Délivrabilité e-mail : SPF, DKIM, DMARC et chauffe

La délivrabilité décrit le fait que votre message atteigne la boîte de réception — et non que le serveur destinataire l’ait accepté. Cette seconde chose s’appelle la distribution, et presque tous les outils d’envoi la rapportent comme « délivré ». Un message trié directement dans les indésirables compte comme délivré. C’est dans cet écart que les expéditeurs perdent des mois.

Les fournisseurs de messagerie décident du placement message par message, à partir de signaux répartis en trois familles. L’identité : peuvent-ils prouver qui a envoyé ceci ? La réputation : comment les destinataires ont-ils réagi au courrier venu de ce domaine et de cette IP par le passé ? Le contenu : le message ressemble-t-il à ce dont les gens se plaignent ? L’identité se règle avec SPF, DKIM et DMARC et dépend entièrement de vous. La réputation se gagne lentement et se perd vite. Le contenu compte le moins, et c’est pourquoi réécrire des objets ne corrige presque jamais un problème de placement.

Conséquence pratique : réglez d’abord l’authentification, parce que c’est une après-midi de travail au bénéfice permanent, puis traitez tout le reste comme de la gestion de réputation. Aucun en-tête, aucun enregistrement, aucun réglage ne fera atterrir en boîte de réception un courrier envoyé à une mauvaise liste.

SPF est un enregistrement TXT sur votre domaine qui liste les serveurs autorisés à envoyer du courrier en son nom. Un enregistrement minimal ressemble à v=spf1 include:_spf.votre-prestataire.example ~all. Le serveur destinataire prend l’expéditeur d’enveloppe — le Return-Path, pas l’adresse From visible —, lit l’enregistrement SPF de ce domaine, et vérifie que l’IP qui se connecte est autorisée.

Trois détails expliquent la plupart des échecs SPF :

• La limite de dix résolutions. Chaque include, a, mx et redirect coûte une requête DNS, et les includes imbriqués comptent aussi. Au-delà de dix, l’enregistrement renvoie une erreur permanente que les destinataires peuvent traiter comme un échec. Revérifiez-le à chaque ajout d’outil.
• Un seul enregistrement. Deux enregistrements TXT SPF sur le même domaine constituent une erreur, pas une fusion. Réunissez-les en un seul.
• ~all contre -all. Le softfail marque le courrier non autorisé ; le hardfail demande aux destinataires de le rejeter. Ne passez à -all qu’une fois certain que tous vos expéditeurs légitimes sont listés.

SPF casse en cas de redirection de courrier, car l’IP du serveur qui relaie ne figure pas dans votre enregistrement. Ce n’est pas un défaut que vous puissiez corriger, et c’est précisément la raison d’être de DKIM et le motif pour lequel DMARC accepte une réussite venue de l’un ou l’autre mécanisme.

DKIM ajoute une signature cryptographique aux en-têtes du message. Vous publiez une clé publique dans un enregistrement TXT à l’adresse selecteur._domainkey.votredomaine.com ; votre plateforme d’envoi détient la clé privée et signe chaque message. Le destinataire récupère la clé publique, vérifie la signature, et sait dès lors que le message a été autorisé par le domaine indiqué dans la balise d= et qu’il n’a pas été altéré en route.

En pratique :

• Utilisez une clé de 2048 bits si votre hébergeur DNS le permet. Le 1024 bits se vérifie encore, mais c’est l’option la plus faible.
• Donnez à chaque plateforme d’envoi son propre sélecteur, afin de pouvoir en changer ou en retirer un sans toucher aux autres.
• Le domaine signataire de la balise d= doit correspondre à votre domaine From, sinon l’alignement DMARC échoue alors même que DKIM a réussi.
• Renouvelez les clés périodiquement et supprimez les sélecteurs des outils que vous n’utilisez plus — une clé inutilisée est une invitation permanente.

Comme la signature voyage avec le message, DKIM survit aux redirections simples là où SPF échoue. Si vous ne deviez en configurer qu’un des deux, DKIM serait le plus précieux. Configurez les deux malgré tout : les destinataires les pondèrent différemment, et DMARC est bien plus robuste quand l’un ou l’autre peut porter l’alignement.

DMARC relie SPF et DKIM à l’adresse que le lecteur voit réellement. Un message passe DMARC quand SPF ou DKIM réussit et que le domaine authentifié correspond au domaine From. Cette correspondance s’appelle l’alignement, et c’est la partie que l’on rate : un message peut réussir SPF sans faute sur le domaine d’un prestataire et échouer à DMARC parce que l’en-tête From annonce autre chose.

L’enregistrement est une entrée TXT sur _dmarc.votredomaine.com, par exemple v=DMARC1; p=none; rua=mailto:[email protected]. La balise de politique dit aux destinataires quoi faire des échecs :

• p=none — surveillance seule. Commencez ici, pour voir qui envoie en votre nom.
• p=quarantine — les échecs partent en indésirables. Passez-y une fois les rapports propres.
• p=reject — les échecs sont refusés d’emblée. L’état visé, et celui qui empêche les autres d’usurper votre domaine.

Les rapports agrégés qui arrivent à votre adresse rua sont en XML et pénibles à lire tels quels ; n’importe quel analyseur de rapports DMARC fera l’affaire. Lisez-les pendant quelques semaines avant de durcir la politique. Les exigences publiées par Google et Yahoo pour les expéditeurs en volume attendent désormais un enregistrement DMARC, une authentification alignée, une désinscription en un clic et de faibles taux de plainte : rien de tout cela n’est optionnel dès que vous envoyez en volume.

