Si vos e-mails atterrissent dans le spam, l'authentification de votre domaine est généralement la raison. Et vous n'êtes pas seul : des études sur de grands échantillons de domaines en 2026 révèlent qu'environ 80 % des domaines n'ont pas de record DMARC du tout ou appliquent une politique qui ne protège rien. L'adoption de SPF est d'environ 56 %, celle de DMARC autour de 30 %, et celle de DKIM autour de 23 %, selon l'ensemble de données. La plupart des entreprises pensent être couvertes. Très peu le sont réellement.
Ce guide explique ce que font réellement SPF, DKIM et DMARC, les erreurs qui les brisent silencieusement, et comment obtenir un domaine protégé sans consultant. Pas de jargon pour le jargon.
Pourquoi cela compte soudainement plus
L'authentification par e-mail était autrefois une bonne pratique que vous pouviez reporter. Cette fenêtre est maintenant fermée. Google et Yahoo ont introduit des exigences pour les expéditeurs en masse pour quiconque envoie plus de 5 000 messages par jour, et Microsoft a suivi avec sa propre application pour Outlook.com. Le changement important est ce qui se passe lorsque vous échouez : les rapports jusqu'en 2026 décrivent des rejets SMTP permanents plutôt qu'un voyage silencieux vers le dossier spam. Les analyses de l'industrie estiment que les expéditeurs conformes ont environ 89 % de placement dans la boîte de réception, tandis que les expéditeurs non conformes voient une grande part de leurs e-mails filtrés ou refusés.
Deux conséquences. Si vous envoyez un volume quelconque d'e-mails marketing ou transactionnels, l'authentification est désormais le prix d'entrée. Et même si vous envoyez très peu, un domaine non protégé est trivialement facile à usurper en votre nom.
SPF : qui est autorisé à envoyer pour vous
SPF (Sender Policy Framework) est un enregistrement DNS listant les serveurs autorisés à envoyer des e-mails utilisant votre domaine. Le serveur récepteur consulte votre enregistrement SPF et vérifie si l'IP d'envoi figure sur la liste.
Le piège que personne ne mentionne : SPF a une limite stricte de 10 recherches DNS. Chaque service que vous ajoutez (votre fournisseur de messagerie, votre CRM, votre outil de facturation, votre plateforme de newsletter) consomme des recherches, et une fois que vous dépassez 10, l'enregistrement renvoie une PermError et cesse effectivement de fonctionner. C'est extrêmement courant. Un audit de domaines gouvernementaux fortement scrutés a révélé qu'environ 60 % avaient des erreurs SPF, y compris des enregistrements qui dépassaient la limite de recherche.
Que faire : gardez un seul enregistrement SPF par domaine (jamais deux), listez uniquement les services à partir desquels vous envoyez réellement, supprimez les anciens outils, et aplatissez ou consolidez les inclusions si vous êtes proche de la limite.
DKIM : preuve que le message n'a pas été altéré
DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à vos messages sortants. Votre fournisseur signe avec une clé privée, publie la clé publique dans votre DNS, et le destinataire vérifie la signature. Si cela est valide, le message provient réellement de votre domaine et n'a pas été modifié en transit.
L'échec courant ici est la couverture partielle : DKIM est activé sur la plateforme de messagerie principale mais pas sur les autres outils qui envoient en votre nom, de sorte qu'une partie de votre courrier échoue silencieusement. Chaque service d'envoi a besoin de sa propre clé DKIM publiée.
DMARC : la politique qui relie le tout
DMARC (Domain-based Message Authentication, Reporting and Conformance) est là où la plupart des entreprises s'arrêtent trop tôt. Il fait deux choses : il indique aux récepteurs quoi faire lorsque SPF et DKIM échouent, et il vous envoie des rapports sur qui envoie des e-mails en utilisant votre domaine.
La politique a trois niveaux. p=none signifie surveiller seulement, ne rien faire. p=quarantine envoie les e-mails échoués dans le spam. p=reject les bloque complètement. Voici la partie qui explique le chiffre de 80 % : une grande part des domaines qui "ont DMARC" sont sur p=none, ce qui ne protège rien du tout. C'est un poste d'écoute, pas un verrou. Les analyses en 2026 estiment qu'environ 11 % des domaines atteignent une protection totale avec p=reject.
L'autre moitié de DMARC est l'alignement, et c'est la subtilité qui piège les gens. Passer SPF ou DKIM n'est pas suffisant en soi : le domaine qui passe doit également correspondre au domaine que vos destinataires voient dans le champ De. De nombreuses configurations passent SPF techniquement tout en échouant l'alignement, ce qui signifie échouer DMARC.
Les cinq erreurs qui brisent l'authentification
Exécuter deux enregistrements SPF sur le même domaine, ce qui invalide les deux. Dépasser la limite de 10 recherches DNS et renvoyer PermError. Activer DKIM sur une plateforme mais pas sur les autres outils qui envoient pour vous. Laisser DMARC sur p=none pendant des années et supposer que cela compte comme protection. Et ne jamais lire les rapports DMARC, où vous auriez repéré l'expéditeur non autorisé ou l'outil mal configuré.
