Les exigences expéditeurs de Gmail et Yahoo, expliquées

Les exigences, point par point

Pour les expéditeurs en masse, la check-list commune est :

1. SPF et DKIM tous deux configurés pour le domaine d'envoi — pas l'un ou l'autre. DKIM en particulier doit être valide et signer réellement le courrier.
2. Un enregistrement DMARC publié, au minimum p=none. C'est l'exigence explicite et nommée qui a pris de court bien des équipes : aucun enregistrement DMARC = non conforme.
3. L'alignement — le domaine du From: doit s'aligner avec SPF ou DKIM. Une configuration qui passe mais sans alignement ne satisfait pas DMARC, et donc pas l'exigence. (Si « alignement » reste flou, voir comment SPF, DKIM et DMARC fonctionnent ensemble.)
4. Désinscription en un clic (RFC 8058) dans le courrier marketing, honorée sous deux jours.
5. Un faible taux de plaintes spam — sous 0,3 %, idéalement bien en dessous de 0,1 %.
6. Un reverse DNS (PTR) confirmé pour les IP d'envoi, et TLS pour le transport.

Les points 1 à 3 sont le cœur de l'authentification email, et c'est là que se niche l'essentiel de la non-conformité. La bonne nouvelle : c'est exactement ce qu'il aurait fallu faire de toute façon.

« On a un enregistrement DMARC » n'est pas la ligne d'arrivée

Beaucoup d'équipes ont réagi à l'échéance 2024 en publiant un simple p=none et en considérant l'affaire close. Cela respecte la lettre de l'exigence — mais il vaut la peine de comprendre ce que ça apporte, et ce que ça n'apporte pas.

p=none signifie surveillance seule. Cela satisfait le minimum de Gmail et Yahoo, et lance le flux de rapports agrégés indispensable à la suite. Mais ça n'offre aucune protection contre l'usurpation : quelqu'un qui falsifie le domaine atteint toujours les boîtes, puisque la politique publiée dit aux destinataires de ne rien faire en cas d'échec. La conformité en p=none est le plancher, pas l'objectif.

Le vrai but est p=reject, où le courrier non authentifié au nom du domaine est réellement refusé. C'est à la fois une meilleure sécurité et un meilleur signal de délivrabilité — les fournisseurs font plus confiance aux domaines qui appliquent une politique. Le chemin pour y arriver est la même séquence disciplinée, indépendamment de l'échéance de conformité : inventorier les sources, les aligner, puis monter la politique. On le déroule dans atteindre p=reject sans casser ses emails.

Comment se conformer (puis se protéger)

Un ordre d'opérations pratique :

1. Établir l'état des lieux. Un passage du domaine dans notre analyseur gratuit montre si SPF, DKIM et DMARC existent et s'alignent — et donne une note. En quelques secondes, le verdict tombe : les contrôles Gmail/Yahoo passeraient-ils ?
2. Corriger les bases. Publier un SPF listant les vraies sources ; activer la signature DKIM sur chaque plateforme ; publier un enregistrement DMARC avec une adresse rua= pour lancer les rapports.
3. Lire les rapports. Ils révèlent chaque source émettant au nom du domaine — celles à aligner avant de durcir.
4. Aligner chaque source légitime, puis monter la politique de none à quarantine puis reject.
5. Maintenir l'hygiène — désinscription en un clic, faibles taux de plaintes, listes propres. L'authentification fait entrer ; le comportement maintient en place. Tout ce versant réputation et engagement est approfondi dans notre guide de délivrabilité Gmail.

Et Microsoft, alors ? (2025)

Gmail et Yahoo ont ouvert la voie ; Microsoft a suivi en 2025. Le fournisseur d'Outlook.com, Hotmail et Live.com a annoncé qu'à partir de mai 2025, les expéditeurs à fort volume (là encore autour de 5 000 messages/jour ou plus vers ses boîtes grand public) doivent eux aussi publier SPF, DKIM et DMARC alignés. Au début, le courrier non conforme est routé vers le dossier indésirable plutôt que refusé — une phase de tolérance avant un durcissement annoncé. Le message est clair : les trois grands fournisseurs grand public convergent désormais vers le même socle d'authentification, et viser uniquement Gmail/Yahoo serait myope. Nous décortiquons le calendrier et les critères précis d'Outlook dans un article dédié.

