Exigences de Gmail et Yahoo pour les expéditeurs

Dernière mise à jour : 4 novembre 2026

En février 2024, Gmail et Yahoo ont fait basculer l'authentification des emails d'une bonne pratique recommandée à une condition d'accès. Microsoft a suivi. Ces règles ne sont pas des conseils de délivrabilité : les messages non conformes sont rejetés ou classés en indésirables, sans négociation.

Qui est concerné

Le seuil officiel est de 5 000 messages par jour vers des adresses du fournisseur concerné. Au-delà, vous êtes un « expéditeur de masse » et l'intégralité des exigences s'applique.

En dessous, une partie des règles s'applique quand même : et surtout, le reste constitue ce que les filtres attendent désormais par défaut. Un petit expéditeur mal authentifié n'est pas « toléré », il est simplement moins visible dans les statistiques.

Deux précisions souvent mal comprises. Le seuil se compte par fournisseur : 4 000 messages vers Gmail et 4 000 vers Yahoo ne vous placent pas sous le seuil, vous êtes évalué séparément par chacun. Et il se compte par domaine d'envoi, tous outils confondus : votre infolettre, vos factures et vos notifications applicatives s'additionnent.

Les exigences, une par une

SPF et DKIM, les deux

Avant 2024, l'un ou l'autre suffisait souvent. Ce n'est plus le cas : les deux sont attendus.

La raison est pratique. SPF casse dès qu'un message est transféré, puisque le serveur qui relaie n'est pas celui déclaré. DKIM survit au transfert, car la signature voyage avec le message. Les avoir tous les deux garantit qu'au moins un mécanisme tient dans la plupart des trajets.

Point de vigilance sur DKIM : ni Google Workspace ni Microsoft 365 ne l'activent par défaut sur un domaine personnalisé. Tant que vous ne l'avez pas généré, vos messages sont signés avec le domaine du fournisseur : ce qui ne s'aligne pas avec le vôtre.

DMARC, au minimum en p=none

Un enregistrement DMARC doit exister sur le domaine utilisé dans le champ De :. p=none suffit à satisfaire l'exigence formelle.

Mais publier p=none et s'arrêter là revient à cocher une case. Ajoutez un rua= pour recevoir les rapports : sans lui, votre DMARC ne vous apprend rien et ne bloque rien. C'est l'action la plus rentable de toute cette liste, et elle est gratuite.

L'alignement du domaine

C'est l'exigence que l'on rate le plus souvent, parce qu'elle est invisible quand on ne sait pas la chercher.

Le domaine authentifié par SPF ou DKIM doit correspondre à celui que votre destinataire voit dans le champ De :. Un message expédié depuis contact@exemple.fr mais signé d=prestataire.com et dont l'enveloppe porte bounces@prestataire.com passe SPF, passe DKIM : et échoue DMARC, car rien ne s'aligne.

La correction consiste à activer la « domain authentication » chez votre prestataire, qui publie alors des enregistrements à votre nom.

La désinscription en un clic

Pour les messages commerciaux, un en-tête List-Unsubscribe doit être présent, accompagné de List-Unsubscribe-Post qui permet la désinscription sans confirmation. La demande doit être traitée sous deux jours.

Un lien de désinscription dans le corps du message ne suffit plus : c'est l'en-tête qui permet au client de messagerie d'afficher son propre bouton. La plupart des plateformes d'emailing le gèrent automatiquement : c'est à vérifier si vous envoyez depuis une application maison.

Le taux de plainte sous 0,3 %

C'est le seuil le plus contraignant, et le seul que vous ne contrôlez pas directement par de la configuration.

Trois messages signalés comme indésirables sur mille suffisent à dégrader la délivrabilité de tout votre domaine. Google recommande de rester sous 0,1 % ; 0,3 % est le plafond au-delà duquel les blocages commencent.

Ce chiffre ne se corrige pas techniquement. Il dépend de la qualité de vos listes, de la fréquence d'envoi, de la facilité à se désinscrire, et du fait que les destinataires aient réellement demandé à recevoir vos messages.

Un enregistrement PTR valide

Si vous envoyez depuis votre propre serveur, son adresse IP doit avoir une résolution inverse qui pointe vers un nom lui-même résolvable vers cette adresse. Les prestataires d'emailing s'en chargent ; les serveurs maison, souvent pas.

Mesurer, et pas seulement configurer

La configuration se vérifie dans le DNS : Radar DNS contrôle SPF, DKIM, DMARC et l'alignement en une analyse.

Le reste ne s'y lit pas. Le taux de plainte, la réputation telle que Google la calcule, les erreurs de livraison et les taux d'authentification sur les messages réellement reçus ne vivent que dans les serveurs du fournisseur. C'est l'objet de Google Postmaster Tools, gratuit, qui demande de prouver que vous possédez le domaine par un enregistrement DNS.

Les deux outils sont complémentaires et ne se remplacent pas : l'un vous dit si votre configuration est correcte, l'autre si vos messages se comportent bien.

Par où commencer

1. Ajoutez un rua= à votre DMARC. Gratuit, sans risque, immédiat.
2. Vérifiez que DKIM est réellement activé sur votre domaine, et pas seulement présent avec le domaine du fournisseur.
3. Lisez les rapports pendant deux à quatre semaines et inventoriez vos expéditeurs.
4. Ouvrez Postmaster Tools pour surveiller le taux de plainte.
5. Durcissez DMARC vers quarantine puis reject.

Les quatre premiers points ne présentent aucun risque de blocage. Seul le cinquième demande d'avoir fait le travail d'inventaire.