Délivrabilité en emailing B2B : SPF, DKIM, DMARC et warm-up
Un email non délivré coûte exactement le même prix qu’un email lu. Configuration DNS, montée en volume, signaux d’engagement et seuils à ne pas franchir : le protocole technique de bout en bout.
La délivrabilité est le seul poste de la chaîne emailing où l’échec est silencieux. Un message bloqué ne génère ni erreur visible, ni alerte : il disparaît, ou atterrit dans un dossier que personne n’ouvre. Les tableaux de bord continuent d’afficher un taux de délivrance de 98 % — qui mesure l’acceptation par le serveur destinataire, pas l’arrivée en boîte de réception.
Cet article décrit la configuration technique minimale, le protocole de montée en charge, et les seuils opérationnels à surveiller.
Délivrance et délivrabilité ne sont pas la même chose
Métrique
Ce qu’elle mesure
Ce qu’elle ne dit pas
Taux de délivrance
Messages acceptés par le serveur destinataire
S’ils sont arrivés en boîte principale ou en spam
Taux de placement
Messages effectivement en boîte de réception
Nécessite des comptes témoins ou un outil dédié
Taux d’ouverture
Proxy imparfait du placement
Faussé par la protection de la vie privée et les filtres
Taux de réponse
Le seul indicateur non falsifiable
Dépend aussi du message et du ciblage
En pratique : suivez le taux de réponse comme indicateur de vérité, et mettez en place des comptes témoins sur les principaux fournisseurs de messagerie pour mesurer le placement réel.
L’authentification : SPF, DKIM, DMARC
Depuis les durcissements imposés par les grands fournisseurs de messagerie en 2024, l’authentification complète n’est plus une bonne pratique mais un prérequis. Un domaine expéditeur sans DMARC est aujourd’hui filtré par défaut par une partie des serveurs professionnels.
SPF — qui a le droit d’envoyer
Un enregistrement TXT sur votre domaine liste les serveurs autorisés à émettre en votre nom. Deux erreurs fréquentes : dépasser la limite de dix résolutions DNS, ce qui invalide silencieusement l’enregistrement, et terminer par ?all ou +all au lieu de ~all, ce qui revient à n’autoriser personne en particulier.
DKIM — la signature cryptographique
Une paire de clés signe chaque message et permet au destinataire de vérifier qu’il n’a pas été altéré. Utilisez une clé de 2048 bits, et une sélection distincte par outil d’envoi : une pour votre messagerie interne, une pour la plateforme de campagnes, une pour les emails transactionnels. Cela permet d’isoler un problème sans tout casser.
DMARC — la politique et le retour d’information
DMARC indique au destinataire quoi faire quand SPF et DKIM échouent, et vous fait remonter des rapports. La progression saine se fait en trois temps :
1p=none pendant deux à quatre semaines, avec adresse de rapport (rua). Vous observez sans rien bloquer et découvrez tous vos flux d’envoi, y compris ceux que vous aviez oubliés.
2p=quarantine avec un pourcentage progressif, une fois que les rapports montrent un alignement propre.
3p=reject en cible finale. C’est le niveau qui protège réellement votre domaine contre l’usurpation.
L’alignement, la subtilité qui bloque tout
DMARC exige que le domaine visible dans le champ From corresponde au domaine validé par SPF ou par DKIM. Une configuration où les trois enregistrements existent mais où l’expéditeur d’enveloppe appartient à la plateforme d’envoi échoue à l’alignement. Testez toujours avec un message réel, pas seulement avec un vérificateur DNS.
Ne prospectez jamais depuis votre domaine principal
C’est la décision d’architecture la plus importante, et elle se prend avant la première campagne. Si votre domaine principal est brûlé par une campagne mal calibrée, vous ne perdez pas seulement une campagne : vous perdez la messagerie de toute l’entreprise, factures et échanges clients compris.
Domaine principal : messagerie interne et échanges clients uniquement.
Domaine secondaire dédié à la prospection, proche du principal et clairement rattaché à l’entreprise, avec un site minimal et des mentions légales.
Sous-domaine pour les emails transactionnels, séparé du reste.
Chaque domaine avec sa propre configuration SPF, DKIM et DMARC, et sa propre réputation.
