Emails du site non reçus ou en spam : causes et solutions

Si les emails de votre site ou de votre domaine ne sont pas reçus, la cause est presque toujours l'authentification, pas le message lui-même. Depuis février 2024 Gmail et Yahoo, et depuis mai 2025 Outlook.com, filtrent ou refusent les emails qui ne prouvent pas qu'ils viennent bien de votre domaine. La solution : envoyer via un vrai service d'envoi et publier trois enregistrements DNS pour votre domaine, SPF, DKIM et DMARC. Sur un site qui fonctionne par ailleurs, c'est généralement quelques heures de travail d'un développeur, pas une refonte.

Cela concerne le formulaire de contact, les confirmations de commande de votre boutique, les emails de mot de passe oublié et d'inscription, et aussi vos propres emails professionnels qui arrivent dans les spams de vos clients. Les causes se recoupent : c'est à chaque fois votre domaine qui envoie.

Les 15 premières minutes : ce que vous pouvez vérifier vous-même

1. Trouvez où l'email est allé. Regardez dans les dossiers spam et courrier indésirable, et testez avec une adresse Gmail et une adresse Outlook.com. En spam chez l'un, absent chez l'autre : c'est déjà un indice.
2. Cherchez un message d'erreur. Si vous avez envoyé l'email vous-même, la réponse de "Mail Delivery Subsystem" ou "postmaster" contient un code. Copiez-le. 550-5.7.26 ... DMARC policy chez Gmail et 550 5.7.515 chez Outlook signifient tous deux un échec d'authentification.
3. Lisez les en-têtes d'un email bien arrivé. Dans Gmail : ouvrez le message, les trois points, puis "Afficher l'original". SPF, DKIM et DMARC y sont marqués PASS ou FAIL. Faites une capture d'écran.
4. Qu'est-ce qui a changé ? Nouvel hébergeur, passage à Microsoft 365 ou Google Workspace, nouveau plugin de formulaire, nouvel outil de newsletter : ce sont les déclencheurs classiques. Notez la date du début du problème.
5. Consultez vos enregistrements DNS. Saisissez votre domaine dans MXToolbox SuperTool et lancez les tests SPF, DMARC et blacklist. Deux enregistrements SPF, pas de DMARC ou une inscription sur liste noire : un développeur peut agir sur chacun de ces constats.
6. Faites un test de score. mail-tester.com vous donne une adresse ; envoyez-y un message depuis votre formulaire ou votre boutique et vous obtenez une note avec la liste de ce qui échoue.

Gardez captures et codes d'erreur : ils font gagner au développeur du temps que vous payez.

SPF, DKIM et DMARC expliqués simplement

• SPF est une liste, publiée dans votre DNS, des serveurs autorisés à envoyer des emails pour votre domaine. Si votre hébergeur, votre messagerie et votre outil de newsletter envoient tous en votre nom, ils doivent tous y figurer. Un domaine ne peut avoir qu'un seul enregistrement SPF, avec au maximum 10 requêtes DNS ; sinon SPF échoue avec une erreur permanente (RFC 7208).
• DKIM est une signature numérique sur chaque message. Le service d'envoi signe, la clé publique est dans votre DNS, et le destinataire vérifie que le message vient bien de vous et n'a pas été modifié. Chaque service a sa propre clé, donc son propre enregistrement DNS.
• DMARC relie les deux à l'adresse que votre client voit dans le champ De. Il indique au destinataire quoi faire en cas d'échec (rien, spam ou rejet) et où envoyer des rapports quotidiens. Ces rapports montrent chaque service qui envoie au nom de votre domaine, y compris ceux que vous aviez oubliés.

Le piège le plus fréquent est l'alignement : SPF ou DKIM doit réussir pour le même domaine que celui de l'adresse De. Un formulaire qui envoie en tant que contact@votreboutique.fr depuis un serveur qui ne s'authentifie qu'au nom de l'hébergeur ne valide rien d'utile.

Ce que Gmail, Yahoo et Outlook exigent désormais

Sources : consignes de Google, Yahoo Sender Hub et politique postmaster de Microsoft. Google indique qu'à partir de novembre 2025 il renforce l'application, avec des rejets temporaires et permanents. Peu de PME envoient 5 000 emails par jour, mais les règles "tous les expéditeurs" s'appliquent à vous.

Symptôme, cause probable, que faire

La ligne sur le service de test revient souvent dans les apps construites rapidement avec des outils d'IA. Supabase écrit par exemple que son email intégré "is not meant for production use" : il n'envoie qu'aux membres de votre équipe et se limite à 2 messages par heure. Notre checklist de lancement pour les produits vibe-codés couvre ce point et d'autres.

Pourquoi les emails du site échouent, et ce qui règle le problème

La plupart des sites envoient leurs emails de la façon la moins chère : la fonction PHP mail() ou le serveur mail mutualisé de l'hébergeur. WPForms, éditeur d'un des plugins de formulaire WordPress les plus utilisés, le dit franchement : "no authentication, no retry logic, no logging", et sur un hébergement mutualisé, un seul mauvais voisin peut faire blacklister l'IP partagée. L'aide de Google sur les formulaires de contact résume l'essentiel : un formulaire qui envoie automatiquement des messages est un expéditeur d'emails pour votre domaine. Il lui faut donc SPF et DKIM comme à tout autre expéditeur.

La solution est un service d'emails transactionnels, dont le métier est de délivrer les emails individuels comme les confirmations et les réinitialisations. Il vous fournit des clés DKIM pour votre domaine, un journal de chaque message et la visibilité sur les rejets. Les prix publiés (en dollars) sont bas :

Sur WordPress, on connecte un tel service avec un plugin SMTP ; dans une application sur mesure, c'est une petite modification du code. Le plus délicat est d'avoir un DNS, un alignement et des expéditeurs tous correctement configurés.