Comment le corriger, étape par étape
Commencez par dresser l'inventaire de chaque service qui envoie des e-mails en votre nom : fournisseur de messagerie, CRM, support, facturation, plateforme marketing, notifications de formulaire. Vous ne pouvez pas authentifier ce que vous n'avez pas listé.
Publiez un seul enregistrement SPF couvrant exactement ces services, et vérifiez que vous êtes en dessous de la limite de 10 recherches. Ensuite, activez DKIM sur chacun d'eux individuellement, en publiant chaque clé publique dans le DNS.
Ensuite, publiez DMARC à p=none avec une adresse de rapport. C'est délibérément le point de départ sûr : vous collectez des données sans risquer des e-mails légitimes. Lisez ces rapports pendant deux à quatre semaines et corrigez tout ce qui échoue à l'alignement.
Ensuite, passez à p=quarantine, idéalement avec un déploiement par pourcentage, et observez à nouveau. Une fois vos rapports propres, passez à p=reject. Cette étape finale est celle que 80 % des entreprises ne prennent jamais, et c'est la seule qui arrête réellement l'usurpation.
Enfin, gardez-le maintenu. Chaque nouvel outil que vous connectez peut briser l'alignement, donc vérifiez à nouveau lorsque votre pile change.
Transformez cela en un lead magnet (le coup intelligent)
Voici l'angle marketing si vous vendez aux entreprises. L'authentification est un problème que presque toutes les entreprises ont, ne peuvent pas facilement auto-diagnostiquer, et dont elles se sentent anxieuses. C'est le profil parfait pour un lead magnet interactif.
Un "vérificateur de délivrabilité des e-mails" gratuit ou un "tableau de bord d'authentification de domaine" est exactement le genre d'outil qui convertit : le visiteur entre quelques détails sur sa configuration, obtient un score instantané plus les lacunes spécifiques à corriger, et remet un e-mail pour voir le rapport complet. Cela qualifie le prospect (vous apprenez leur pile et leur maturité) et ouvre la conversation de vente avec un vrai problème plutôt qu'un argumentaire. C'est le même mécanisme derrière les évaluateurs qui génèrent un volume entrant énorme, que nous décomposons dans la psychologie des lead magnets à forte conversion et les formulaires interactifs pour la génération de prospects.
Comment construire votre propre lead magnet avec Magnetly (étape par étape)
Étape 1 : Créez votre compte gratuit. Rendez-vous sur Magnetly et inscrivez-vous. Pas de code, pas de carte de crédit.
Étape 2 : Ajoutez votre site web. Dans le générateur de lead magnets, choisissez l'option "de votre site web" et collez le lien de votre site. L'IA lit votre site et rédige un lead magnet interactif complet, questions, logique et résultats, adapté à votre entreprise.
Étape 3 : Personnalisez-le. Ajustez les visuels pour qu'ils correspondent à votre marque. Bloqué sur le design ? Réservez un appel rapide avec notre PDG et nous le corrigerons avec vous.
Étape 4 : Prévisualisez et testez-le. Cliquez sur "Prévisualiser" et parcourez-le vous-même. Assurez-vous que le résultat final est net et réellement utile. Si la fin ne fonctionne pas, réservez un appel et nous l'ajusterons ensemble.
Étape 5 : Publiez et intégrez-le. Publiez votre vérificateur, puis intégrez-le sur votre site là où votre trafic arrive déjà. Bloqué sur l'intégration ? Prenez un appel et nous vous guiderons à travers cela.
Étape 6 : Transformez les prospects en revenus. Une fois qu'il est en ligne et collecte des prospects, enrichissez ces contacts et contactez-les en fonction de leur score. C'est là qu'un vérificateur se transforme en appels réservés.
Besoin d'idées rapidement ? Utilisez notre générateur d'idées de lead magnets gratuit pour obtenir des idées de quiz, de calculatrices, d'évaluations, de simulateurs et de diagnostics adaptées à votre entreprise en quelques secondes.
Corrigez d'abord votre propre authentification, puis construisez le vérificateur qui trouve les lacunes des autres. Essayez le générateur de lead magnets Magnetly et mettez-le en ligne cette semaine.
Lectures connexes : Exemples de lead magnets, le meilleur lead magnet pour SaaS, et le meilleur lead magnet pour les agences web et de design.
Sources : Exigences des expéditeurs en masse de Google, Yahoo et Microsoft (5 000+ messages par jour, SPF, DKIM et DMARC requis) ; études sur l'adoption de DMARC en 2026 rapportant qu'environ 80 % des domaines n'ont pas de record DMARC ou une politique non contraignante, adoption de SPF autour de 56 %, DMARC autour de 30 %, DKIM autour de 23 %, et environ 11 % des domaines à pleine application de p=reject ; audit de domaines gouvernementaux trouvant environ 60 % avec des erreurs SPF, y compris des violations de la limite de 10 recherches DNS ; analyses de délivrabilité de l'industrie rapportant environ 89 % de placement dans la boîte de réception pour les expéditeurs conformes contre une grande part filtrée ou rejetée pour les expéditeurs non conformes. Les chiffres varient selon l'ensemble de données et la méthodologie.