Un domaine de prospection doit être enregistré et configuré au moins trois à quatre semaines avant le premier envoi : un domaine créé la veille est un signal négatif fort pour les filtres.
Le warm-up : monter en volume sans se faire bloquer
Un domaine neuf n’a pas de réputation. Envoyer 5 000 messages dès le premier jour est le moyen le plus rapide de se faire classer comme source de spam. La montée doit être progressive et pilotée par les signaux d’engagement, pas par le calendrier.
Période
Volume / jour / boîte
Objectif
Semaine 1
10 à 20
Générer des réponses réelles, y compris internes
Semaine 2
20 à 40
Vérifier l’absence de rebonds anormaux
Semaine 3
40 à 70
Premier segment de prospection ciblé
Semaine 4
70 à 100
Régime de croisière sur une boîte
Au-delà
Multiplier les boîtes, pas le volume par boîte
Une boîte au-delà de 120 envois par jour devient suspecte
Rythme prudent pour un domaine neuf. Ralentissez d’une semaine dès que le taux de rebond dépasse 3 % ou que les réponses s’effondrent.
Le signal qui compte vraiment : la réponse
Les filtres modernes pondèrent fortement les réponses et les mises en contact, très peu les ouvertures. Une campagne qui génère 2 % de réponses réelles construit une réputation solide ; une campagne à 40 % d’ouvertures et 0,1 % de réponses la dégrade. Cela plaide pour des volumes plus faibles et des messages nettement plus ciblés.
Le contenu influence le placement
Pas d’image dans les premiers messages. Un email de prospection en texte quasi brut ressemble à un message humain ; un template HTML avec bannière ressemble à une newsletter, et est filtré comme telle.
Un seul lien, voire aucun dans le premier message. Les liens raccourcis et les redirecteurs de tracking sont des signaux négatifs marqués.
Pas de pixel de suivi sur les séquences à froid : le gain d’information ne compense pas le coût en délivrabilité.
Objet descriptif et honnête, en rapport avec le contenu. Les objets simulant une conversation antérieure sont détectés et pénalisés.
Signature sobre, avec identité de l’entreprise, mention d’information RGPD et lien de désinscription réel.
Les seuils à surveiller
Indicateur
Zone saine
Alerte
Arrêt immédiat
Hard bounce
< 2 %
2 à 5 %
> 5 %
Plaintes (spam)
< 0,1 %
0,1 à 0,3 %
> 0,3 %
Désinscriptions
< 0,5 %
0,5 à 1,5 %
> 2 %
Taux de réponse
> 1,5 %
0,5 à 1,5 %
< 0,3 %
Un taux de réponse effondré sur un fichier techniquement valide est presque toujours un problème de placement, pas de message.
Coupez la campagne dès qu’un seuil rouge est atteint, laissez le domaine se reposer une à deux semaines, corrigez la cause, puis reprenez à volume réduit. Continuer en espérant que cela passe est le scénario qui coûte un domaine.
Diagnostiquer un effondrement
1
Vérifier l’authentification sur un message réel
Envoyez-vous un message et examinez les en-têtes : SPF, DKIM et DMARC doivent tous afficher pass, avec alignement. Une régression de configuration après un changement de plateforme d’envoi est la cause la plus fréquente.
2
Contrôler les listes de blocage
Vérifiez l’adresse IP d’envoi et le domaine sur les principales listes publiques. Une inscription récente explique un effondrement brutal.
3
Mesurer le placement avec des comptes témoins
Un jeu de boîtes de test chez les principaux fournisseurs, alimenté à chaque campagne, vous dit en dix minutes si le problème est un blocage ou un classement en spam.
La qualité d’un fichier se mesure, elle ne se promet pas. Douze indicateurs objectifs, cinq tests réalisables en une heure sur un échantillon, et les seuils au-delà desquels il faut refuser la livraison.
En B2B, le consentement préalable n’est pas requis pour l’email — mais quatre conditions le sont, et l’absence de dossier documenté suffit à faire basculer un contrôle CNIL. Le point complet, canal par canal.
Une séquence n’est pas une suite de relances : c’est un enchaînement de canaux où chaque contact s’appuie sur le précédent. Modèle sur 21 jours, contenu des messages et règles d’arrêt.