Les exigences de Gmail, Yahoo et Microsoft

Module 5: Réputation et les grands destinataires · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous pourrez énumérer les exigences imposées par Gmail, Yahoo et Microsoft à tous les expéditeurs et aux expéditeurs en masse, expliquer ce qu'est la désinscription en un clic, et confronter votre propre domaine à ces exigences.

Notions clés : directives d'envoi, expéditeur en masse (5 000 par jour), SPF ou DKIM, SPF et DKIM, DMARC avec au moins p=none, alignement, PTR et FCrDNS, TLS, taux de plaintes (0,1 % et 0,3 %), List-Unsubscribe, One-Click (RFC 8058), Postmaster Tools, SNDS, 550 5.7.515

Pourquoi ces exigences existent

Gmail, Yahoo et Microsoft (Outlook.com, Hotmail, Live.com, MSN) reçoivent à eux trois une grande partie de tout le courrier personnel. Pendant longtemps, SPF, DKIM et DMARC étaient « recommandés ». En octobre 2023, Google et Yahoo ont annoncé qu'ils imposeraient des exigences à partir de février 2024. Microsoft a suivi pour Outlook.com et les autres adresses grand public, avec des exigences appliquées à partir de mai 2025.

Ces exigences visent à lutter contre les expéditeurs falsifiés et le courrier de masse non sollicité. Pour la plupart des petits expéditeurs, cela signifie : veillez à ce que les bases du module 4 soient en ordre. Pour ceux qui envoient des newsletters ou beaucoup de courrier transactionnel, des exigences supplémentaires s'ajoutent.

Exigences pour tous

Gmail et Yahoo imposent ces exigences à tous les expéditeurs envoyant à leurs utilisateurs :

Google précise par ailleurs : ne vous faites pas passer pour Gmail. Celui qui envoie du courrier avec une adresse @gmail.com comme expéditeur via un autre serveur que ceux de Google (par exemple via un service de newsletter) échoue au DMARC : ce serveur n'a pas le droit de signer au nom de gmail.com et ne figure pas dans le SPF de gmail.com. Google indique que Gmail traite ce type de courrier avec une politique de mise en quarantaine. Envoyez donc toujours depuis une adresse de votre propre domaine.

Exigences supplémentaires pour les expéditeurs en masse

Google vous considère comme expéditeur en masse si vous envoyez environ 5 000 e-mails ou plus en 24 heures vers des adresses Gmail personnelles. Le courrier des sous-domaines compte dans le total du domaine principal. Point important : celui qui a franchi ce seuil une fois reste expéditeur en masse. Ce statut n'expire pas. Yahoo n'applique pas de chiffre précis, Microsoft retient lui aussi 5 000 par jour.

Pour les expéditeurs en masse s'ajoutent :

1. SPF et DKIM doivent tous les deux être configurés (pas seulement l'un des deux).
2. DMARC doit être présent, avec au moins p=none. Une politique plus stricte est possible, mais pas obligatoire. Yahoo recommande fortement une adresse de rapport (rua).
3. Alignement : le domaine dans l'adresse From: visible doit correspondre au domaine SPF (Return-Path) ou au domaine DKIM (d=). C'est exactement ce que vérifie DMARC (leçon 4.4). En résumé : le courrier doit passer le DMARC.
4. Désinscription en un clic pour le courrier marketing et les abonnements, plus un lien de désinscription clairement visible dans le texte.
5. Traiter les désinscriptions sous deux jours.
6. Plaintes sous 0,3 %, et de préférence sous 0,1 %.

Cela rejoint exactement la ligne de conduite du module 4 : commencez le DMARC avec p=none et une adresse de rapport. Vous répondez ainsi à l'exigence, sans risquer que votre propre courrier soit refusé.

Microsoft : SPF et DKIM et DMARC

Pour les expéditeurs de 5 000 e-mails ou plus par jour vers Outlook.com, Hotmail, Live.com et MSN (tous avec le même domaine dans l'adresse From:), Microsoft impose ces exigences :

• le SPF doit réussir ;
• le DKIM doit réussir ;
• un enregistrement DMARC doit exister, au moins p=none, et le courrier doit passer le DMARC.

Notez la différence : pour le DMARC, l'un des deux suffit (SPF ou DKIM, aligné). Microsoft exige des expéditeurs en masse que les deux réussissent. Le courrier non conforme n'est pas envoyé dans le dossier indésirable mais est refusé avec :

550 5.7.515 Access denied, sending domain example.com does not meet the required authentication level.

Un domaine qui réussit le DMARC via le DKIM mais dont le SPF échoue (par exemple parce qu'un service manque dans l'enregistrement SPF) peut donc tout de même recevoir cette erreur.

Désinscription en un clic

Pour une newsletter, les destinataires s'attendent à un lien de désinscription. Gmail, Yahoo et Apple Mail affichent en plus leur propre bouton « Se désinscrire » en haut du courrier. Ce bouton fonctionne avec deux lignes d'en-tête :

List-Unsubscribe: <https://nieuwsbrief.example/afmelden?id=8f3a2c>, <mailto:afmelden@example.com?subject=afmelden>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe (RFC 2369) indique une ou plusieurs méthodes de désinscription : une adresse web et/ou une adresse e-mail.
• List-Unsubscribe-Post: List-Unsubscribe=One-Click (RFC 8058) signifie : si une requête POST est envoyée vers cette adresse web, le destinataire est immédiatement désinscrit. Sans page supplémentaire, sans connexion, sans « êtes-vous sûr ? ».

