Les exigences Gmail et Yahoo

Les règles pour les expéditeurs en masse introduites en 2024, à qui elles s'appliquent, et ce qu'elles impliquent pour le transactionnel.

Ce qui a changé

En février 2024, Google et Yahoo ont introduit un ensemble commun d’exigences pour les expéditeurs en masse. Microsoft a annoncé des règles comparables pour les gros volumes ensuite. Rien de tout cela n’était techniquement nouveau : cela a fait d’une bonne pratique de longue date une condition de livraison.

Résultat : l’authentification n’est plus un moyen d’améliorer vos chances. C’est le ticket d’entrée.

Les exigences

Authentifier avec SPF et DKIM. Les deux, pas l’un ou l’autre. Voir SPF et DKIM.

Publier un DMARC. Une politique p=none satisfait la lettre de la règle, et le message doit passer l’alignement DMARC : le domaine de votre From: visible doit s’aligner avec le domaine qui a passé le SPF ou signé en DKIM. Voir DMARC.

DNS direct et inverse valides. L’IP d’envoi doit avoir un PTR qui résout vers le même hôte. Cela appartient au propriétaire de l’IP.

TLS en transit. Les connexions doivent être chiffrées.

Désinscription en un clic sur le courrier promotionnel. List-Unsubscribe plus List-Unsubscribe-Post, traitée en deux jours maximum. Voir la désinscription en un clic.

Garder les plaintes à un niveau bas. Sous 0,3 %, mesuré dans Postmaster Tools de Google. Le niveau à viser est plutôt 0,1 % : 0,3 % est le seuil où l’application commence, pas un objectif.

Ne pas usurper. Un en-tête From: utilisant gmail.com alors que vous n’êtes pas Gmail échoue au DMARC et est refusé.

Cela concerne-t-il le transactionnel ?

Le seuil de 5 000 par jour est mesuré par fournisseur, par domaine d’envoi, sur une seule journée. Si vous le franchissez une fois, vous êtes traité comme expéditeur en masse à partir de là. Un service qui n’envoie que des réinitialisations de mot de passe reste généralement dessous ; un service qui envoie des confirmations de commande à l’échelle du commerce de détail, non.

Deux raisons de ne pas se relâcher si vous êtes sous le seuil :

1. Le taux de plaintes et les signaux d’authentification s’appliquent à tout le monde. Les 5 000 conditionnent les exigences formelles, pas le filtrage.
2. Le volume n’est pas stable. Un lancement, un incident de sécurité forçant des réinitialisations massives, ou une croissance ordinaire peuvent vous faire franchir la ligne un jour où vous ne l’aviez pas prévu.

Traitez cette liste comme votre socle quel que soit votre volume. Tout ce qu’elle contient vaut la peine à 100 messages par jour.

Avec Mailverick

L’essentiel de la liste est déjà couvert :

• Le SPF et le DKIM doivent tous deux être valides avant qu’un domaine puisse envoyer. Un domaine non authentifié ne peut donc pas être la cause d’un échec de livraison. Voir Démarrage.
• Chaque message porte List-Unsubscribe et List-Unsubscribe-Post: List-Unsubscribe=One-Click, plus un en-tête Feedback-ID pour la remontée de plaintes côté fournisseur.
• Le DNS inverse, le TLS et la réputation IP de l’infrastructure d’envoi sont à notre charge.
• Les plaintes arrivent en événements spam_reported et le destinataire est supprimé automatiquement, donc une plainte ne peut pas se répéter.

Ce qui reste de votre côté : publier un enregistrement DMARC, garder votre domaine From: aligné, et garder votre liste assez propre pour que les plaintes restent basses.

Erreurs fréquentes

Compter le volume total au lieu du volume par fournisseur. 10 000 messages par jour répartis sur plusieurs fournisseurs peuvent rester sous le seuil chez chacun. 5 000 vers Gmail seul, non.

Publier un DMARC sans vérifier l’alignement. Un enregistrement à _dmarc n’est pas l’exigence. Passer le DMARC l’est. Un domaine dont la politique existe mais dont le courrier échoue à l’alignement est en moins bonne posture qu’il n’y paraît, parce qu’il a désormais l’air configuré.

Croire le transactionnel exempté de désinscription. L’exigence suit le contenu, pas l’étiquette. Un email « votre récapitulatif hebdomadaire » est promotionnel au sens qui compte ici.

Ignorer Postmaster Tools. C’est le seul endroit où voir votre taux de plaintes tel que Gmail le mesure. Sans lui, vous devinez le seul chiffre pour lequel un seuil est publié.

Ne réagir qu’après un blocage. L’application se manifeste par une hausse du classement en spam, pas par une annonce. Quand cela devient évident, la réputation a déjà souffert.

Questions fréquentes

Suis-je un expéditeur en masse ?

Si vous envoyez environ 5 000 messages ou plus vers un seul fournisseur sur une seule journée, oui, et définitivement à partir de là.

p=none suffit-il vraiment pour le DMARC ?

Pour l’exigence, oui. Pour protéger votre domaine, non. Il publie une politique qui n’applique rien : traitez-le comme un point de départ.

Ces règles s’appliquent-elles ailleurs que chez Gmail et Yahoo ?

Microsoft a des exigences équivalentes pour les gros volumes, et d’autres fournisseurs filtrent sur les mêmes signaux sans publier de seuils. Satisfaire ces exigences revient presque à satisfaire toutes les autres.

La désinscription en un clic a-t-elle sa place sur une réinitialisation de mot de passe ?

Non obligatoire, et discutable : un email de sécurité n’est pas quelque chose qu’un utilisateur devrait pouvoir désactiver. Mailverick inclut l’en-tête sur chaque message envoyé, ce qui satisfait l’exigence partout où elle s’applique sans que vous ayez à classer chaque message.

Que se passe-t-il si je manque une exigence ?

Rien d’annoncé. Le courrier commence à atterrir en spam ou à être rejeté, progressivement, et vous l’apprenez par vos propres métriques.

Dernière mise à jour : août 2026