En 2026, vos cold emails finissent dans deux endroits : la boîte de réception ou nulle part. L'entre-deux — le dossier spam où ils traînent en attendant qu'un humain les sauve — a quasiment disparu. Gmail, Yahoo et Microsoft sont passés au rejet pur depuis novembre 2025 et mai 2025 respectivement. Si vos enregistrements SPF, DKIM ou DMARC ne sont pas en place, vos messages ne partent même pas en spam. Ils bouncent.

L'équipe d'Activecom écrivait en février 2026 : "Les FAI (Gmail, Outlook, Yahoo en tête) ont définitivement gagné la bataille du volume. Et ils ne reviendront pas en arrière." (source). Côté chiffres : selon Instantly 2026, 17% des cold emails n'atteignent aucune boîte de réception — pas le spam, pas Promotions, nulle part. Et selon Validity 2025 cité par Unify, le taux global de placement en inbox tourne à 84%, soit un email légitime sur six qui rate sa cible même avec une configuration correcte (source).

Ce guide reprend SPF, DKIM, DMARC sans bullshit. Comment les configurer pour un domaine de cold email, quels pièges éviter (l'alignement DMARC en tête), comment passer de p=none à p=reject sans tout casser, et ce qu'il reste à faire après pour ne pas brûler votre domaine.

TL;DR — la checklist 2026

  • Domaine séparé pour le cold email — jamais le domaine principal. acme.co, getacme.com, tryacme.io.
  • SPF : enregistrement TXT, se termine par ~all ou -all, moins de 10 DNS lookups.
  • DKIM : clé 2048 bits, alignée avec le domaine du From:, activée chez votre ESP.
  • DMARC : commencer à p=none avec rua= pour les rapports, monter à p=quarantine puis p=reject.
  • Alignement DMARC : le From: doit aligner soit SPF, soit DKIM (préférable les deux).
  • PTR / Reverse DNS : configuré sur l'IP d'envoi (souvent oublié, souvent casseur de délivrabilité chez Microsoft).
  • Monitoring : MxToolbox + Google Postmaster + Microsoft SNDS + un analyseur DMARC.

SPF — qui a le droit d'envoyer depuis votre domaine

SPF (Sender Policy Framework) est le plus ancien des trois protocoles. Vous publiez dans le DNS la liste des serveurs autorisés à envoyer du courrier depuis votre domaine. Quand un serveur de réception (Gmail, Outlook, etc.) reçoit un email prétendant venir de chez vous, il vérifie que l'IP de l'expéditeur figure dans votre SPF. Sinon, échec.

Exemple d'enregistrement SPF pour un domaine Google Workspace

v=spf1 include:_spf.google.com ~all

Si vous envoyez via plusieurs services (Google Workspace + un outil de cold email comme Instantly + Mailgun pour le transactionnel), tous doivent figurer dans le même SPF :

v=spf1 include:_spf.google.com include:mailgun.org include:spf.instantly.ai ~all

Le piège SPF : la limite des 10 lookups

SPF limite à 10 le nombre de lookups DNS qu'un résolveur peut faire pour valider votre enregistrement. Chaque include: compte pour 1. Si vous dépassez 10, SPF retourne PermError et tous vos emails échouent l'authentification — peu importe que les services soient légitimes. Beaucoup d'équipes B2B explosent cette limite en empilant les outils SaaS au fil du temps.

Vérifiez avec MxToolbox SPF Lookup Count. Si vous êtes à 8+, c'est le moment de consolider : flatten le SPF, retirer les services inutilisés, ou passer à un outil de SPF macro qui réécrit dynamiquement.

~all ou -all ?

Le qualificateur final indique quoi faire si l'IP n'est pas listée : ~all = softfail (l'email est suspect mais accepté), -all = hardfail (l'email est rejeté). En 2026, ~all reste la norme pour les domaines de cold email parce qu'il laisse plus de marge de manœuvre en cas de misconfiguration. -all est plus strict mais plus risqué si vous n'avez pas le contrôle complet de vos services d'envoi.

