Exigences de Gmail et Yahoo en 2026 : la liste complète pour les expéditeurs

Quelles sont les exigences de Gmail et Yahoo pour les expéditeurs ?

Si vous envoyez environ 5 000 messages ou plus par jour vers des comptes Gmail ou Yahoo personnels, vous devez authentifier vos emails avec SPF, DKIM et DMARC, proposer la désinscription en un clic et maintenir votre taux de plaintes pour spam sous 0,30 %. Ce ne sont pas des recommandations : ces règles sont appliquées depuis le 1er février 2024, et leur application n'a cessé de se durcir depuis.

La version courte, si vous ne lisez qu'un seul paragraphe :

• Authentifiez tout. SPF et DKIM doivent passer, DMARC doit exister (p=none au minimum) et votre domaine d'expédition doit être aligné avec SPF ou DKIM.
• Désinscription en un clic. Les en-têtes List-Unsubscribe décrits dans la RFC 8058, plus un lien de désinscription visible dans le corps du message. Demandes traitées sous deux jours.
• Restez sous 0,30 % de plaintes. Google recommande de rester sous 0,10 %.
• Soignez la plomberie. TLS pour la transmission, DNS direct et inverse valides pour vos IP d'envoi.

Microsoft a depuis rejoint le mouvement avec ses propres règles pour Outlook.com, Hotmail.com et Live.com. Si vous êtes conforme pour Gmail, vous l'êtes en grande partie pour Microsoft également.

Qui est considéré comme un expéditeur de volume ?

Google définit un expéditeur de volume comme toute personne envoyant près de 5 000 messages ou plus vers des comptes Gmail personnels sur une période de 24 heures. Deux détails piègent régulièrement les expéditeurs.

D'abord, le calcul se fait par domaine, et non par campagne ou par liste. Si plusieurs outils envoient depuis le même domaine, les volumes s'additionnent. Ensuite, une fois le seuil franchi, vous êtes traité comme un expéditeur de volume pour la suite : un seul gros envoi saisonnier peut donc changer durablement la façon dont votre courrier est évalué.

Le seuil ne concerne que les comptes personnels. Les emails envoyés vers des adresses Google Workspace n'entrent pas dans ce calcul, mais ils restent filtrés selon votre réputation : ces exigences restent donc de bonnes pratiques dans tous les cas.

En dessous de 5 000 par jour, les règles ne sont pas appliquées contre vous. Elles restent le socle utilisé par tous les fournisseurs de messagerie pour juger si vous avez l'air légitime. Le conseil pratique pour les petits expéditeurs est donc identique : faites-le quand même.

Qu'est-ce qui a changé depuis l'entrée en vigueur ?

Les exigences ne sont pas nouvelles, mais les conséquences d'un manquement sont bien plus lourdes qu'au lancement. La chronologie qui compte :

C'est cette dernière ligne qui mérite votre attention. Pendant un temps, le courrier non conforme finissait surtout en spam. Aujourd'hui, il peut être refusé dès la porte, ce qui signifie qu'il n'atteint aucun dossier.

Exigence 1 : authentifier avec SPF, DKIM et DMARC

Les trois sont obligatoires, et ils doivent être cohérents entre eux.

SPF est un enregistrement DNS qui liste les serveurs autorisés à envoyer pour votre domaine. Il doit passer et rester sous la limite des 10 résolutions DNS — la cause la plus fréquente d'un enregistrement SPF qui semble correct mais échoue en réalité.

DKIM signe vos messages cryptographiquement pour que le serveur destinataire puisse vérifier que rien n'a été modifié en chemin. Il doit passer. Utilisez une clé de 2048 bits lorsque votre prestataire le permet.

DMARC indique aux fournisseurs de messagerie quoi faire quand l'authentification échoue, et vous fournit des rapports. Une politique p=none suffit à satisfaire l'exigence, ce qui surprend ceux qui croient devoir passer en p=reject. Commencez en none, lisez les rapports, puis durcissez vers quarantine ou reject une fois que toutes vos sources légitimes passent.