Déployer DMARC sans bloquer vos propres emails

Google recommande cet ordre de déploiement DMARC :

1. Configurez SPF et DKIM au moins 48 heures avant DMARC.
2. Publiez v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr. Rien n'est bloqué ; vous recevez des rapports.
3. Lisez les rapports pendant au moins une semaine. Chaque service non aligné est un expéditeur à corriger : l'outil de réservation, le logiciel de facturation, l'ancien formulaire.
4. Passez à p=quarantine avec une petite valeur pct=, puis montez jusqu'à 100.
5. Seulement ensuite, envisagez p=reject.

Passer directement à reject est la panne auto-infligée classique : vos factures ou vos confirmations de commande sont rejetées le jour même. Si vous voulez seulement respecter les règles de Gmail, Yahoo et Outlook, p=none avec rapports suffit.

Quand faire appel à un développeur

• Les confirmations de commande ou les emails de mot de passe n'arrivent pas. Chaque heure coûte du chiffre d'affaires et des demandes au support. Traitez-le comme une panne.
• Vous voyez des rejets 5.7.26, 5.7.515 ou le nom d'une liste noire sans savoir quel expéditeur est en cause.
• Vous ne savez pas quels services envoient au nom de votre domaine. Les rapports DMARC le disent, encore faut-il les lire.
• L'inscription sur liste noire vient d'un site piraté. Demander le retrait avant de fermer la faille mène à une nouvelle inscription. Voir notre checklist site WordPress piraté.
• La personne qui a configuré vos emails est injoignable.

Ce qu'il faut préparer

• L'accès à votre DNS (souvent chez votre registrar ou Cloudflare), ou quelqu'un qui peut modifier les enregistrements aujourd'hui.
• Un accès administrateur au site ou à l'application, à l'hébergement et à votre messagerie (Google Workspace, Microsoft 365 ou celle de l'hébergeur).
• La liste des outils qui envoient en votre nom : plugin de formulaire, boutique, newsletter, CRM, réservation, facturation.
• Vos messages d'erreur, captures d'en-têtes et la date de début du problème.
• Un compte chez un service d'envoi, ou l'autorisation d'en créer un à votre nom, pour qu'il vous appartienne.

Combien cela coûte chez We Do Dev Work

Prix hors TVA, facturés au temps réel :

• Aide d'urgence : 75 € de l'heure. Un développeur senior commence le jour même, sans minimum ni phase d'accueil. Possible en dehors des heures de bureau ; le week-end coûte 50 % de plus (112,50 € de l'heure). Nous signons un accord de confidentialité si vous le souhaitez.
• Carte d'heures : 910 € pour 14 heures (environ 65 € de l'heure). Démarrage sous 24 heures, heures décomptées au fil du travail, valable 4 mois. Idéal pour "réparer les emails maintenant, puis remettre proprement en ordre SPF, DMARC et les autres expéditeurs".
• Abonnement : à partir de 480 € par mois pour 8 heures, avec mises à jour et monitoring. Growth coûte 1 920 € pour 32 heures avec réponse le jour même. Minimum 3 mois.

Un enregistrement mal configuré est souvent trouvé et corrigé dans les premières heures. Migrer un site ou une app vers un service d'envoi, configurer DKIM pour chaque outil et déployer DMARC prend plus de temps ; nous vous indiquons l'ampleur attendue avant que les heures s'accumulent. Pour comparer avec les tarifs d'urgence ailleurs : combien coûte un développeur en urgence.

Comment choisir

• Les emails de commande, de réservation ou de mot de passe échouent maintenant : aide d'urgence, aujourd'hui.
• Les emails arrivent mais en spam, sans urgence : une carte d'heures, pour que la correction et le déploiement DMARC tiennent dans un bloc prépayé.
• Vous ajoutez souvent des outils qui envoient des emails, ou le problème est déjà arrivé : un abonnement, pour que quelqu'un suive les rapports DMARC et vérifie chaque nouvel expéditeur.
• Vous avez un développeur en interne : donnez-lui cet article, les étapes DMARC et l'accès au DNS. C'est un travail bien documenté.

Éviter que cela se reproduise

• Faites passer tous les emails du site et de l'application par un seul service d'envoi authentifié, jamais par PHP mail().
• Gardez un enregistrement DMARC avec rapports rua, et faites-les relire chaque mois.
• Ajoutez chaque nouvel outil à SPF et DKIM avant son premier envoi, et gardez un seul enregistrement SPF.
• Retestez vos emails à chaque changement d'hébergeur, de domaine, de fournisseur DNS ou de messagerie. Notre guide sur le coût de la maintenance d'un site montre ce que coûte un contrôle mensuel.
• Si vous envoyez des milliers d'emails par jour, inscrivez votre domaine dans Google Postmaster Tools pour suivre votre taux de spam chez Gmail. À faible volume, l'outil n'affiche pas de données.
• Lancez un audit gratuit EngineeringScore pour une vue rapide de la sécurité, des performances et de la fiabilité de votre site.

Vos clients ne reçoivent pas vos emails ?

Envoyez-nous votre domaine, le message d'erreur ou une capture via la page aide d'urgence. Inutile de savoir quel enregistrement est en cause. Un développeur senior s'en charge le jour même pour 75 € de l'heure, trouve l'expéditeur en échec et vous dit ce qu'il faut corriger avant que les heures s'accumulent. Si vous préférez que quelqu'un garde vos emails et votre site en bonne santé chaque mois, consultez nos tarifs pour les cartes d'heures et les abonnements.