Les deux lignes d'en-tête doivent être couvertes par la signature DKIM, afin que personne ne puisse les modifier en chemin (la RFC 8058 l'exige). Un service de newsletter gère cela pour vous. Si vous envoyez vous-même, vous devez le mettre en place vous-même (leçon 7.2).

Que se passe-t-il en cas de non-conformité ?

Google indique que le courrier non conforme peut être refusé, temporairement ou définitivement, ou atterrir dans les spams. Depuis novembre 2025, Gmail renforce encore cette application. Les messages d'erreur sont précis (une liste complète figure dans la leçon 6.2), par exemple :

Un code commençant par 4 est temporaire (le serveur expéditeur réessaiera plus tard), un code commençant par 5 est définitif (leçon 6.1).

Mesurer : Postmaster Tools et SNDS

Vous ne pouvez pas regarder dans la boîte mail des destinataires, mais les grands destinataires fournissent bien des chiffres :

• Google Postmaster Tools (postmaster.google.com) : après validation de votre domaine avec un enregistrement TXT, vous voyez notamment le taux de plaintes, si votre courrier passe le SPF, le DKIM et le DMARC, et si le chiffrement est utilisé. Les chiffres n'apparaissent que si vous envoyez suffisamment de courrier vers Gmail.
• Microsoft SNDS (Smart Network Data Services) : données par adresse IP. Utile uniquement si vous disposez de votre propre adresse IP (leçon 6.4).
• Yahoo Sender Hub : l'espace propre de Yahoo pour les expéditeurs, avec un flux de plaintes.

Si vous envoyez via un service de newsletter, ce service affiche généralement lui-même le taux de plaintes par envoi.

En pratique

Pour une boîte mail professionnelle ordinaire chez un hébergeur ou un service de messagerie, vous répondez généralement déjà aux exigences pour tous : le prestataire gère le PTR et le TLS, et vous vous occupez du SPF, du DKIM et d'un enregistrement DMARC. Chez WebOké, la carte Définir l'e-mail dans Mon WebOké indique, pour chaque enregistrement, s'il est correct ; chez d'autres prestataires, ce type de contrôle porte un autre nom, ou vous utilisez un outil indépendant comme internet.nl.

Si vous envoyez des newsletters, il vous faut alors le SPF et le DKIM du service d'envoi (une clé DKIM propre sur votre domaine, leçons 4.3 et 7.1), un enregistrement DMARC et un bouton de désinscription fonctionnant en un clic.

Résumé

• Pour tous : SPF ou DKIM, PTR correct, messages conformes, TLS, plaintes sous 0,3 %.
• Expéditeurs en masse (à partir d'environ 5 000 par jour, et vous le restez) : SPF et DKIM, DMARC avec au moins p=none, alignement, désinscription en un clic, désinscriptions traitées sous deux jours.
• Microsoft exige des expéditeurs en masse que SPF et DKIM réussissent tous les deux, sinon 550 5.7.515.
• Désinscription en un clic = List-Unsubscribe avec une adresse https plus List-Unsubscribe-Post: List-Unsubscribe=One-Click.
• Mesurez avec Google Postmaster Tools, Microsoft SNDS ou les chiffres de votre service d'envoi.

Quiz

Exercice

Exercice Z5.3 : Votre domaine face aux exigences. Indiquez votre propre domaine et un sélecteur DKIM trouvé dans les en-têtes d'un de vos e-mails (s= dans DKIM-Signature, leçon 4.3). Indiquez pour chaque exigence si vous pensez y répondre : SPF présent et valide, clé DKIM trouvée, DMARC présent avec un p valide, adresse de rapport présente, PTR de votre serveur MX correct. Le programme effectue les mêmes vérifications en direct et place le résultat à côté de votre estimation. Pas de domaine personnel ? Utilisez alors sidn.nl (sans sélecteur DKIM).

Pour aller plus loin

Les étapes décrites dans ces articles s'appliquent aux panneaux de WebOké ; chez d'autres prestataires, le fonctionnement est similaire.

• Mon e-mail n'arrive pas ou atterrit dans les spams : comment le vérifier
• Qu'est-ce que le DMARC ? Explication en termes simples
• Puis-je envoyer un mailing via mon forfait d'hébergement chez WebOké ?
• Guide WebOké 6.7: La carte Configurer la messagerie (MX, SPF, DKIM, DMARC)
• Google, Directives pour les expéditeurs : https://support.google.com/a/answer/81126
• Yahoo, Sender best practices : https://senders.yahooinc.com/best-practices/
• Microsoft, Erreur 550 5.7.515 dans Outlook.com : https://support.microsoft.com/en-us/outlook/fix-ndr-error-550-5-7-515-in-outlook-com
• RFC 8058 (désinscription en un clic)