DMARC, sauf si DKIM est signé avec votre domaine.

Qu’exigent Gmail et Yahoo des expéditeurs ?

Tous deux exigent une authentification de la part de chaque expéditeur et ajoutent des règles plus strictes pour les expéditeurs en masse.

Pour tous les expéditeurs, Gmail exige SPF ou DKIM, un DNS direct et inverse valide, TLS, un formatage conforme à la RFC 5322 et un taux de spam inférieur à 0,3 % dans Postmaster Tools (Google (s’ouvre dans un nouvel onglet)). Yahoo exige au minimum SPF ou DKIM et un taux de spam inférieur à 0,3 % (Yahoo Sender Hub (s’ouvre dans un nouvel onglet)). Pour les expéditeurs en masse :

ExigenceGmailYahoo
SPF et DKIMLes deuxLes deux
DMARCObligatoire ; la politique peut être nonePolitique valide d’au moins p=none, et DMARC doit réussir
AlignementDomaine From aligné sur le domaine SPF ou DKIMIdem ; alignement souple (relaxed) accepté
Désinscription en un clicMessages marketing et messages liés à un abonnement, selon la RFC 8058, plus un lien visibleEn-tête List-Unsubscribe avec prise en charge du clic unique pour les messages marketing et liés à un abonnement
Traitement des désinscriptionsSous 48 heures (recommandé)Sous 2 jours
Taux de spamInférieur à 0,3 % ; Google recommande moins de 0,10 %Inférieur à 0,3 %

Quelques détails comptent pour les boutiques :

  • Gmail compte par domaine. Les messages envoyés depuis le même domaine principal comptent dans la limite de 5 000 : e-mails de commande, marketing et réponses du service client s’additionnent.
  • Seuls les comptes Gmail personnels comptent. Les règles ne s’appliquent pas aux messages envoyés à des comptes Google Workspace.
  • Les e-mails transactionnels sont dispensés de la désinscription en un clic. Les confirmations de commande doivent tout de même être authentifiées.

La désinscription en un clic repose sur deux en-têtes définis dans la RFC 8058 (s’ouvre dans un nouvel onglet), qui exige aussi une signature DKIM valide couvrant ces en-têtes :

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Pour vérifier que votre plateforme marketing les ajoute, ouvrez la source brute de l’une de vos propres campagnes.

Qu’est-ce qui a changé depuis février 2024 ?

L’application des règles s’est durcie par étapes, et d’autres fournisseurs de messagerie ont adopté des règles similaires.

DateChangementSource
Février 2024Entrée en vigueur des exigences de Gmail et Yahoo (Yahoo a déployé leur application progressivement)Google (s’ouvre dans un nouvel onglet), Yahoo (s’ouvre dans un nouvel onglet)
Juin 2024Gmail : les expéditeurs en masse dont le taux de spam dépasse 0,3 % ne sont plus éligibles aux mesures d’atténuationFAQ Gmail (s’ouvre dans un nouvel onglet)
1er juin 2024Gmail : date limite de mise en place de la désinscription en un clic pour les expéditeurs qui disposaient déjà d’un lien de désinscriptionFAQ Gmail (s’ouvre dans un nouvel onglet)
5 mai 2025Exigences d’Outlook.com pour les domaines qui envoient plus de 5 000 e-mails par jour ; selon la mise à jour de Microsoft du 29 avril, les messages en échec sont rejetés avec le code 550 5.7.515Microsoft (s’ouvre dans un nouvel onglet)
Novembre 2025Gmail intensifie l’application de ses règles, avec notamment des rejets temporaires et définitifsFAQ Gmail (s’ouvre dans un nouvel onglet)
Mai 2026La RFC 9989 rend obsolète la RFC 7489 en tant que spécification DMARCIETF (s’ouvre dans un nouvel onglet)

Les règles d’Outlook.com s’appliquent à ses adresses grand public (outlook.com, hotmail.com et live.com) et exigent que SPF et DKIM réussissent, ainsi qu’une politique DMARC d’au moins p=none alignée sur SPF ou DKIM.

Comment configurer SPF, DKIM et DMARC sur Shopify ?

Authentifiez votre domaine d’expéditeur dans l’interface d’administration Shopify, puis ajoutez un enregistrement DMARC chez votre hébergeur DNS.

