Publié le 5 septembre 2026 · Emailing

Délivrabilité e-commerce : SPF, DKIM et DMARC expliqués simplement

Vous soignez vos campagnes, vos objets, vos offres, et une partie de vos emails n'arrive tout simplement jamais sous les yeux de vos clients. Ils ne sont pas ouverts parce qu'ils ne sont pas vus, rangés d'office dans les indésirables ou l'onglet promotions. Avant même la première ligne de copy, une couche technique invisible décide si votre message a le droit d'entrer dans la boîte principale. Cette couche porte trois noms : SPF, DKIM et DMARC.

Ces sigles font fuir la plupart des e-commerçants, à tort. Vous n'avez pas besoin de savoir les coder, mais vous avez besoin de comprendre ce qu'ils font, parce qu'une mauvaise configuration plafonne vos ventes par email sans que rien ne l'annonce. Voici l'explication simple, sans jargon inutile, de ce qui se joue vraiment entre votre boutique et la boîte de réception de vos clients.

La délivrabilité, ce n'est pas seulement ne pas être bloqué

La délivrabilité désigne la capacité de vos emails à atteindre la boîte de réception principale. Beaucoup confondent délivrabilité et taux de délivrance affiché par leur plateforme, qui frôle souvent les 99 pour cent. Ce chiffre dit seulement que le serveur d'en face a accepté le message, pas où il l'a rangé. Un email accepté puis classé dans les spams ou noyé dans l'onglet promotions est compté comme délivré alors qu'il est commercialement mort.

Ce placement dépend d'une décision prise en une fraction de seconde par le serveur de réception, chez Gmail, Outlook ou un autre. Cette décision repose sur deux piliers. Le premier est technique : votre domaine est-il correctement authentifié, prouvez-vous que vous êtes bien qui vous prétendez être. Le second est comportemental : votre réputation d'expéditeur, construite sur la façon dont vos destinataires réagissent à vos envois. Les trois protocoles qui suivent règlent le premier pilier, celui sans lequel le second ne peut même pas commencer à jouer en votre faveur.

Les trois protocoles, en langage clair

SPF, DKIM et DMARC ne sont pas trois versions concurrentes d'une même chose. Ils répondent à trois questions distinctes que le serveur receveur se pose à propos de chaque email, et ils fonctionnent en équipe. Voici ce que chacun règle, avec une image simple pour le retenir.

SPF : qui a le droit d'envoyer en votre nom

SPF est la liste des serveurs autorisés à envoyer des emails au nom de votre domaine. Imaginez un videur à l'entrée qui tient la liste des invités : quand un email se présente en disant venir de votre boutique, le serveur de réception vérifie que le serveur d'envoi figure bien sur cette liste, publiée dans les réglages techniques de votre domaine. Quand vous confiez vos envois à une plateforme d'emailing, vous devez ajouter cette plateforme à votre liste SPF, sinon ses messages arrivent comme des invités non annoncés et se font recaler.

DKIM : la signature qui prouve que rien n'a été touché

DKIM ajoute à chaque email une signature cryptographique, une sorte de cachet de cire invisible. Cette signature prouve deux choses au serveur receveur : que le message vient bien de votre domaine, et qu'il n'a pas été modifié entre le départ et l'arrivée. Si un intermédiaire altère le contenu, la signature ne correspond plus et l'email est suspecté. Là où SPF vérifie l'adresse de l'expéditeur, DKIM garantit l'intégrité du contenu lui-même, ce qui rend l'usurpation de votre marque beaucoup plus difficile.

DMARC : la politique qui décide quoi faire des intrus

DMARC est le chef d'orchestre qui relie les deux précédents. Il répond à la question restée en suspens : que fait-on d'un email qui échoue à SPF ou à DKIM. Sans DMARC, chaque serveur receveur décide seul, au petit bonheur. Avec DMARC, vous publiez une consigne claire : laisser passer malgré l'échec, mettre en quarantaine dans les spams, ou rejeter purement et simplement. C'est vous qui fixez le niveau de sévérité appliqué à quiconque essaie d'envoyer en votre nom sans y être autorisé.

DMARC apporte un second bénéfice souvent ignoré : les rapports. Une fois activé, il vous fait remonter régulièrement qui envoie des emails en se réclamant de votre domaine, y compris les tentatives d'usurpation et les plateformes légitimes que vous auriez oublié d'autoriser. Pour une marque dont l'email pèse dans le chiffre d'affaires, c'est un tableau de bord de sécurité et de délivrabilité en un seul outil. Les grands fournisseurs de messagerie exigent d'ailleurs de plus en plus une politique DMARC en place pour accepter le volume des expéditeurs commerciaux, ce qui a fait passer ce protocole de bonne pratique à condition d'entrée.

Comment vérifier que tout est bien en place

Pas besoin d'un audit technique lourd pour un premier contrôle. Envoyez un email depuis votre plateforme d'envoi vers une adresse Gmail, ouvrez le message reçu, puis affichez les détails de l'expéditeur. Gmail indique noir sur blanc si SPF, DKIM et DMARC sont réussis, et si l'envoi passe bien par votre propre domaine. Un email correctement authentifié montre votre nom de domaine comme signataire, pas celui de votre plateforme. Pour aller plus loin, des vérificateurs d'enregistrements techniques et les rapports DMARC vous donnent une vue complète, et les outils de suivi de réputation des messageries signalent les problèmes de plaintes avant qu'ils ne dégradent vos envois.