DKIM — la signature cryptographique de vos emails

DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque email sortant. Le serveur de réception récupère la clé publique via DNS, vérifie la signature, et confirme que l'email vient bien de votre domaine et n'a pas été altéré en transit.

Configuration en pratique

DKIM se configure chez votre ESP (Google Workspace, Microsoft 365, Mailgun, Instantly, Smartlead, etc.). L'ESP génère une paire clé publique / clé privée. Vous publiez la clé publique dans un enregistrement DNS (CNAME ou TXT selon le service). L'ESP signe chaque email sortant avec la clé privée.

Spécificités 2026

  • Taille minimum de clé : 1024 bits, mais l'industrie est passée à 2048 bits. Si votre clé date d'avant 2020, vérifiez et upgradez.
  • Sélecteur : c'est le préfixe du sous-domaine où la clé est publiée (ex : google._domainkey.acme.com). Chaque ESP utilise son propre sélecteur. Multi-ESP = plusieurs sélecteurs en parallèle.
  • Rotation des clés : bonne pratique tous les 6-12 mois. Beaucoup d'équipes ne le font jamais. Pas catastrophique, mais à programmer.

DMARC — l'orchestrateur, et le vrai sujet

DMARC (Domain-based Message Authentication, Reporting and Conformance) est l'enregistrement le plus important des trois en 2026. C'est lui qui dit au serveur de réception ce qu'il faut faire si SPF ou DKIM échouent — et c'est lui qui demande les rapports d'usage qui vous permettent de voir qui envoie quoi depuis votre domaine.

Exemple d'enregistrement DMARC minimal

v=DMARC1; p=none; rua=mailto:dmarc-reports@acme.com; ruf=mailto:dmarc-forensic@acme.com; fo=1

Décomposé :

  • v=DMARC1 : la version (toujours 1)
  • p=none : politique pour les emails non alignés (monitor only)
  • rua= : adresse pour les rapports agrégés (un email par jour)
  • ruf= : adresse pour les rapports forensiques (un email par échec)
  • fo=1 : envoyer les rapports forensiques sur tout échec

L'alignement DMARC — le piège que tout le monde rate

Voici la subtilité que la plupart des équipes manquent : SPF et DKIM peuvent passer techniquement, mais si le domaine dans le From: ne correspond pas au domaine couvert par SPF ou signé par DKIM, DMARC échoue quand même. C'est l'alignement.

Exemple concret : vous envoyez via SendGrid. SPF inclut sendgrid.net. L'email arrive avec Return-Path: bounces@sendgrid.net mais From: marketing@acme.com. SPF passe (sendgrid.net est autorisé), mais l'alignement échoue (sendgrid.net ≠ acme.com). DMARC en mode strict = rejet.

La solution : utiliser un sous-domaine de bounce dédié (ex : bounce.acme.com pointant vers SendGrid via CNAME), de sorte que SPF et le From: soient sur le même domaine racine acme.com.

Passer de p=none à p=reject sans tout casser

La séquence recommandée par Google et Yahoo :

  1. Semaine 1-2 : p=none. Collectez les rapports DMARC, identifiez tous les services qui envoient depuis votre domaine, corrigez les alignements cassés.
  2. Semaine 3-4 : p=quarantine avec pct=10 (10% du trafic en quarantine). Surveillez les rapports.
  3. Semaine 5-6 : p=quarantine avec pct=50, puis pct=100.
  4. Semaine 7+ : p=reject. Tout email non aligné est définitivement bloqué.

En 2026, p=quarantine est le minimum acceptable pour un domaine de cold email sérieux. p=reject est récompensé par une meilleure réputation chez Gmail et Microsoft. Skip les étapes intermédiaires et vous risquez de bloquer du trafic légitime que vous n'aviez pas identifié.

Microsoft mai 2025, Gmail novembre 2025 — ce que ça change

Avant 2024, mal configurer SPF/DKIM/DMARC voulait dire aller en spam. Depuis fin 2025, ça veut dire être rejeté.