Le guide de configuration des e-mails (s’ouvre dans un nouvel onglet) de Shopify indique que, depuis le 1er février 2024, Gmail et Yahoo exigent un domaine authentifié et un enregistrement DMARC pour envoyer depuis une adresse à votre marque. Si les enregistrements d’authentification ne sont pas configurés, Shopify réécrit votre adresse d’expéditeur au format store+123@shopifyemail.com. Les étapes :

  1. Dans l’interface d’administration Shopify, allez dans Settings > Notifications (Paramètres > Notifications si votre interface est en français).
  2. Dans la section Sender email, cliquez sur authenticate your domain.
  3. Ajoutez chez votre fournisseur DNS tous les enregistrements CNAME affichés. Leur nombre peut varier. Selon Shopify, ces enregistrements gèrent SPF et DKIM pour votre adresse d’expéditeur, et vous n’avez pas besoin d’ajouter d’adresses IP.
  4. Comptez jusqu’à 48 heures pour que les modifications DNS prennent effet.
  5. Ajoutez un enregistrement TXT nommé _dmarc avec la valeur v=DMARC1; p=none;, que Shopify utilise par défaut.

Si vous avez acheté votre domaine auprès de Shopify ou l’y avez transféré, Shopify gère ces enregistrements pour vous. Shopify avertit aussi qu’un domaine ne peut avoir qu’un seul enregistrement DMARC, et qu’il convient de supprimer les paramètres d’alignement strict (adkim=s ou aspf=s) ou de les remplacer par r.

L’authentification de Shopify couvre les e-mails envoyés par Shopify. Si vous utilisez une autre plateforme pour vos campagnes, un outil de support client (help desk) ou Google Workspace pour les e-mails de votre équipe, chacun a besoin de sa propre configuration DKIM et, s’il utilise votre domaine pour les rebonds, de sa propre entrée SPF.

Comment configurer l’authentification des e-mails sur WooCommerce ?

Envoyez les e-mails WooCommerce via un fournisseur dédié qui signe avec votre domaine, comme le recommande la documentation de WooCommerce elle-même.

WooCommerce envoie les e-mails avec la fonction WordPress wp_mail(), et sa FAQ sur les e-mails (s’ouvre dans un nouvel onglet) recommande un fournisseur SMTP dédié, plus fiable que la fonction d’envoi de votre propre serveur. Une configuration type :

  1. Choisissez un fournisseur d’e-mails transactionnels et faites-y vérifier votre domaine. Le fournisseur vous indique les enregistrements DKIM et l’include SPF à publier.
  2. Connectez WordPress à ce fournisseur avec une extension SMTP ou API.
  3. Dans WooCommerce > Settings > Emails (WooCommerce > Réglages > E-mails si votre interface est en français), réglez le champ From address sur une adresse de votre propre domaine. WooCommerce prévient qu’une adresse publique, par exemple chez Gmail ou Yahoo, risque d’atterrir dans les spams ou d’être bloquée.
  4. Publiez un enregistrement DMARC à _dmarc.yourdomain.
  5. Consultez WooCommerce > Status > Logs et filtrez sur la source transactional-emails pour voir quels messages ont été envoyés ou ont échoué.

Si votre hébergeur web envoie aussi des e-mails pour le domaine, authentifiez-le ou désactivez cet envoi. Tout système qui envoie au nom de votre domaine sans SPF ou DKIM aligné échouera au contrôle DMARC.

Qu’est-ce que la limite de 10 requêtes DNS de SPF et comment la respecter ?

Une vérification SPF peut utiliser au maximum 10 termes nécessitant des requêtes DNS ; un de plus et le résultat est permerror, si bien que SPF ne réussit pas.

La RFC 7208, section 4.6.4 (s’ouvre dans un nouvel onglet) liste les termes qui comptent : les mécanismes include, a, mx, ptr et exists, ainsi que le modificateur redirect. Les mécanismes ip4, ip6 et all ne comptent pas. Les includes imbriqués dans vos propres includes comptent aussi, car la limite s’applique à l’ensemble de l’évaluation. La RFC recommande également de limiter à deux les « requêtes vides » (void lookups, qui ne renvoient aucune réponse) et indique que le mécanisme ptr ne devrait pas être publié.

Pour rester sous la limite de 10 :

  • Supprimez les includes des services que vous n’utilisez plus.
  • Utilisez ip4 ou ip6 pour les serveurs que vous gérez avec des adresses fixes.
  • Déplacez les e-mails marketing vers un sous-domaine comme news.example.com, qui a son propre enregistrement SPF et son propre décompte.
  • Ne publiez jamais deux enregistrements SPF. La RFC 7208 interdit les enregistrements multiples, et l’évaluation renvoie alors permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com et spf.example-marketing.com sont à remplacer par les valeurs que vous indiquent vos fournisseurs.

Comment passer DMARC de p=none à p=reject ?

Commencez par p=none avec les rapports activés, corrigez chaque source légitime que révèlent les rapports, puis durcissez la politique.