L'alignement est le point le plus souvent négligé. Passer SPF ou DKIM ne suffit pas : le domaine affiché dans l'en-tête From doit correspondre au domaine qui a passé le contrôle. Un message peut très bien passer SPF pour le domaine de son prestataire et échouer à DMARC, parce que les deux ne concordent pas.

Exigence 2 : la désinscription en un clic

Les emails marketing et les envois auxquels on s'est abonné doivent permettre de se désinscrire en un seul clic, sans page d'atterrissage, sans connexion et sans centre de préférences intermédiaire. Techniquement, cela signifie deux en-têtes, List-Unsubscribe et List-Unsubscribe-Post: List-Unsubscribe=One-Click, tels que décrits dans la RFC 8058.

Trois erreurs reviennent souvent. Les en-têtes ne remplacent pas le lien de désinscription visible dans le corps du message, qui reste obligatoire. Les demandes doivent être honorées sous deux jours. Et l'en-tête doit être signé par DKIM pour être pris au sérieux : un message non authentifié avec un en-tête de désinscription parfait reste non conforme.

Les campagnes envoyées via Mailpro intègrent ces en-têtes automatiquement et les relient au véritable processus de désinscription. Le courrier envoyé depuis votre propre application via un relais SMTP est un autre cas : là, les en-têtes sont à votre charge. Notre guide sur la désinscription en un clic et les en-têtes List-Unsubscribe donne la syntaxe exacte et une liste de tests.

Vous ne savez pas si vos enregistrements passent réellement ? Mailpro vous accompagne dans la configuration SPF, DKIM et DMARC et vous montre le résultat avant l'envoi.

Exigence 3 : rester sous 0,30 % de plaintes pour spam

Le plafond ferme est de 0,30 % des messages délivrés signalés comme spam, mesuré dans Google Postmaster Tools. Google recommande pour sa part de viser sous 0,10 %, et cet écart n'a rien de pédant : 0,30 % est le seuil à partir duquel des mesures sont prises, pas une altitude de croisière confortable. Le dépasser brièvement demande des semaines de récupération.

Le taux de plaintes s'évalue par domaine et par IP sur une fenêtre glissante : un seul mauvais envoi pollue donc la moyenne pendant un certain temps. Les défenses efficaces sont peu spectaculaires : n'envoyez qu'à des personnes réellement inscrites, rendez la désinscription plus simple que la plainte, retirez les inactifs selon un calendrier défini, et ne réutilisez jamais une vieille liste inexploitée depuis un an.

Deux guides approfondissent le sujet : maintenir votre taux de plaintes sous 0,3 % et comment le réduire sous 0,1 %.

Exigence 4 : TLS, DNS et hygiène des messages

Les points restants relèvent de l'infrastructure plus que de la stratégie, et incombent généralement à votre plateforme d'envoi :

• TLS pour la transmission. Les connexions non chiffrées ne sont pas acceptables pour du trafic de volume.
• DNS direct et inverse valides pour les IP d'envoi. L'enregistrement PTR doit renvoyer vers le nom d'hôte qui résout vers l'IP.
• Format de message conforme aux standards, avec un nom et un domaine d'expéditeur exacts, sans en-têtes ni objets trompeurs.
• N'usurpez pas Gmail ou Yahoo dans votre en-tête From. Envoyer depuis une adresse gmail.com via votre propre infrastructure fera échouer DMARC.

Que se passe-t-il en cas de non-conformité ?

Vous le verrez dans les messages de rejet, pas dans un email d'avertissement : c'est pourquoi beaucoup d'expéditeurs découvrent le problème tardivement.

Le code à reconnaître chez Gmail est 5.7.26 : le message n'a pas été accepté car il n'était pas correctement authentifié. L'équivalent Microsoft est 550 5.7.515 Access denied, indiquant que le domaine d'expédition n'atteint pas le niveau d'authentification requis.

