Un cold email qui atterrit en spam ne rate pas sa cible à cause d'un mauvais message. Il rate sa cible avant même d'être lu, parce que le domaine qui l'envoie n'a pas les trois enregistrements DNS que Gmail et les autres messageries exigent désormais pour faire confiance à un expéditeur. SPF, DKIM et DMARC ne sont pas des options techniques réservées aux grosses équipes marketing : depuis février 2024, ce sont les règles minimales pour qu'un email de prospection ait une chance d'arriver en boîte de réception plutôt qu'en spam ou, pire, nulle part.
Pourquoi vos cold emails finissent en spam depuis 2024
Le 1er février 2024, Google et Yahoo ont durci leurs règles pour tous les expéditeurs envoyant vers des adresses Gmail ou Yahoo personnelles, pas seulement les grosses campagnes marketing. Les directives officielles de Google pour les expéditeurs imposent depuis cette date au minimum SPF ou DKIM configuré sur le domaine d'envoi, un taux de plaintes spam maintenu sous 0,3% dans Postmaster Tools, et des messages conformes au format RFC 5322. Pour les envois massifs (à partir de 5 000 messages par jour vers des comptes Gmail personnels), les trois protocoles SPF, DKIM et DMARC deviennent obligatoires, avec au minimum une politique DMARC p=none.
Un freelance qui prospecte 50 ou 200 entreprises par semaine n'atteint pas ce seuil de 5 000 messages/jour, donc l'obligation stricte des trois protocoles ne s'applique pas légalement à lui. Mais le filtrage, lui, ne fait pas cette distinction aussi finement dans la pratique : un domaine sans DKIM ni DMARC envoie un signal de confiance nettement plus faible aux algorithmes anti-spam de Gmail, Outlook et Yahoo, qui ne se contentent plus d'analyser le contenu du message mais évaluent la réputation du domaine et de l'IP d'envoi dans leur ensemble. Google a par ailleurs annoncé un renforcement de l'application de ces règles à partir de novembre 2025, avec des rejets temporaires puis permanents pour les expéditeurs non conformes, ce qui rend la question encore plus pressante pour 2026.
Les 3 protocoles expliqués sans jargon
Les trois protocoles répondent chacun à une question différente que se pose la messagerie du destinataire avant d'accepter un email.
SPF (Sender Policy Framework) répond à la question « ce serveur a-t-il le droit d'envoyer des emails pour ce domaine ? ». C'est un enregistrement DNS de type TXT qui liste les serveurs autorisés à envoyer au nom du domaine. Sans lui, n'importe qui peut techniquement usurper l'adresse d'expéditeur.
DKIM (DomainKeys Identified Mail) répond à « ce message a-t-il été modifié en chemin, et vient-il vraiment de ce domaine ? ». Chaque email envoyé est signé avec une clé privée, et le destinataire vérifie cette signature avec la clé publique publiée en DNS. Si le contenu a été altéré entre l'envoi et la réception, la signature ne correspond plus.
DMARC (Domain-based Message Authentication, Reporting and Conformance) répond à « que faire d'un message qui échoue SPF ou DKIM ? ». C'est la politique qui dit à la messagerie destinataire quoi faire dans ce cas (ne rien faire, mettre en quarantaine, ou rejeter), et qui exige un alignement entre le domaine visible dans le champ « De » et les domaines vérifiés par SPF et DKIM. Sans DMARC, SPF et DKIM peuvent être configurés sans jamais réellement protéger le domaine contre l'usurpation.
Les trois se complètent : SPF et DKIM authentifient, DMARC décide de la sanction en cas d'échec et permet de recevoir des rapports sur les tentatives d'usurpation de son domaine.
Domaine de prospection dédié : la bonne pratique qui protège le principal
La recommandation qui revient dans la quasi-totalité des guides sérieux sur la délivrabilité cold email est d'utiliser un domaine séparé pour la prospection, distinct du domaine principal utilisé pour la facturation, le site ou les échanges clients existants. L'intérêt est simple : un domaine de prospection qui accumule des plaintes spam ou un taux de rebond élevé (à cause d'adresses invalides ou d'un volume trop agressif) voit sa réputation se dégrader, mais cette dégradation reste isolée. Le domaine principal, utilisé pour les factures ou les échanges avec des clients existants, continue d'arriver normalement en boîte de réception.
Un domaine neuf n'a par ailleurs aucun historique de réputation auprès des messageries : les guides du secteur recommandent une période de « chauffe » de plusieurs semaines (montée progressive du volume envoyé, en commençant bas) avant de l'utiliser en volume, plutôt que d'envoyer 200 emails dès le premier jour sur un domaine tout juste créé.
Checklist : vérifier sa délivrabilité avant d'envoyer
Avant de lancer une campagne, quelques vérifications rapides évitent des semaines de résultats dégradés sans en comprendre la cause :
- Tester l'authentification avec un outil gratuit de test de délivrabilité (type Mail-tester ou équivalent) : il envoie un email de test et rend un score détaillé sur SPF, DKIM, DMARC et la réputation générale du domaine.
- Vérifier l'alignement DMARC : le domaine visible dans l'adresse d'expéditeur (« De ») doit correspondre au domaine vérifié par SPF ou DKIM, sinon l'authentification échoue même si les enregistrements DNS existent.
- Surveiller le taux de plainte via Google Postmaster Tools si le volume le justifie, en restant sous 0,3% et idéalement sous 0,1%.
- Ne jamais acheter de liste d'emails non vérifiée : un taux de rebond élevé sur les premiers envois suffit à dégrader durablement la réputation d'un domaine tout neuf.
On observe régulièrement, en auditant des sites de prospects pour Citylead, des entreprises dont la fiche Google ou le site n'affiche aucun email professionnel exploitable, uniquement une adresse générique webmail ou aucune adresse du tout. Ça n'a rien à voir avec la délivrabilité de vos propres emails, mais ça rappelle que la qualité du contact visé compte autant que la qualité technique de l'envoi : un email parfaitement authentifié envoyé vers une adresse générique jamais consultée n'obtient pas plus de réponses qu'un email mal configuré envoyé au bon interlocuteur.
C'est ce que vérifie automatiquement le filtre RGPD-safe de Citylead sur les leads collectés : les adresses email manifestement personnelles (webmail grand public type Gmail, Outlook, Yahoo) sont exclues par défaut des résultats traités comme des contacts professionnels, pour rester dans un régime de prospection B2B strict sans avoir à vérifier chaque adresse une par une avant d'envoyer. Une infrastructure d'envoi bien configurée (SPF, DKIM, DMARC, domaine dédié) ne sert à rien si la liste de contacts en amont n'est pas fiable, et inversement.
