Délivrabilité email : les règles Google, Yahoo et Microsoft sont installées dans la durée

Depuis plusieurs mois, les règles de délivrabilité décidées par les grands acteurs du web ne bougent plus seulement dans les communiqués.

Elles sont devenues le fonctionnement normal de l’email.

Après vérification des sources officielles sur les dernières 48 heures, aucune nouvelle annonce majeure n’a été publiée par Google, Yahoo ou Microsoft sur les exigences d’envoi email. Le sujet n’est donc pas une nouvelle contrainte surprise, mais une réalité durable : les domaines doivent être authentifiés, alignés, surveillés et propres.

Le point de veille au 4 mai 2026

Les sources suivies sont les portails officiels :

• Google Workspace Updates ;
• Yahoo Sender Hub ;
• Microsoft Exchange Team Blog.

Sur cette fenêtre de veille, il n’y a pas de nouvelle règle majeure comparable aux annonces précédentes sur DMARC, SPF, DKIM, les seuils de volume ou la réputation.

Cela ne veut pas dire que le risque baisse.

Cela veut dire que les règles existantes sont désormais pleinement installées.

Pour les PME et les entreprises, les difficultés actuelles viennent moins de la lecture des règles que de leur exécution réelle : plusieurs outils d’envoi, des DNS historiques, des prestataires marketing, des formulaires web, des CRM, des anciennes applications et parfois aucune supervision continue.

Ce que les grands du web attendent vraiment

Google, Yahoo et Microsoft n’ont pas exactement les mêmes seuils publics, mais leurs attentes convergent.

Un domaine qui envoie à volume doit pouvoir prouver plusieurs choses :

• SPF est configuré correctement ;
• DKIM signe les messages sortants ;
• DMARC est publié et reçoit des rapports ;
• le domaine visible dans le From est aligné avec SPF ou DKIM ;
• les DNS directs et inverses sont cohérents ;
• les campagnes marketing proposent une désinscription simple ;
• les listes sont entretenues ;
• les plaintes spam restent basses ;
• les erreurs et rebonds sont suivis.

Le point important : il ne suffit pas de publier trois enregistrements DNS.

Il faut que les emails réels passent les contrôles chez les fournisseurs.

L’authentification n’est plus optionnelle

SPF, DKIM et DMARC sont devenus le socle minimum.

SPF indique quelles sources peuvent envoyer pour un domaine. DKIM signe le message pour prouver qu’il n’a pas été altéré. DMARC relie ces mécanismes au domaine visible par le destinataire.

Le piège le plus fréquent se trouve dans l’alignement.

Une entreprise peut croire que tout est bon parce que SPF passe ou parce que l’outil marketing annonce “DKIM activé”. Mais si la signature DKIM utilise le domaine du prestataire, ou si le chemin de retour SPF ne correspond pas au domaine visible, DMARC peut échouer.

Exemple problématique :

From: newsletter@entreprise.fr
DKIM pass: plateforme-email.com
SPF pass: bounce.plateforme-email.com
DMARC fail

Exemple plus sain :

From: newsletter@entreprise.fr
DKIM pass: entreprise.fr
SPF pass: bounce.entreprise.fr
DMARC pass

Pour une PME, cela change la méthode de travail : il faut auditer chaque outil qui envoie au nom du domaine, pas seulement la messagerie principale.

Les seuils de réputation restent décisifs

Les règles techniques ne suffisent pas si les destinataires se plaignent.

Google a rendu le taux de plaintes particulièrement visible dans les discussions de délivrabilité. L’objectif opérationnel reste simple : garder le taux de spam très bas et éviter les zones de risque qui dégradent la réputation.

Les causes sont souvent très concrètes :

• campagnes envoyées à une base trop ancienne ;
• relances commerciales trop fréquentes ;
• achat ou enrichissement d’adresses mal maîtrisé ;
• désinscription difficile ;
• contenu qui ne correspond plus à la promesse initiale ;
• segmentation insuffisante ;
• adresses inactives conservées trop longtemps.

La délivrabilité n’est donc pas seulement un sujet DNS.

C’est aussi un sujet de qualité de base, de consentement, de fréquence et de pertinence.

Microsoft, Google et Yahoo poussent vers l’industrialisation

La période des corrections ponctuelles est en train de disparaître.

Avant, beaucoup d’entreprises corrigeaient la délivrabilité uniquement quand un incident devenait visible : chute d’ouverture, messages en spam, blocage SMTP, plaintes commerciales ou perte de leads.

Aujourd’hui, ce modèle arrive trop tard.

L’approche attendue est plus industrielle :

• cartographier les flux email ;
• séparer les usages corporate, marketing et transactionnels ;
• documenter les prestataires autorisés ;
• activer DKIM partout où c’est possible ;
• surveiller les rapports DMARC ;
• suivre les bounces et les plaintes ;
• nettoyer les listes régulièrement ;
• tester les changements DNS avant les gros envois ;
• créer des alertes en cas de dérive.

Ce travail peut sembler lourd, mais il évite une situation beaucoup plus coûteuse : découvrir un blocage au moment d’une campagne importante, d’une facture critique ou d’une relance client.

Ce que cela change pour les PME

Pour une PME, le principal risque est rarement l’absence totale de configuration.

Le risque vient plutôt des zones grises.

Un domaine Microsoft 365 peut être bien configuré pour les emails des collaborateurs, mais mal aligné pour le CRM. Une newsletter peut avoir DKIM, mais pas avec le bon domaine. Une application métier peut envoyer depuis une IP sans reverse DNS propre. Un formulaire de site peut usurper le domaine interne sans authentification correcte.

Ces petits écarts deviennent visibles lorsque les fournisseurs appliquent les contrôles à grande échelle.

Les entreprises doivent donc passer d’une logique “ça part” à une logique “c’est conforme, mesuré et durable”.

La checklist prioritaire

La bonne lecture de la situation est simple : il n’y a pas de nouvelle urgence réglementaire dans les dernières annonces, mais il y a une urgence d’organisation.

Voici les priorités à traiter :

1. Lister tous les outils qui envoient des emails avec le domaine.
2. Vérifier SPF, DKIM et DMARC sur des messages réels.
3. Contrôler l’alignement DMARC du domaine visible.
4. Activer les rapports DMARC et les exploiter.
5. Corriger les sources non identifiées.
6. Séparer les flux marketing et transactionnels si nécessaire.
7. Suivre les plaintes, les bounces et les erreurs SMTP.
8. Nettoyer les bases inactives.
9. Valider la désinscription sur les emails marketing.
10. Mettre en place une surveillance continue.

Le but n’est pas d’avoir une configuration parfaite sur le papier.

Le but est d’avoir une délivrabilité qui résiste aux contrôles réels de Google, Yahoo, Microsoft et des autres fournisseurs.

Conclusion

L’absence de nouvelle annonce majeure est une information importante.

Elle confirme que le marché n’est plus dans une phase de découverte, mais dans une phase d’exécution.

Les règles décidées par les grands du web sont là pour durer : authentification, alignement, réputation, désinscription, qualité de base et monitoring continu.

Pour les PME et les entreprises, la différence se fera maintenant sur la capacité à industrialiser la délivrabilité avant que les incidents ne deviennent visibles côté clients.