Des emails qui partent en spam malgré SPF et DKIM : pourquoi

Cause 2 : le contenu déclenche des filtres

Les filtres anti-spam analysent toujours le contenu, même pour du courrier authentifié. Quelques déclencheurs classiques :

• Trop de liens, surtout vers des domaines tiers ou des raccourcisseurs d'URL.
• Un ratio texte/image déséquilibré — un email qui n'est qu'une seule grande image ressemble à une technique d'évasion de filtre.
• Des mots-clés associés historiquement au spam (« gratuit », « urgent », majuscules excessives, points d'exclamation multiples).
• Un HTML mal formé — code généré par un outil défaillant, balises non fermées, structure invalide.
• Une absence de version texte brut à côté du HTML, alors que beaucoup de filtres s'attendent à la trouver.

Aucun de ces signaux n'est disqualifiant isolément, mais ils s'additionnent. Un email authentifié avec un contenu à plusieurs signaux d'alerte peut basculer en indésirable là où le même email avec un contenu propre serait passé.

Cause 3 : le comportement d'engagement des destinataires

Gmail, Yahoo et Outlook observent comment leurs utilisateurs interagissent avec le courrier reçu — et ajustent le filtrage en conséquence, indépendamment de l'authentification. Si une part significative des destinataires ignore systématiquement les messages d'un expéditeur (jamais ouverts, jamais cliqués), ou pire, les signale comme indésirables, le filtre apprend à traiter tout ce flux avec plus de suspicion, y compris les messages vers des destinataires qui, eux, seraient ravis de les recevoir.

C'est un effet collectif : le comportement de la minorité désengagée dégrade la délivrabilité de tout le monde. La parade est l'hygiène de liste — retirer les inactifs prolongés plutôt que de continuer à les solliciter indéfiniment. Le sujet est développé en détail dans délivrabilité Gmail : le guide complet.

Cause 4 : un volume ou un rythme d'envoi inhabituel

Un pic d'envoi soudain — une campagne exceptionnelle, un changement de plateforme avec migration de tout l'historique d'un coup — ressemble statistiquement à un comportement d'abus, même venant d'un expéditeur par ailleurs irréprochable. Les filtres réagissent à l'anomalie de rythme, pas seulement au contenu du message. Un changement de plateforme d'envoi ou une forte hausse de volume appellent donc une montée progressive plutôt qu'un basculement brutal.

Cause 5 : le domaine ou l'IP a été blacklisté

Plus radical : le domaine ou l'IP figure sur une liste noire tierce (Spamhaus et équivalents), suite à un incident passé — parfois un incident resté inconnu de l'expéditeur lui-même, comme une compromission ponctuelle ou l'usage antérieur de cette IP par un autre client sur une infrastructure partagée. Les listes noires sont vérifiables via des outils dédiés en ligne ; la plupart proposent aussi une procédure de retrait une fois la cause corrigée.

Cause 6 : chiffrement du transport manquant ou dégradé

Signal plus subtil mais réel chez certains destinataires stricts : l'absence de chiffrement TLS lors du transport SMTP peut jouer en défaveur de l'expéditeur, en particulier face à des politiques de sécurité renforcées côté destinataire. Poser MTA-STS garantit que le transport reste chiffré et empêche une rétrogradation forcée vers du texte clair — voir MTA-STS, c'est quoi et à quoi ça sert. Ce n'est généralement pas la cause principale d'un email en spam, mais c'est un facteur qui s'additionne aux autres chez les destinataires les plus exigeants — banques, administrations, grands groupes qui appliquent des politiques de sécurité strictes sur le courrier entrant.

Le cas des destinataires isolés vs le flux entier

Une distinction pratique aide à orienter le diagnostic plus vite : est-ce un destinataire précis qui reçoit systématiquement le courrier en spam, ou une part significative du flux ? Les causes ne sont pas les mêmes.

