Délivrabilité email : arriver en boîte de réception en B2B

Nous opérons des campagnes de cold emailing B2B de bout en bout pour des entreprises qui vendent déjà. Ce qui suit, c'est ce qu'on applique nous-mêmes - et ce qu'on refuse de faire.

Ce que veut dire délivrabilité (et pourquoi ce n'est pas la même chose qu'être envoyé)

« Envoyé », c'est un fait technique : votre serveur SMTP - le facteur qui expédie vos emails - a poussé le message. « Délivré », c'est plus loin : le serveur du destinataire l'a accepté. Et « arrivé en boîte de réception », le seul qui compte, c'est un jugement rendu en quelques millisecondes par Gmail, Outlook ou le filtre anti-spam de l'entreprise.

Un email accepté peut donc atterrir à quatre endroits :

• la boîte de réception principale ;
• l'onglet Promotions (Gmail) ou un dossier « Autres » qu'on ne consulte jamais ;
• le dossier spam du destinataire ;
• nulle part de visible - accepté, puis filtré côté serveur d'entreprise.

C'est pour ça qu'on distingue deux chiffres : le taux de délivrabilité (le serveur a dit oui) et le taux de placement (l'humain peut ouvrir). Le premier est flatteur et souvent supérieur à 95 %. Le second est le seul qui produit des rendez-vous.

Pourquoi la délivrabilité cold email est plus dure qu'une newsletter ? Parce qu'un filtre lit le contexte. Un destinataire qui n'a jamais entendu parler de vous, un domaine jeune, un premier contact commercial : les signaux partent négatifs. Google et Microsoft ne vous connaissent pas encore, donc ils vous traitent comme un inconnu - jusqu'à preuve du contraire. La newsletter, elle, part vers des gens qui se sont inscrits. Vous, vous devez mériter votre place.

Les 3 piliers : authentification, réputation, engagement

Toute la délivrabilité email tient sur trois jambes. Si une seule manque, le système décide pour vous.

1. L'authentification prouve qui vous êtes. Elle répond à une question simple : cet email vient-il vraiment du domaine qu'il prétend ? C'est le rôle de SPF, DKIM et DMARC, qu'on détaille juste après. Sans authentification, votre phrase d'accroche n'existe même pas pour le filtre.

2. La réputation d'expéditeur retient ce qu'on pense de vous. Elle se construit sur trois historiques : celui de votre domaine, celui de l'adresse IP qui envoie, et celui de votre expéditeur. Elle se casse vite et se répare lentement. Un pic de plaintes la semaine dernière pèse encore dans la balance le mois prochain.

3. L'engagement décide du placement final. Ouvertures, réponses, transferts, mais aussi suppressions sans lecture et clics sur « Signaler comme spam ». En prospection, le signal roi est la réponse. Un filtre voit un fil de discussion à deux : c'est bon signe. Il voit 300 emails identiques restés fermés : c'est mauvais signe.

L'ordre compte. L'authentification vous fait passer la porte, la réputation fixe votre marge de tolérance, l'engagement vous installe en boîte de réception ou vous expulse.

SPF, DKIM, DMARC expliqués simplement (avec les enregistrements à configurer)

Trois acronymes, trois rôles distincts. On les explique en une phrase chacun, puis on passe au DNS.

• SPF = la liste des serveurs autorisés à envoyer pour votre domaine.
• DKIM = la signature numérique qui prouve que le message n'a pas été modifié.
• DMARC = la règle qui dit quoi faire quand SPF ou DKIM échoue, et où envoyer les rapports.

Ces trois enregistrements vivent dans la zone DNS de votre domaine, chez votre registrar ou votre hébergeur. SPF DKIM DMARC se configure une fois, proprement, avant le premier email. Ça se délègue à un prestataire, ça ne s'improvise pas.

L'enregistrement SPF

Type TXT, à la racine du domaine, il liste les serveurs autorisés. Un exemple :

v=spf1 include:_spf.google.com include:spf.votre-outil.fr ~all

Attention à une limite technique : SPF s'arrête au bout de 10 « lookups » DNS. Au-delà, il échoue en silence. Les outils de prospection qui empilent les include, sans que personne ne compte, sont une cause classique de panne invisible.

