Un DMARC bien configuré prouve à un serveur receveur que vos emails viennent réellement de votre domaine — il ne dit rien sur votre réputation d'expéditeur, la qualité de votre contenu, ni sur d'autres protocoles comme MTA-STS. Si vos emails finissent en spam malgré DMARC, la cause est presque toujours ailleurs.

Votre politique DMARC est encore en p=none

C'est la cause numéro un. p=none active uniquement la collecte de rapports : aucun email n'est bloqué ni mis en quarantaine, même s'il échoue l'authentification. Un DMARC en p=none n'a strictement aucun effet sur la délivrabilité — il ne fait qu'observer. Si vous voulez que DMARC influence le classement de vos emails, il faut passer à p=quarantine ou p=reject.

La réputation de votre domaine ou de votre IP est mauvaise

L'authentification et la réputation sont deux choses séparées. Un domaine ou une adresse IP qui a un historique de plaintes spam, un volume d'envoi anormal, ou une présence sur une blocklist sera filtré indépendamment d'un DMARC parfaitement configuré. Les causes courantes :

L'alignement SPF/DKIM n'est pas ce que vous croyez

DMARC exige que SPF ou DKIM soit à la fois valide et aligné avec le domaine de l'en-tête From. Un cas fréquent : SPF passe techniquement, mais sur le domaine du Return-Path d'un outil d'envoi tiers (par exemple un CRM ou une plateforme transactionnelle) qui n'est pas suffisamment aligné avec votre domaine affiché. Résultat : DMARC échoue malgré un SPF « valide » en apparence.

Pour vérifier ce qui se passe réellement sur un message donné, l'en-tête Authentication-Results ajouté par le serveur receveur est la source la plus fiable — bien plus que de relire votre propre configuration DNS.

Le contenu ou le comportement d'envoi déclenche les filtres

Même parfaitement authentifié, un email peut être filtré pour des raisons de contenu ou de comportement : trop de liens, un ratio texte/image déséquilibré, des mots-déclencheurs typiques du spam, ou un envoi massif et soudain sans historique de warm-up. DMARC n'a aucune influence sur cette couche de filtrage — elle est indépendante de l'authentification.

Absence de MTA-STS ou de chiffrement en transit

Certains filtres tiennent compte de la sécurité du transport (TLS) en plus de l'authentification du message. Un domaine qui n'a pas configuré MTA-STS, ou dont le serveur mail accepte des connexions non chiffrées, peut être perçu comme moins fiable par certains fournisseurs — un facteur distinct de DMARC mais qui s'additionne dans l'évaluation globale de la réputation.

Ce qu'il faut vérifier dans l'ordre

  1. Votre politique DMARC est-elle réellement en quarantine ou reject, avec un pct suffisant ?
  2. SPF et DKIM sont-ils tous les deux configurés et alignés avec le domaine du From ?
  3. Votre IP ou domaine figure-t-il sur une blocklist connue ?
  4. Le volume et le rythme d'envoi sont-ils cohérents avec l'historique de réputation de votre domaine ?

Un audit complet (SPF, DKIM, DMARC, blocklists) permet de distinguer en quelques secondes ce qui relève de l'authentification de ce qui relève de la réputation — deux problèmes qui se corrigent très différemment.