Ce sont des rejets définitifs. Le message n'attend pas dans un dossier spam : il a été refusé. Des échecs temporaires surviennent aussi pendant les phases de durcissement, raison pour laquelle une hausse soudaine des différés mérite la même attention qu'un blocage franc. Si le problème vient spécifiquement de Microsoft, notre guide sur le fait d'être bloqué par Microsoft et Outlook détaille la marche à suivre.

Comment vérifier que vous êtes conforme ?

Ne supposez rien. Vérifiez, dans cet ordre :

1. Envoyez-vous un test sur une adresse Gmail personnelle et affichez le message d'origine. Le récapitulatif d'authentification doit indiquer pass pour SPF, DKIM et DMARC.
2. Consultez Google Postmaster Tools. Google y a ajouté un tableau de bord de conformité précisément pour que les expéditeurs voient où ils en sont, à côté du graphique du taux de spam.
3. Lisez vos rapports DMARC pendant une quinzaine de jours avant de durcir la politique. Ils révèlent les sources oubliées — facturation, CRM, outil de réservation — qui casseront au passage en reject.
4. Testez votre parcours de désinscription de bout en bout, en vérifiant qu'un clic retire bien l'adresse sous deux jours.
5. Surveillez vos journaux de rejet à la recherche des codes 5.7.26 et 550 5.7.515.

Si votre placement en boîte de réception a chuté sans cause évidente, suivez notre méthode de diagnostic d'une baisse soudaine de délivrabilité avant de modifier quoi que ce soit d'autre.

Ce que Mailpro prend en charge pour vous

L'essentiel de cette liste relève de l'infrastructure, et l'infrastructure est précisément le rôle d'une plateforme d'envoi. Avec Mailpro, la configuration SPF, DKIM et DMARC est guidée plutôt qu'improvisée, les campagnes intègrent automatiquement les en-têtes de désinscription RFC 8058, les désinscriptions sont traitées immédiatement, TLS et DNS inverse sont gérés de notre côté, et vos taux de plaintes et de rebonds sont visibles en temps réel au lieu d'être découverts après les dégâts.

Ce qui reste de votre ressort, c'est la seule part qu'aucune plateforme ne peut assurer : envoyer du courrier désiré à des gens qui l'ont demandé.

Questions fréquentes

Les exigences Gmail et Yahoo s'appliquent-elles si j'envoie moins de 5 000 emails par jour ?

L'application vise les expéditeurs dépassant environ 5 000 messages par jour vers des comptes personnels. En dessous, les exigences ne sont pas opposées à vous, mais elles restent les critères utilisés pour juger si votre courrier est digne de confiance : les respecter améliore la délivrabilité à tout volume.

Une politique p=none suffit-elle pour DMARC ?

Oui. Google comme Microsoft acceptent une politique minimale p=none, à condition que l'enregistrement existe et que votre domaine From soit aligné avec SPF ou DKIM. Passer en quarantine ou reject protège votre marque contre l'usurpation, mais ce n'est pas ce que l'exigence demande.

Quel est un bon taux de plaintes pour spam ?

Sous 0,10 %. Le plafond appliqué est de 0,30 %, mais c'est le point où les décisions de filtrage se retournent contre vous, pas un objectif où stationner.

La désinscription en un clic me permet-elle de retirer le lien de désinscription de mes emails ?

Non. Les en-têtes List-Unsubscribe s'ajoutent au lien visible dans le corps du message, ils ne le remplacent pas.

Ces règles s'appliquent-elles aux emails transactionnels ?

L'authentification s'applique à tout ce que vous envoyez. La désinscription en un clic concerne le marketing et les envois sur abonnement, pas les véritables emails transactionnels comme les réinitialisations de mot de passe ou les reçus. Glisser du contenu promotionnel dans un message transactionnel ne l'exonère pas.

Mes emails rebondissent soudainement avec un 5.7.26. Que faire en premier ?

Vérifiez l'authentification avant tout le reste. Ce code signifie que le message a été rejeté comme non authentifié : la cause est presque toujours un enregistrement SPF, DKIM ou DMARC défaillant ou mal aligné, plutôt que le contenu ou la réputation.