L'enregistrement DKIM

CNAME ou TXT, sous un sélecteur, il contient la clé publique qui vérifie la signature du message. Exemple de nom d'hôte : s1._domainkey.votre-domaine.fr, avec une valeur du type :

v=DKIM1; k=rsa; p=MIGfMA0GCSq...

Le sélecteur est fourni par votre outil d'envoi. Bonne nouvelle : DKIM repose sur une clé cryptographique, donc il ne consomme pas de lookup SPF.

L'enregistrement DMARC

Type TXT, sous _dmarc.votre-domaine.fr, il s'appuie sur les deux autres :

v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr; pct=100; fo=1

• p=none : surveillance seule. On reçoit les rapports, on ne bloque rien.
• p=quarantine : les messages qui échouent partent en spam.
• p=reject : ils sont refusés.

La règle d'or, c'est le mot alignement : le domaine visible dans le champ « De » doit correspondre au domaine validé par SPF ou DKIM. Un SPF qui passe pour outil-de-prospection.com alors que l'email part de votre-domaine.fr ne vous sert à rien. Côté séquence : démarrez en p=none, laissez tourner deux à quatre semaines, lisez les rapports rua, corrigez les sources légitimes qui échouent, puis montez à quarantine et enfin reject.

Les nouvelles règles de Google et Microsoft pour les expéditeurs

Deux changements ont redessiné le terrain, et la plupart des guides français ne les traitent pas sous l'angle prospection.

Google, depuis février 2024. Les expéditeurs dits « de masse » - à partir de 5 000 messages par jour et par domaine principal vers des adresses Gmail personnelles - doivent :

• authentifier tout message avec SPF et DKIM ;
• publier une politique DMARC sur le domaine d'envoi ;
• aligner le champ « De » avec le domaine SPF ou DKIM validé ;
• proposer un désabonnement en un clic (en-têtes List-Unsubscribe et List-Unsubscribe-Post: List-Unsubscribe=One-Click) pour les messages marketing ;
• rester sous 0,3 % de taux de plainte, avec une cible recommandée sous 0,1 %.

Google a depuis élargi l'esprit de ces règles : la courbe va dans un sens, celui d'exiger l'authentification de tout le monde.

Microsoft, depuis le 5 mai 2025. Outlook.com (Outlook, Hotmail, Live) exige pour les domaines envoyant 5 000 emails par jour ou plus : SPF qui passe, DKIM aligné sur le domaine « De », DMARC publié - p=none accepté au démarrage -, plus un mécanisme de désabonnement fonctionnel et le respect rapide des opt-out. Microsoft compte le volume au niveau du domaine principal, sous-domaines inclus. Un sous-domaine n'est donc pas une porte dérobée.

Ce que ça implique concrètement : même si vous envoyez 80 emails par jour, votre domaine est jugé selon la même grille de qualité. Vous n'échappez pas aux règles, vous échappez seulement au contrôle automatique. Et côté français, l'opt-out n'est pas qu'une question technique : il répond aussi au cadre CNIL de la prospection B2B.

La chauffe des domaines : combien d'emails par jour selon l'âge du domaine

La chauffe de domaine consiste à construire une réputation progressivement, en montant le volume par paliers, pour que les filtres apprennent que vous envoyez du courrier légitime. Brûler cette étape, c'est obtenir quelques centaines de rendez-vous… puis finir en spam pour de bon.

Notre référentiel, par boîte email (pas par domaine) :

Quatre règles qui comptent autant que les chiffres :

1. Augmentez de 20 à 25 % par semaine maximum. Jamais de saut de 0 à 200, même avec une campagne qui doit « partir lundi ».
2. Restez régulier. 30 emails lundi, 300 mardi, 0 mercredi : le profil de volume irrégulier est un signal de robot.
3. Commencez par les contacts les plus pertinents. Les premiers destinataires d'un domaine neuf pèsent le plus lourd dans sa réputation : ne gaspillez pas cette fenêtre sur votre base la plus froide.
4. Ne confondez pas plafond technique et plafond de réputation. Google Workspace autorise techniquement jusqu'à 2 000 destinataires par jour et par utilisateur. Ce n'est pas une autorisation, c'est une limite administrative.