ÉtapeEnregistrementObjectif
1. Surveillancev=DMARC1; p=none; rua=mailto:dmarc@example.comCollecter des rapports agrégés sur ceux qui envoient au nom de votre domaine
2. CorrectionAucun changementFaire en sorte que chaque source légitime réussisse SPF ou DKIM aligné
3. Quarantainev=DMARC1; p=quarantine; rua=mailto:dmarc@example.comLes e-mails en échec vont dans les spams
4. Rejetv=DMARC1; p=reject; rua=mailto:dmarc@example.comLes e-mails en échec sont refusés

Ne passez à l’étape suivante que lorsque les rapports montrent que votre plateforme de boutique, votre outil marketing, votre outil de support client et les e-mails de votre équipe réussissent tous les contrôles. Les rapports agrégés sont définis dans la RFC 9990 (s’ouvre dans un nouvel onglet). Si l’adresse rua se trouve sur un autre domaine, par exemple celui d’un service de rapports, ce domaine doit publier un enregistrement autorisant la réception des rapports.

Des guides plus anciens conseillent un déploiement avec pct=25 ou pct=50. La RFC 9989 a supprimé pct (son entrée de registre a désormais le statut « historic ») parce que les valeurs autres que 0 et 100 étaient appliquées de manière incohérente. À sa place, t=y demande aux destinataires d’appliquer la politique immédiatement inférieure, par exemple la quarantaine au lieu du rejet. Utilisez t=y plutôt que des pourcentages partiels si vous souhaitez une étape d’essai.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Une politique appliquée ouvre aussi l’accès à BIMI, qui affiche votre logo dans les messageries compatibles. Pour cela, Gmail exige DMARC en p=quarantine ou p=reject et un Verified Mark Certificate ou un Common Mark Certificate (Google (s’ouvre dans un nouvel onglet)). Pour les e-mails entrants sur votre domaine, MTA-STS (RFC 8461 (s’ouvre dans un nouvel onglet)) vous permet de demander aux serveurs d’envoi de refuser la remise à vos serveurs de messagerie si ceux-ci ne proposent pas TLS avec un certificat de confiance.

Comment vérifier les enregistrements de votre boutique ?

Interrogez les trois types d’enregistrements avec dig, ou utilisez un outil de vérification qui les lit pour vous.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

Le sélecteur DKIM vous est fourni par votre fournisseur, et vous pouvez le retrouver dans la valeur s= de l’en-tête DKIM-Signature d’un message que vous avez envoyé. Le Rapport Délivrabilité e-mail lit votre DNS public, compte les requêtes SPF, teste les sélecteurs DKIM courants et vérifie la politique DMARC, rua, pct, BIMI et MTA-STS. Des enregistrements corrects aident, mais aucun ensemble d’enregistrements ne garantit l’arrivée en boîte de réception, car les fournisseurs de messagerie tiennent aussi compte des plaintes pour spam et du comportement d’envoi.

Foire aux questions

Ai-je besoin de DMARC si ma boutique envoie moins de 5 000 e-mails par jour ?

Gmail n’exige DMARC que des expéditeurs en masse, mais Shopify rappelle que Gmail et Yahoo exigent un domaine authentifié et un enregistrement DMARC pour envoyer depuis une adresse à votre marque. Un enregistrement p=none présente peu de risques et vous fournit des rapports : la plupart des boutiques devraient en publier un.

Mon domaine peut-il avoir deux enregistrements SPF ?

Non. La RFC 7208 précise qu’un domaine ne doit pas avoir plusieurs enregistrements SPF ; si c’est le cas, l’évaluation SPF renvoie permerror. Regroupez tous les expéditeurs dans un seul enregistrement.

Une politique p=reject va-t-elle bloquer mes e-mails de commande Shopify ?

Non, si les enregistrements CNAME de Shopify sont en place et que vos rapports DMARC montrent que les e-mails de Shopify réussissent DKIM aligné. Vérifiez les rapports avant de dépasser p=none, et conservez un alignement souple, comme le recommande Shopify.

La balise DMARC pct est-elle toujours valide ?

La RFC 9989, publiée en mai 2026, a supprimé pct et introduit t=y pour le mode test. Les recommandations BIMI de Google demandent toujours pct=100, qui est la valeur par défaut en l’absence de la balise : omettre pct est donc le choix le plus simple pour les nouveaux enregistrements.

Réussir SPF, DKIM et DMARC garantit-il que mes e-mails arrivent en boîte de réception ?

Non. L’authentification est une exigence, pas une garantie. Gmail et Yahoo examinent aussi les taux de plaintes pour spam, le traitement des désinscriptions et le formatage des messages.

Sources

Tous les guides