Vos devis partent. Vos factures aussi. Une partie arrive dans les indésirables du client, ou n'arrive pas. Le commercial accuse « Gmail qui filtre trop ». Le dirigeant accuse l'hébergeur. Le profil technique finit par ouvrir les en-têtes et découvre l'évidence : le domaine n'a pas de politique d'authentification cohérente. SPF, DKIM, DMARC : trois sigles, un seul sujet. Prouver que c'est bien vous qui envoyez.
Dans le Bassin Genevois, nous le voyons après une migration de messagerie, un changement d'hébergeur, ou un site WordPress qui envoie les formulaires depuis un PHP mail nu. Le symptôme est commercial. La cause est technique. Les deux se règlent ensemble.
Ce que ces trois mécaniques font (sans cours magistral)
SPF (Sender Policy Framework) : une liste, dans le DNS, des serveurs autorisés à envoyer pour votre domaine. Si votre site, votre Microsoft 365, votre outil de newsletter et votre vieux NAS envoient chacun de leur côté, et que le SPF n'en cite qu'un, les autres sont des imposteurs aux yeux du destinataire.
DKIM (DomainKeys Identified Mail) : une signature cryptographique ajoutée au message. Le destinataire vérifie la clé publique dans le DNS. Si un relais modifie le mail en route, ou si personne n'a activé DKIM sur la boîte, la signature manque.
DMARC (Domain-based Message Authentication, Reporting and Conformance) : la politique. Que doit faire le destinataire si SPF ou DKIM échoue ? Rien (surveiller), mettre en quarantaine, ou rejeter. Sans DMARC, les imitateurs de votre domaine jouent à armes égales. Avec un DMARC trop agressif dès le premier jour, vos propres outils légitimes disparaissent. On commence en surveillance, on lit les rapports, on durcit.
Aucun de ces enregistrements ne se « clique » dans Outlook. Ils se posent dans le DNS, avec les bons includes, sans dépasser la limite de lookups SPF. C'est un travail d'une fenêtre planifiée, pas d'un stagiaire un vendredi à 17 h.
Pourquoi vos mails tombent, concrètement
Les cas fréquents, sans nommer de client :
- Le site envoie les formulaires via la fonction mail du PHP, alors que la boîte officielle est chez Microsoft 365. Le SPF de 365 ne cite pas l'hébergeur web. Le formulaire de contact arrive en spam, parfois chez vous-même.
- Une newsletter (Brevo, Mailchimp, autre) a été branchée sans mettre à jour le SPF ni le DKIM dédié. Les campagnes passent un temps, puis un filtre se resserre.
- Après bascule Infomaniak ou Exchange, les anciens enregistrements MX/SPF trainent. Deux vérités dans le DNS, zéro délivrabilité.
- Le domaine nu (
@societe.fr) n'est pas celui de l'enveloppe SMTP. Alignement DMARC raté, même si « ça part ».
Le phishing inverse le problème : quelqu'un imite votre domaine. Sans DMARC, vos clients reçoivent de fausses factures à votre nom. D'où l'intérêt d'un antispam en amont pour ce que vous recevez, et d'une authentification propre pour ce que vous envoyez. Les deux sujets se croisent. Ils ne se remplacent pas.
Pour le dirigeant, le test est simple : envoyez un devis à une adresse Gmail personnelle, à une boîte Outlook.com, et à un client Infomaniak. Demandez les captures « courrier indésirable » ou « jamais reçu ». Trois échecs, ce n'est pas la malchance. C'est un DNS. Un seul échec vers Gmail, ce peut être la réputation d'une IP d'hébergement web : on arrête d'envoyer les factures depuis le PHP du site, on passe par la messagerie authentifiée.
Dirigeant : ce n'est pas « un réglage d'une minute »
La tentation est de demander au prestataire web « tu peux débloquer Gmail ? ». Parfois oui, un SPF mal collé se corrige vite. Souvent, il faut cartographier tous les émetteurs : ERP, logiciel de caisse, scanner PDF vers mail, alerte NAS, site, 365, outil RH. Oublier le scanner de l'accueil, c'est découvrir lundi que les bons de livraison n'arrivent plus.
Nous cadrons la messagerie comme un projet : inventaire des flux, SPF unique et valide, DKIM sur les plateformes qui le permettent, DMARC en p=none puis durcissement, sauvegarde des boîtes (ce n'est pas « inclus dans le cloud »). Dans l'infogérance, ce suivi vit avec le parc. Hors contrat, c'est un one-shot, puis ça dérive au prochain outil SaaS.
Facturation EUR ou CHF, même montant HT. Déplacements dans le Genevois si besoin ; le DNS, lui, se traite à distance.
Comment nous procédons
- Liste des domaines et des émetteurs réels (pas ceux du slide commercial).
- Lecture des en-têtes d'un mail qui a échoué, et des rapports DMARC s'ils existent.
- Plan de DNS : un changement à la fois, TTL raisonnable, test vers Gmail, Outlook, Infomaniak.
- Durcissement DMARC quand les flux légitimes passent.
Nous ne promettons pas que plus aucun message n'ira jamais en indésirables : le contenu, la réputation d'une plage d'IP, un destinataire qui vous a marqué comme spam, restent hors de notre clavier. Nous promettons que votre domaine n'est plus un passoire, et que vos outils autorisés sont nommés.
Si vos devis disparaissent, envoyez-nous un exemple d'en-tête (sans données clients). Nous vous disons si c'est du DNS, de l'hébergement web, ou d'un émetteur oublié.