Pour éviter que les e-mails de réinitialisation finissent en spam, il faut combiner trois choses : authentification technique, discipline de contenu et réputation d’envoi réellement reconnue par les fournisseurs. Chaque couche compte — en oublier une suffit généralement à casser la délivrabilité.
Pourquoi c’est dur : les e-mails de reset contiennent un « cliquez sur ce lien » avec une URL fraîche, exactement ce que les filtres anti-spam recherchent. L’authentification leur dit « c’est légitime ».
Couche 1 : authentifier chaque envoi
- SPF — liste les IP autorisées à envoyer pour votre domaine.
- DKIM — signe chaque message cryptographiquement.
- DMARC — indique quoi faire des e-mails qui échouent SPF/DKIM, avec rapports.
Couche 2 : l’e-mail lui-même
- Envoyez de votre domaine réel ([email protected]).
- Objet clair, ancré à la marque, sans clickbait.
- Un seul CTA, lien visible au-dessus de la ligne de flottaison.
- Pas de pièces jointes ni texte caché.
- Indiquez l’expiration et la phrase « si vous n’avez pas demandé, ignorez ».
Pas de raccourcisseurs d’URL : bit.ly et autres sont massivement abusés par les phishers. Utilisez vos propres liens courts de marque ou l’URL complète.
Couche 3 : gardez une réputation propre
- Sous-domaines séparés pour transactionnel et marketing.
- Validez les adresses à l’inscription.
- Surveillez Postmaster Tools et SNDS.
- Limitez l’abus sans bloquer les vrais utilisateurs.
Authentifiez votre expéditeur maintenant
Configurez SPF, DKIM et DMARC — et vérifiez ce que doit contenir l’e-mail de réinitialisation.
Guide associé : Email de réinitialisation de mot de passe : bonnes pratiques et modèles