La bonne nouvelle, c'est qu'il n'y a rien de plus à faire. La check-list est identique : SPF + DKIM valides, un enregistrement DMARC (au minimum p=none, l'objectif restant p=reject), et surtout l'alignement du domaine du From:. Satisfaire correctement Gmail et Yahoo, c'est satisfaire Microsoft — à condition de ne pas avoir bâclé l'alignement. Et comme l'a montré l'épisode 2024, beaucoup d'équipes se croient conformes avec juste « un enregistrement DMARC », sans que leurs sources s'alignent réellement. Une analyse gratuite lève le doute en quelques secondes.

Une note pour les secteurs régulés

Dans la finance, la santé ou un autre secteur régulé, les règles Gmail/Yahoo ne sont qu'une des forces qui poussent dans la même direction. Des cadres comme NIS2 et DORA relèvent les exigences en matière de contrôles opérationnels et anti-phishing, et l'authentification email est un contrôle évident et auditable à présenter. Les exigences expéditeurs 2024 sont la pointe visible d'un mouvement plus large : le DMARC appliqué devient la base attendue, pas l'exception. La posture de secteurs entiers se consulte dans notre Observatoire DMARC.

Questions fréquentes

Les emails transactionnels comptent-ils dans le seuil des 5 000/jour ? Oui. Google compte tout le courrier vers les utilisateurs Gmail depuis un même domaine — marketing, reçus, alertes, notifications internes — ensemble. Aucune exemption transactionnelle, et la plupart des domaines sous-estiment leur volume réel.

On envoie moins de 5 000/jour. Sommes-nous exemptés ? Des règles en masse les plus strictes, pour l'instant. Mais les attentes de base — s'authentifier avec SPF et DKIM, publier DMARC, garder un faible taux de plaintes — s'appliquent de plus en plus à tous, et franchir le seuil ne serait-ce qu'une fois fait basculer en traitement « expéditeur en masse » quasi définitivement. Le réflexe sûr : s'authentifier quel que soit le volume.

Cela s'applique-t-il aux sous-domaines ? Oui. Chaque sous-domaine réellement émetteur doit être authentifié, et la balise DMARC sp (politique de sous-domaine) réglée pour que les sous-domaines ne restent pas ouverts à l'usurpation pendant que la racine est verrouillée.

On passe par une plateforme partagée (Mailchimp, SendGrid…). Sommes-nous couverts ? Seulement si un DKIM aligné avec le domaine expéditeur y a été configuré. La signature par défaut d'une plateforme partagée est alignée sur la plateforme, pas sur le client : elle ne satisfait pas DMARC. Le domaine de signature à la marque proposé par le prestataire doit être activé — en général quelques CNAME.

En combien de temps faut-il se conformer ? Les exigences sont déjà appliquées. Un courrier ralenti ou mis en indésirable chez Gmail ou Yahoo appelle d'abord un contrôle de l'authentification : faible ou non alignée, c'est le premier suspect. Le plus rapide est une analyse gratuite.

Et si ces exigences sont ignorées ? Rien d'aussi spectaculaire qu'un blocage immédiat, au début : le courrier est d'abord ralenti (throttling), puis de plus en plus dirigé vers les indésirables. La dégradation est silencieuse et progressive — les taux d'ouverture s'effritent sans erreur visible — ce qui la rend d'autant plus dangereuse qu'on la diagnostique tard. À volume égal, un concurrent authentifié atterrit en boîte, l'autre non. Et quand les messages partent déjà en indésirable, notre guide de diagnostic pas à pas aide à remonter à la cause.

Ces règles s'appliquent-elles au courrier vers nos propres salariés ? Si les équipes utilisent des comptes Gmail, Yahoo ou Outlook.com, oui — le fournisseur ignore la distinction interne/externe, seul compte qui reçoit le message. Les boîtes hébergées sur le tenant de l'entreprise suivent son filtrage, mais tout ce qui atteint une boîte grand public est jugé selon ces règles.

Thomas gère le chemin

Satisfaire l'exigence est rapide ; atteindre une vraie protection sans casser le flux de courrier est le vrai travail — et c'est exactement ce qu'automatise Thomas, le RSSI virtuel. Il trouve chaque source depuis les rapports, génère les enregistrements SPF, DKIM et DMARC précis à publier, et accompagne le passage d'un simple p=none à un p=reject sûr.

Analyser un domaine gratuitement ou créer un compte pour se conformer et se protéger. Pour une première approche, tout part de qu'est-ce que DMARC.