Si vos mails arrivent en spam chez Gmail, Outlook ou ailleurs, la première cause à vérifier est une authentification incomplète : SPF, DKIM ou DMARC absent, en erreur ou non aligné avec votre domaine. Viennent ensuite une adresse IP ou un domaine en liste noire, puis le contenu du message et la réputation de l'expéditeur. Le diagnostic se fait dans cet ordre, en commençant par lire les en-têtes d'un email qui a atterri en spam. Voici la méthode, avec le cas particulier des adresses OVHcloud.
Étape 1 : récupérer un email arrivé en spam
Envoyez un message depuis votre adresse professionnelle vers une boîte Gmail et une boîte Outlook.com que vous contrôlez. Si l'un d'eux arrive en spam, ouvrez ses en-têtes complets :
- Gmail (navigateur) : ouvrez le message, cliquez sur les trois points à côté du bouton Répondre, puis sur Afficher l'original.
- Outlook.com : ouvrez le message, menu …, puis Afficher et Afficher la source du message.
- Thunderbird : menu Affichage, puis Source du message.
Cherchez la ligne Authentication-Results ajoutée par le serveur de réception. Elle résume les trois contrôles.
Étape 2 : lire Authentication-Results
Exemple d'en-tête d'un message correctement authentifié :
Authentication-Results: mx.google.com;
dkim=pass header.i=@votre-domaine.fr header.s=selector1;
spf=pass (google.com: domain of contact@votre-domaine.fr designates 203.0.113.10 as permitted sender) smtp.mailfrom=contact@votre-domaine.fr;
dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=votre-domaine.fr
Et ce qu'il faut regarder :
| Résultat | Signification | Action |
|---|
spf=pass | Le serveur d'envoi est autorisé par votre SPF | Rien |
spf=softfail ou fail | Le serveur d'envoi n'est pas dans votre SPF | Ajouter le service au SPF |
spf=permerror | SPF illisible : syntaxe, doublon, plus de 10 requêtes DNS | Corriger l'enregistrement |
dkim=none | Aucune signature DKIM | Activer DKIM chez votre fournisseur |
dkim=fail | Signature invalide ou clé absente du DNS | Republier la clé publique |
dmarc=fail | Ni SPF ni DKIM ne sont alignés avec le domaine du From | Aligner DKIM ou SPF |
dmarc=none | Pas d'enregistrement DMARC | Publier au moins p=none avec rua |
Les résultats SPF détaillés (neutral, softfail, permerror, temperror) sont expliqués dans notre article sur les erreurs SPF. Cas fréquent : deux enregistrements SPF sur le même domaine provoquent un permerror.
Vous pouvez aussi interroger directement le DNS :
dig +short TXT votre-domaine.fr | grep spf
dig +short TXT _dmarc.votre-domaine.fr
dig +short TXT selector1._domainkey.votre-domaine.fr
Remplacez selector1 par le sélecteur visible dans header.s=. L'outil sécurité email fait ces trois vérifications en une fois.
Pourquoi l'authentification pèse autant
Depuis février 2024, Google demande à tous les expéditeurs vers Gmail un SPF ou un DKIM, et à ceux qui envoient plus de 5 000 messages par jour un SPF, un DKIM et un DMARC aligné. Microsoft applique des règles équivalentes sur Outlook.com, Hotmail et Live depuis le 5 mai 2025 : les messages non conformes des gros expéditeurs sont dirigés vers le courrier indésirable, avec un rejet annoncé ensuite. Les messages qui ne respectent pas ces règles sont filtrés plus sévèrement.
Étape 3 : vérifier les listes noires
Si l'authentification passe et que les messages arrivent quand même en spam, vérifiez si l'IP de votre serveur d'envoi ou votre domaine figure sur une liste noire (DNSBL). L'IP d'envoi apparaît dans l'en-tête Received le plus bas ajouté par un serveur extérieur, ou dans la ligne spf= (designates 203.0.113.10).
Testez-la avec le blacklist checker. Si elle est listée, la procédure de sortie dépend de la liste : notre guide Blacklist DNS : vérifier et en sortir la détaille. Sur un hébergement mutualisé ou une messagerie partagée, l'IP peut être listée à cause d'un autre client : contactez alors votre fournisseur.
Une liste noire signale souvent un problème plus profond : site piraté qui envoie du spam, formulaire de contact détourné, mot de passe de boîte mail volé. Corrigez la cause avant de demander la sortie de liste.
Étape 4 : le contenu et les liens
Une fois l'authentification et les listes noires écartées, regardez le message lui-même :
- Liens : un lien vers un domaine listé (raccourcisseur d'URL, site piraté, domaine récent) suffit à déclasser un email. Évitez les raccourcisseurs publics.
- Images : un email composé d'une seule grande image avec peu de texte ressemble à du spam.
- Pièces jointes : les archives et les documents avec macros sont filtrés sévèrement.
- Adresse From et Reply-To : utilisez une adresse de votre domaine qui accepte les réponses. Microsoft le recommande explicitement aux expéditeurs en volume.