La réputation d'expéditeur et le warmup du domaine

L'authentification ouvre la porte, la réputation décide si on vous laisse entrer souvent. Chaque fois que vous envoyez, les serveurs de réception observent le comportement de vos destinataires : ouvrent-ils, répondent-ils, vous signalent-ils comme spam, se désabonnent-ils en masse. De ces signaux se construit un score de confiance attaché à votre domaine d'envoi. Une réputation solide vous fait entrer en boîte principale même sur un gros volume, une réputation abîmée fait filtrer même vos messages les plus soignés.

C'est là qu'intervient le warmup, ou chauffe du domaine. Quand vous démarrez sur un nouveau domaine ou une nouvelle plateforme, vous n'avez aucune réputation, et un serveur de réception se méfie d'un inconnu qui envoie soudain des dizaines de milliers de messages : ce pic ressemble trait pour trait à un envoi de spam. La bonne approche consiste à monter le volume progressivement sur quelques semaines, en commençant par vos contacts les plus engagés, ceux qui ouvrent et cliquent le plus. Ces premiers signaux positifs bâtissent la confiance qui vous permettra ensuite d'envoyer largement sans déclencher les filtres.

Les erreurs qui envoient vos campagnes en spam

La plupart des problèmes de délivrabilité ne viennent pas de malchance mais d'une poignée d'erreurs récurrentes, toutes évitables. La première est d'envoyer ses campagnes depuis une adresse en gmail.com ou en yahoo.fr via un outil tiers. Vous prétendez alors parler au nom d'un domaine que vous ne possédez pas, et les protocoles d'authentification sont précisément conçus pour bloquer cela. Utilisez toujours une adresse sur le domaine de votre boutique.

La deuxième erreur est le domaine non authentifié, ou authentifié à moitié, avec un SPF oublié après un changement de plateforme ou un DKIM jamais activé. Vos emails partent, mais sans prouver leur origine, ils sont traités avec suspicion. La troisième est le pic de volume brutal : passer de mille à cinquante mille envois du jour au lendemain, ou réveiller une liste dormante depuis des mois. Ce genre de saut envoie exactement le mauvais signal. À cela s'ajoute l'envoi à une liste non entretenue, pleine d'adresses mortes et de pièges à spam, qui plombe la réputation à chaque campagne. Aucune de ces erreurs ne demande d'expertise technique pour être évitée, seulement de savoir qu'elle existe.

Un exemple concret : avant et après

Prenez une boutique qui vend des accessoires de sport, environ 3 millions d'euros de chiffre d'affaires et une liste de 30 000 abonnés. Elle vient de migrer vers une nouvelle plateforme d'envoi et lance ses campagnes sans se pencher sur la partie technique.

Avant : l'enregistrement SPF pointe encore vers l'ancienne plateforme, DKIM n'a jamais été activé sur la nouvelle, et aucune politique DMARC n'existe. Les campagnes partent depuis une adresse en gmail.com utilisée depuis les débuts de la boutique. Résultat, une part importante des envois atterrit dans les spams ou l'onglet promotions, les taux d'ouverture s'effondrent, et l'équipe conclut à tort que ses offres n'intéressent plus personne. Le canal email semble s'essouffler alors que le problème est entièrement invisible et technique.

Après : le domaine de la boutique est authentifié proprement, SPF mis à jour vers la bonne plateforme, DKIM activé, politique DMARC publiée avec ses rapports. Les envois basculent sur une adresse au nom du domaine de la boutique, et une remontée progressive du volume rétablit la réputation à partir des abonnés les plus actifs. Sur quelques semaines, une part nettement plus grande des emails atteint la boîte principale, les ouvertures remontent, et les mêmes campagnes, au mot près, se remettent à générer des ventes. Rien n'a changé dans le contenu : seule la couche invisible a été remise d'aplomb.

Ce qu'il faut retenir

• La délivrabilité, c'est le placement en boîte principale, pas le simple fait d'être accepté par le serveur : un email rangé en spam est compté comme délivré et pourtant perdu.
• SPF autorise, DKIM signe, DMARC arbitre : SPF liste les serveurs autorisés, DKIM prouve l'intégrité du message, DMARC dit quoi faire des emails qui échouent et vous envoie des rapports.
• Un contrôle simple existe : un email de test vers Gmail affiche si SPF, DKIM et DMARC sont réussis, sans audit technique lourd.
• La réputation se construit et le warmup la protège : montez le volume progressivement en partant de vos contacts les plus engagés.
• Les pièges classiques sont évitables : envoyer depuis gmail.com, laisser un domaine non authentifié, ou provoquer un pic de volume brutal.

Pour aller plus loin

Une fois vos envois authentifiés, travaillez le placement au quotidien en apprenant à sortir vos emails de l'onglet promotions de Gmail, puis vérifiez que le poids de vos visuels ne joue pas contre vous avec le point sur l'email tout en image. Si le canal s'est essoufflé, la refonte d'un emailing e-commerce pose le cadre d'ensemble. Pour les exigences techniques des messageries, la documentation du blog de Klaviyo détaille les pratiques du secteur.