Un domaine ancien, avec un historique propre et authentifié, chauffe plus vite - 3 à 4 semaines suffisent. Un domaine tout neuf démarre de zéro. Un domaine déjà signalé, lui, ne « se re-chauffe » pas : il se répare (voir plus bas).

Les seuils à ne jamais dépasser (taux de plainte, taux de rebond)

Ces chiffres ne sont pas des objectifs de performance. Ce sont des lignes rouges.

Deux lectures utiles. Un taux de rebond qui grimpe veut dire que votre liste est polluée : les adresses invalides répétées font exactement l'effet d'un tir à l'aveugle auprès des fournisseurs. Et un taux de réponse qui s'écroule alors que la délivrabilité tient encore, c'est un problème de ciblage ou de message, pas de technique - ne cherchez pas la panne au mauvais endroit.

Dernier point de contrôle : la présence sur liste noire. Spamhaus, Barracuda et consorts se consultent gratuitement. Une inscription sur une liste majeure, c'est la boîte de réception qui disparaît, pas seulement pour votre campagne.

Pourquoi utiliser un domaine secondaire et jamais votre domaine principal

C'est la règle la moins négociable de cet article.

Votre domaine principal porte vos factures, vos échanges clients, votre support, votre signature, peut-être votre SaaS. Le jour où il terminera sur une liste noire à cause d'emails non sollicités, vous ne perdez pas une campagne : vous perdez la capacité d'écrire à vos clients. C'est un risque qui n'a aucun rapport avec le gain attendu.

En pratique, on envoie donc depuis un domaine secondaire, dédié à la prospection, authentifié de son côté (SPF, DKIM, DMARC sur ce domaine, pas seulement sur le principal). Quelques principes :

• Un domaine crédible. Une variante propre de votre marque se défend. Un domaine du type promo-offre-gratuite.biz crie le spam avant même l'ouverture.
• Un sous-domaine n'est pas une protection. Microsoft et Google raisonnent par domaine principal, sous-domaines inclus. mail.votredomaine.fr hérite en partie de la réputation du principal, dans les deux sens.
• Une seule adresse web, dans la signature. Le lien vers votre vrai site renforce la légitimité. Quatre liens dans un premier email commercial, c'est un signal de spam classique.
• Une boîte d'envoi par commercial, pas une boîte partagée. Ça limite la casse et ça rend les réponses naturelles.

Les 5 erreurs qui détruisent une réputation d'envoi

1. Acheter ou scraper une liste de contacts. Vous héritez de pièges à spam (adresses jamais utilisées, invisibles, disposées exprès dans des pages web) et vous tapez sur les nerfs de gens qui n'ont rien demandé. Le risque est double : technique et juridique (voir pourquoi).
2. Envoyer sans chauffe de domaine. Nouveau domaine, 400 emails le premier jour : la sanction arrive en 48 heures et prend des semaines à se lever.
3. Utiliser son domaine principal. Vous mettez votre activité en jeu pour tester une campagne.
4. Charger l'email techniquement. Pixel de tracking en haut du message, trois images, HTML lourd, cinq liens : chaque élément supplémentaire est une raison de filtrer. En prospection, du texte qui ressemble à du texte gagne.
5. Ignorer les rebonds et les plaintes. Relancer des adresses invalides, ne pas retirer un contact qui a demandé à ne plus être sollicité : vous vous entraînez à aggraver votre cas.

Comment diagnostiquer un problème (les outils à utiliser)

Avant d'accuser votre objet ou votre accroche, vérifiez dans cet ordre : authentification, réputation, puis contenu.