- Désinscription : pour les newsletters, Google exige un lien de désinscription visible et la désinscription en un clic pour les gros expéditeurs.
Étape 5 : la réputation de l'expéditeur
Gmail tient compte des signalements de spam de ses utilisateurs. Google demande de rester sous 0,3 % de taux de spam dans Postmaster Tools et recommande de rester sous 0,1 %. Un envoi massif vers une vieille liste de contacts jamais nettoyée peut suffire à dégrader votre domaine pour plusieurs semaines.
Bonnes pratiques :
- Inscrivez votre domaine sur Google Postmaster Tools pour suivre le taux de spam et la réputation.
- Séparez les flux : emails transactionnels et newsletters depuis des sous-domaines différents, par exemple
news.votre-domaine.fr.
- Retirez les adresses qui rebondissent et les contacts inactifs depuis longtemps.
- Augmentez les volumes progressivement après un changement de serveur d'envoi ou d'outil.
Cas OVHcloud : mes mails OVH arrivent en spam
Les adresses hébergées chez OVHcloud (MX Plan, Email Pro, Exchange) ont trois points à contrôler.
1. Le DKIM n'est pas toujours actif
Selon la documentation OVHcloud, sur MX Plan la configuration DKIM automatique est faite par défaut, sauf si elle a été désactivée lors de l'ajout du domaine. Sur les domaines anciens ou gérés dans un autre compte, elle manque souvent. Pour vérifier et activer :
- Dans l'espace client, ouvrez Web Cloud, puis MX Plan et votre domaine.
- Onglet Informations générales, rubrique Diagnostique : si le badge DKIM est rouge, cliquez dessus puis sur Activer.
- Si la zone DNS est gérée ailleurs (autre compte OVHcloud, Cloudflare…), ajoutez les deux enregistrements CNAME des sélecteurs indiqués.
OVHcloud indique un délai d'activation de 30 minutes à 24 heures.
2. Le SPF ne couvre pas tous les envois
L'enregistrement SPF par défaut d'OVHcloud pour ses offres email est :
"v=spf1 include:mx.ovh.com ~all"
Si vous envoyez aussi depuis un outil d'emailing, un CRM ou le serveur de votre site, ajoutez-les dans le même enregistrement. Ne créez pas un second SPF.
3. Pas de DMARC
Beaucoup de domaines OVHcloud n'ont aucun enregistrement _dmarc. Créez-en un, en commençant par p=none et une adresse rua, puis suivez la méthode pour passer à quarantine et reject.
Récapitulatif du diagnostic
| Ordre | Vérification | Outil |
|---|
| 1 | En-tête Authentication-Results : SPF, DKIM, DMARC en pass | Afficher l'original |
| 2 | Enregistrements SPF, DKIM, DMARC publiés et valides | Outil sécurité email |
| 3 | IP d'envoi et domaine absents des listes noires | Blacklist checker |
| 4 | Liens, images, pièces jointes, désinscription | Relecture du message |
| 5 | Taux de spam et réputation | Google Postmaster Tools |
Éviter que le problème revienne
Une configuration email correcte se dégrade souvent sans bruit : un prestataire remplace le SPF, une clé DKIM disparaît lors d'une migration DNS, un serveur se retrouve en liste noire. Domains Defender surveille la configuration email de vos domaines (SPF, DKIM, DMARC) et vous alerte si elle se dégrade. Sur le plan Pro, il vérifie aussi chaque jour les IP web et mail de vos domaines sur 14 listes noires DNSBL. Les offres sont décrites sur la page tarifs.
Questions fréquentes
Pourquoi mes mails arrivent en spam chez Gmail ?
Commencez par l'authentification : un contrôle échoue souvent : SPF, DKIM ou DMARC. Ouvrez un message reçu avec Afficher l'original et regardez la ligne Authentication-Results. Si tout est en pass, vérifiez les listes noires puis le contenu.
Pourquoi mes mails arrivent en spam chez Outlook et Hotmail ?
Microsoft applique depuis mai 2025 des exigences SPF, DKIM et DMARC aux expéditeurs de plus de 5 000 messages par jour. Les autres expéditeurs sont aussi filtrés selon l'authentification et la réputation de l'IP. Le diagnostic est le même : en-têtes, listes noires, contenu.
Mes mails OVH arrivent en spam : que faire en premier ?
Vérifiez que le DKIM est actif dans l'espace client OVHcloud (badge DKIM dans l'onglet Informations générales de MX Plan), que votre SPF contient include:mx.ovh.com et qu'un enregistrement DMARC existe.
Un seul destinataire reçoit mes mails en spam : est-ce grave ?
Pas forcément. Le destinataire a pu marquer un de vos messages comme spam, ou son antispam d'entreprise applique des règles propres. Si plusieurs fournisseurs différents vous classent en spam, le problème vient de votre côté.
Combien de temps pour sortir des spams après correction ?
Les corrections DNS prennent effet après expiration du TTL, souvent en moins d'une heure. La réputation d'un domaine ou d'une IP remonte plus lentement, au fil des envois propres. Aucun délai garanti n'est publié par les fournisseurs.