Un domaine neuf n’a aucune réputation, et les fournisseurs de messagerie traitent l’absence de réputation avec méfiance. La chauffe construit un historique d’envoi : commencez par une poignée de messages par boîte et par jour, augmentez progressivement sur deux à quatre semaines, et veillez à ce qu’une part significative de ces premiers messages soit ouverte et obtienne des réponses.

Ce que fait la chauffe, c’est établir que ce domaine envoie du courrier avec lequel les gens interagissent. Ce qu’elle ne peut pas faire, c’est réparer une mauvaise liste, absorber un fort taux de rebond ou compenser des plaintes pour spam. Chauffez soigneusement un domaine, puis envoyez-lui une vieille liste achetée : vous aurez simplement chauffé votre chemin vers un incendie plus rapide.

Règles pratiques :

• Authentifiez avant de chauffer, pas après. Du courrier non authentifié pendant la chauffe enseigne la mauvaise leçon aux destinataires.
• Ne multipliez pas le volume le jour où la chauffe se termine. Montez semaine après semaine.
• Répartissez le volume réel des campagnes sur plusieurs boîtes plutôt que de pousser une seule.
• Surveillez le placement en boîte de réception pendant la montée, et suspendez-la dès qu’il se dégrade au lieu de forcer.

Le module de prospection et de marketing automation de Growmindr gère la chauffe, la limitation par domaine et les fenêtres d’envoi en même temps que les séquences elles-mêmes, ce qui aide surtout à empêcher la montée en volume et le calendrier de campagne de se contrarier.

Un rebond dur est un refus définitif : la boîte n’existe pas, ou le domaine n’accepte aucun courrier. Un rebond mou est temporaire — boîte pleine, serveur occupé, greylisting — et mérite quelques nouvelles tentatives avant d’y renoncer.

Ce sont les rebonds durs qui font mal. Ils indiquent au fournisseur destinataire que vous ne savez pas qui figure sur votre liste, ce qui est la caractéristique même d’un spammeur. Toute adresse en rebond dur doit être exclue définitivement et immédiatement, partout, et jamais réessayée.

Gardez le taux de rebond dur à quelques pour cent au grand maximum, et traitez tout dépassement comme un signal d’arrêt et de correction, pas comme une métrique à observer. Le remède ne se trouve presque jamais dans la configuration d’envoi : il est dans la liste. Vérifiez chaque adresse avant qu’elle entre dans une séquence, revérifiez les listes de plus de quelques mois, et tenez les adresses de fonction telles que info@, sales@ et support@ hors de vos campagnes à froid, car elles rebondissent plus souvent et se plaignent davantage quand elles ne rebondissent pas.

Lisez le motif autant que le taux. Des rebonds concentrés sur un seul domaine destinataire signifient en général que ce domaine vous bloque, et non que les adresses sont invalides — un autre problème, avec un autre remède.

Une plainte pour spam est le signal négatif le plus fort qu’un destinataire puisse envoyer, les fournisseurs lui accordent beaucoup de poids, et ils réagissent vite. Les taux de plainte se mesurent en fractions de pour cent : la tolérance est donc bien plus étroite que ne le supposent la plupart des expéditeurs — les exigences publiées par Google et Yahoo pour les envois en volume fixent toutes deux le taux acceptable nettement sous le pour cent et attendent des expéditeurs qu’ils restent confortablement en dessous, et non à la limite.

Vous ne voyez pas les plaintes chez tous les fournisseurs, mais vous en voyez certaines. Inscrivez-vous aux boucles de rétroaction là où elles existent, servez-vous de Google Postmaster Tools pour surveiller la réputation de domaine et le taux de spam sur le trafic Gmail, et considérez toute hausse comme urgente plutôt qu’intéressante.

L’engagement positif compte aussi, et c’est pourquoi la pertinence l’emporte sur le volume. Les réponses sont le signal positif le plus fort, suivies des messages sortis des indésirables, marqués d’une étoile ou classés. Une suppression sans ouverture est légèrement négative. Une longue période sans aucun signe d’un destinataire est une raison de cesser de lui écrire, pas une raison d’essayer une cinquième fois.

Élaguez donc les inactifs à intervalles réguliers. Une liste qui ne garde que les personnes ayant interagi ces derniers mois surpassera une liste trois fois plus grande, tant sur le placement que sur les réponses.

La délivrabilité se dégrade en silence. Quelque chose change — un nouvel outil se met à envoyer en votre nom, une modification DNS efface un enregistrement, une campagne attire des plaintes — et rien ne vous l’annonce. Une demi-heure par mois attrape presque tout.

• Authentification — SPF se résout en moins de dix requêtes et n’existe qu’en un exemplaire ; DKIM se vérifie pour chaque plateforme d’envoi active ; l’enregistrement DMARC est présent avec la politique voulue.
• Rapports DMARC — une nouvelle source envoie-t-elle sous votre domaine ? Une source légitime échoue-t-elle à l’alignement ?
• DNS inverse — l’enregistrement PTR de l’IP d’envoi résout vers un nom d’hôte qui résout à son tour vers elle.
• Listes de blocage — contrôlez vos domaines et IP d’envoi face aux principales listes publiques.
• Tendance des rebonds et des plaintes — la direction compte plus que le chiffre d’un mois donné.
• Test de placement — envoyez un vrai message de campagne vers vos propres comptes chez les grands fournisseurs et notez où il atterrit.
• Désinscription — l’en-tête de désinscription en un clic est présent sur les envois de masse, et les désinscriptions sont réellement exclues de toutes vos campagnes.

Notez le résultat chaque mois. Un mois de chiffres ne vous apprend presque rien ; six mois des mêmes chiffres vous disent exactement quand le problème a commencé, ce qui constitue en général l’essentiel du diagnostic.