Ce qui se passe probablement
La configuration DNS est incomplète ou invalide
La source d’envoi peut manquer dans SPF, le sélecteur DKIM peut être absent ou incorrect, ou l’enregistrement DMARC peut être publié au mauvais emplacement. Plusieurs enregistrements SPF concurrents peuvent également produire une erreur.
Les domaines ne sont pas alignés pour DMARC
Le domaine visible dans l’adresse From doit être aligné avec le domaine authentifié par SPF ou avec le domaine de signature DKIM. Une authentification réussie sur un domaine tiers non aligné peut donc rester insuffisante pour DMARC.
Une source d’envoi a été oubliée
La plateforme de campagnes, le CRM, les emails transactionnels ou un autre prestataire peuvent utiliser des infrastructures et des domaines différents. Une configuration correcte pour une source ne couvre pas automatiquement les autres.
La liste ou la cadence présente un risque
Des contacts anciens ou froids, une hausse soudaine du volume, des rebonds, des plaintes ou un faible engagement peuvent détériorer la délivrabilité même lorsque les contrôles DNS sont corrects.
Le message ou les signaux de conformité sont insuffisants
Une identité d’expéditeur peu claire, une désinscription difficile, des liens trop nombreux ou un contenu générique peuvent renforcer le filtrage. Les exigences applicables dépendent aussi des fournisseurs de messagerie et des régions ciblées.
Comment vérifier sans casser la configuration
Définir le symptôme exact : mécanisme signalé en échec, domaine concerné, plateforme d’envoi, destinataires touchés et date d’apparition.
Inspecter les en-têtes complets de plusieurs messages réellement reçus et relever les résultats SPF, DKIM et DMARC dans Authentication-Results.
Vérifier qu’un enregistrement SPF valide couvre chaque source autorisée, sans créer plusieurs enregistrements SPF concurrents pour le même domaine.
Contrôler le sélecteur DKIM publié dans le DNS, le domaine indiqué par la signature et l’activation effective de la signature sur les messages envoyés.
Comparer le domaine From visible avec le domaine du Return-Path utilisé par SPF et le domaine de signature DKIM afin de confirmer l’alignement DMARC.
Inventorier toutes les sources d’envoi : plateforme marketing, CRM, service transactionnel et autres outils utilisant le domaine.
Rechercher les changements récents de DNS, de domaine d’expédition, de fournisseur, de volume, de liste ou de configuration de suivi.
Vérifier les exigences des principaux fournisseurs destinataires, notamment l’identité de l’expéditeur, la désinscription en un clic lorsqu’elle s’applique, les rebonds et les plaintes.
Distinguer le résultat technique d’authentification du placement réel des messages. Une alerte dans une plateforme n’est pas suffisante sans en-têtes, données de rebond et retours des destinataires.
Séparer les faits confirmés des hypothèses : authentification, réputation du domaine, qualité de liste, contenu et cadence doivent être évalués comme des couches distinctes.
Comment je le résoudrais étape par étape
Établir une preuve pour chaque source d’envoi
Associez chaque plateforme à son domaine From, son Return-Path, son sélecteur DKIM et ses résultats d’authentification observés sur un message réel. Cette cartographie évite de corriger le mauvais système.
Corriger le DNS et l’alignement avant le reste
Mettez à jour SPF, DKIM ou DMARC selon l’erreur confirmée, puis contrôlez l’alignement avec le domaine d’expéditeur visible. Évitez d’ajouter des enregistrements ou des sources sans vérifier leur rôle exact.
Segmenter les contacts selon leur risque et leur intention
Séparez les contacts vérifiés et engagés des adresses anciennes, froides ou enrichies. Cela permet de contrôler la cadence, le message et l’analyse des rebonds sans mélanger des populations très différentes.
Clarifier le message et les signaux d’expéditeur
Utilisez un contenu pertinent, une identité d’expéditeur cohérente, une raison claire de répondre et un mécanisme de désinscription adapté. Ne comptez pas sur une modification de texte pour réparer une erreur DNS.
Suivre la délivrabilité comme un ensemble
Analysez conjointement les résultats SPF, DKIM et DMARC, les rebonds, les plaintes, les réponses, l’engagement et le placement observé. Comparez les données avant et après chaque changement au lieu de conclure à partir d’un seul indicateur.
Si cela devient technique
Tu peux suivre cette route seul. Si le diagnostic révèle un écart de données, une configuration tracking délicate, une décision d'enchères risquée ou un blocage qui demande un accès compte, Lia garde le contexte et le transmet à CreatikLab.
Transmettre ce contexte à LiaCe que je ne ferais pas
Considérer tout échec SPF comme un échec DMARC sans vérifier si DKIM passe avec un domaine aligné.
Ajouter un nouvel enregistrement SPF ou de nouveaux mécanismes sans inventorier les sources déjà autorisées.
Modifier le contenu, le volume ou la cadence avant d’avoir confirmé la configuration DNS et les domaines utilisés.
Supposer qu’une authentification réussie garantit automatiquement l’arrivée en boîte principale.
Tirer une conclusion à partir d’une seule capture d’écran, d’un seul destinataire ou du statut affiché par la plateforme d’envoi.
Oublier qu’un CRM, un service transactionnel ou un autre prestataire peut envoyer avec une configuration différente.
Questions fréquentes
SPF peut-il échouer alors que DMARC réussit ?
Oui. DMARC peut réussir si DKIM passe et que son domaine de signature est aligné sur le domaine visible dans l’adresse From. Il faut donc lire les résultats des trois mécanismes ensemble.
Pourquoi DMARC échoue-t-il alors que DKIM est indiqué comme valide ?
La signature DKIM peut être valide tout en utilisant un domaine non aligné avec l’adresse d’expéditeur visible. Vérifiez le domaine de signature DKIM, le domaine From et les règles d’alignement appliquées.
Une correction SPF, DKIM ou DMARC garantit-elle la délivrabilité ?
Non. L’authentification confirme l’identité technique de la source, mais le placement dépend aussi de la réputation, de la qualité de liste, des rebonds, des plaintes, du contenu et du comportement d’envoi.
Comment trouver précisément l’origine de l’échec ?
Partez des en-têtes d’un message réel, puis reliez le résultat à la source d’envoi, au Return-Path, au sélecteur DKIM et aux enregistrements DNS. Comparez ensuite plusieurs fournisseurs destinataires et les changements récents.
Quand utiliser Lia pour poursuivre le diagnostic ?
Lia peut guider l’analyse lorsque plusieurs plateformes envoient pour le même domaine, que les résultats se contredisent ou que l’authentification réussit sans améliorer le placement. Préparez les en-têtes, les domaines utilisés, la date de début et les changements récents.