Si c'est un destinataire isolé (ou une poignée), la cause vit souvent chez lui : un filtre personnel réglé par erreur, un ancien signalement spam qui colle à l'adresse de l'expéditeur dans son client mail, ou une règle de filtrage d'entreprise trop agressive côté destinataire. La solution passe généralement par une demande adressée à ce destinataire — vérifier ses propres réglages, ou ajouter l'adresse de l'expéditeur à ses contacts. Ce n'est pas un problème qui se résout unilatéralement.

Si c'est une part significative du flux, la cause est structurelle — réputation, contenu, ou comportement d'engagement — et mérite l'investigation complète décrite ci-dessus. Optimiser pour un cas isolé en pensant résoudre un problème qui, en réalité, est généralisé fait perdre du temps ; et inversement, traiter comme structurel ce qui n'est qu'un réglage personnel chez un seul destinataire en fait perdre tout autant.

Le filtrage n'est pas global : chaque fournisseur juge séparément

Autre réflexe qui accélère le diagnostic : « les emails partent en spam » n'est pas un fait unique et uniforme. Gmail, Outlook et Yahoo font tourner chacun leurs propres filtres, leurs propres systèmes de réputation et leurs propres modèles d'engagement — et ils ne partagent pas leurs verdicts. Il est parfaitement normal qu'une même campagne arrive en boîte de réception chez Gmail et en indésirable chez Outlook, ou l'inverse. Avant toute chose, les observations se segmentent donc par fournisseur destinataire. Si un seul fournisseur filtre, l'enquête porte sur ses leviers spécifiques — sa console postmaster quand elle existe, ses exigences connues, l'historique de réputation chez lui. Si tous filtrent en même temps, la cause est presque certainement du côté de l'expéditeur — réputation, contenu ou liste — et les causes structurelles passées en revue plus haut s'appliquent en bloc.

Méthode de diagnostic, dans l'ordre

Face à un email légitime parti en spam, l'ordre de vérification est le suivant :

1. Le message précis échouait-il réellement DMARC (alignement), malgré une authentification globalement correcte ? Le rapport agrégé de cette date et de cette source tranche.
2. La réputation IP/domaine est-elle dégradée ? Postmaster Tools et les listes noires le disent.
3. Le contenu de ce message contient-il des signaux d'alerte (liens, image seule, mots-clés) ?
4. Le taux d'engagement récent de la liste s'est-il dégradé ?
5. Un changement de volume ou de plateforme est-il intervenu récemment sans montée progressive ?

Chacune de ces causes a un remède différent — l'erreur serait de revenir sans cesse à la configuration DMARC en pensant qu'elle doit forcément être en cause, alors que le problème vit ailleurs dans la chaîne. Traiter cette liste comme une checklist de diagnostic, à parcourir dans l'ordre plutôt qu'au hasard, fait gagner un temps considérable — la plupart des cas se résolvent en trouvant la bonne cause parmi les six, pas en cherchant une septième explication exotique.

Ce que DMARC en p=reject ne peut pas corriger

Il faut être clair sur une limite : durcir la politique DMARC protège contre l'usurpation du domaine, pas contre les problèmes de réputation ou de contenu des envois légitimes. p=reject garantit que ce qui arrive authentifié au nom du domaine en vient réellement — ce qui, indirectement, aide la réputation en éliminant la pollution d'un usurpateur. Mais si le problème est l'hygiène de liste ou le contenu lui-même, DMARC n'y changera rien. Les deux chantiers — authentification et délivrabilité comportementale — avancent en parallèle, pas l'un à la place de l'autre. Beaucoup d'équipes s'arrêtent une fois DMARC durci, satisfaites d'avoir « réglé la sécurité email », sans réaliser que la délivrabilité comportementale demande une attention continue, pas un projet ponctuel qu'on coche et qu'on oublie.

Pour vérifier que la couche d'authentification est irréprochable et écarter cette cause avec certitude, un passage du domaine dans l'analyseur DMARC gratuit reste le point de départ fiable avant d'aller chercher plus loin dans la réputation ou le contenu — et souvent le moyen le plus rapide de savoir s'il faut continuer à creuser du côté DMARC ou passer directement à l'étape suivante du diagnostic.