Google Postmaster Tools. Le tableau de bord gratuit de Google, indispensable dès que vous enverrez plus de 100 emails par jour vers Gmail. Vous y voyez la réputation de votre domaine et de votre IP, votre taux de plainte, les erreurs de délivrabilité et les taux de réussite SPF/DKIM/DMARC. C'est la source de vérité côté Gmail.

Microsoft SNDS. L'équivalent pour Outlook, Hotmail et Live : volume, plaintes, statut de filtrage. À activer même si votre volume est modeste.

Mail-Tester. On y envoie un email de test et on récupère une note sur 10, avec le détail : SPF, DKIM, DMARC, présence sur liste noire, mots à éviter, poids des images. Idéal pour valider un template avant de l'envoyer à 50 personnes.

Les tests de liste (seed lists). Le principe : vous envoyez la même campagne vers une petite série de boîtes que vous contrôlez - une Gmail, une Outlook, une Proton et une adresse d'entreprise derrière un filtre professionnel - puis vous regardez où chaque message atterrit. C'est le seul test qui mesure le placement réel, onglet Promotions compris.

Les vérificateurs DNS et listes noires. MXToolbox, SuperTool et le contrôle Spamhaus de base : cinq minutes pour savoir si un enregistrement est cassé ou si votre domaine est référencé quelque part.

Que faire quand on est déjà en spam (procédure de récupération)

C'est réparable. Voici la procédure qu'on applique, dans l'ordre, en 4 à 8 semaines.

1. Arrêtez tout, 48 à 72 heures. Continuer à envoyer revient à insister auprès d'un filtre qui vous a déjà classé.
2. Contrôlez l'authentification. SPF qui passe, DKIM aligné, DMARC publié : si un maillon manque, rien d'autre ne servira à rien.
3. Vérifiez les listes noires. Spamhaus en premier, puis Barracuda et les autres. Si votre domaine y figure, demandez son retrait via le formulaire officiel - et corrigez la cause avant de le faire.
4. Nettoyez la liste. Validez les adresses, supprimez les rebonds durs et les adresses génériques (contact@, info@). Une liste plus petite et propre vaudra toujours mieux qu'un gros fichier sale.
5. Reprenez à 10 ou 20 % du volume habituel, sur le segment le plus engagé : les contacts qui avaient répondu ou ouvert au moins une fois.
6. Allégez le message. Texte simple, un seul lien, pas de pixel de tracking sur la phase de reprise.
7. Surveillez 30 jours dans Postmaster avant de remonter le volume, palier par palier.

Si les plaintes restent hautes et les inscriptions sur listes noires se répètent, la bonne décision est souvent d'abandonner le domaine et de repartir propre sur un nouveau. C'est dur à entendre, c'est plus rapide que de s'acharner.

Questions fréquentes

Prochaine étape

Si vous retenez une seule chose : la délivrabilité email n'est pas une case à cocher avant d'envoyer, c'est le système qui décide si votre prospection existe. Authentification, domaine secondaire, chauffe, seuils surveillés - quatre chantiers, pas un.

Si vos emails finissent en spam aujourd'hui, l'ordre des priorités est toujours le même : réparer l'authentification, nettoyer la liste, reprendre lentement. Le contenu vient après.

Chez Perf.biz, nous opérons les campagnes de bout en bout et nous ne nous rémunérons que sur le CA généré déclaré : 10 % pendant 12 mois, zéro facturation au volume d'emails ou à la liste. C'est une position confortable pour nous, parce qu'elle nous interdit une chose : vous envoyer dans le mur. Nous ne promettons pas de résultat garanti - nous promettons que le socle technique sera propre avant le premier email.

Sources

• Google - Prérequis pour les expéditeurs de grande envergure
• Google - Directives à l'intention des expéditeurs d'emails
• Google Blog - Nouvelles protections Gmail et exigences d'authentification
• Microsoft - Nouvelles exigences Outlook pour les expéditeurs à fort volume
• Cloudflare - L'enregistrement DNS DMARC
• RFC 7489 - Domain-based Message Authentication, Reporting, and Conformance (DMARC)
• CNIL - La prospection commerciale
• Google Postmaster Tools - postmaster.google.com
• Mail-Tester - mail-tester.com