Gmail est passé au rejet dur (5xx) en novembre 2025 pour les expéditeurs de plus de 5 000 emails/jour qui ne respectent pas les exigences d'authentification. Microsoft a fait la même chose le 5 mai 2025 avec son code de rejet permanent 550 5.7.515 sur Outlook.com, Hotmail.com et Live.com. Yahoo applique des règles équivalentes depuis février 2024.

Concrètement : un domaine sans DMARC valide ou avec un alignement cassé peut perdre 40 à 60% de sa délivrabilité du jour au lendemain quand un FAI bascule en enforcement. Et l'identification du problème prend du temps — vos rapports DMARC vous montrent le trafic légitime, mais pas le trafic rejeté côté Gmail/Outlook avant qu'il atteigne la file d'attente DMARC. D'où l'importance de Google Postmaster Tools et Microsoft SNDS comme couches de visibilité parallèles.

Ce que SPF, DKIM, DMARC ne réparent pas

Voici la partie que les guides techniques omettent : l'authentification est le ticket d'entrée. Ça ne suffit pas à passer en inbox. Une fois SPF/DKIM/DMARC verts, vos emails affrontent une deuxième couche de filtres — comportementale celle-ci.

  • Réputation de domaine (Google Postmaster) — basée sur le taux de plaintes spam et l'engagement.
  • Réputation d'IP (Microsoft SNDS) — Microsoft donne beaucoup plus de poids à l'IP que Gmail.
  • Contenu — filtres transformer-based qui détectent les patterns de cold outreach (nouveau sender + pas d'historique + langage promotionnel + demande de meeting).
  • Engagement réel — opens, clicks, replies. Si vos taux sont sous la moyenne, vous descendez progressivement.

Tous ces filtres convergent sur un input commun : la qualité de la liste. Envoyer une campagne parfaitement authentifiée à un export Apollo de 2024 explosera votre taux de bounce au-dessus de 5%, votre taux de plainte au-dessus de 0.3%, et votre taux de désabonnement au-dessus de 1%. Aucune configuration DNS ne corrige ça. SPF/DKIM/DMARC optimisent la plomberie pendant que l'eau reste sale.

Scorer avant d'envoyer — la couche que personne ne tooling correctement

La vérification d'adresses (Dropcontact, ZeroBounce) enlève les emails invalides. Le fit scoring enlève les emails valides mais hors cible — la personne existe mais ce n'est pas le bon titre, pas la bonne taille d'entreprise, pas le bon stade. L'envoi techniquement réussit, mais génère les signaux d'engagement négatif (pas d'ouverture, pas de réponse, suppression rapide, marquage spam occasionnel) qui détruisent votre réputation au fil du temps.

C'est ce que fait Lead Scorer. Vous décrivez votre produit et votre ICP en français. Le système score chaque lead 0-10 sur le fit. Vous séquencez uniquement les 8-10. Bounce rate baisse parce que les données sont fraîches. Taux de plainte baisse parce que les destinataires correspondent vraiment à votre offre. Taux de réponse monte. Les outils en aval (MailReach, GlockApps, Postmaster) affichent des métriques plus saines — parce que l'input s'est amélioré.

Deux agents IA rendent ça concret en 2026. Find Key People in a List of Companies prend une liste d'entreprises (noms, contexte, ou URLs LinkedIn) + des titres cibles, et retourne les contacts enrichis qui matchent. Find People on a Context prend un brief en langage naturel ("CEOs de SaaS B2B français entre 20 et 200 employés ayant levé en 2025") et livre la même chose. Les deux travaillent fit-first — chaque contact qui entre dans votre sequencer a déjà passé la barre de pertinence.

La stack délivrabilité 2026 — ordre d'implémentation

  1. Acheter un domaine séparé pour le cold email. Configurer les MX vers votre ESP.
  2. Configurer SPF avec un seul include initialement. Vérifier avec MxToolbox.
  3. Configurer DKIM chez votre ESP (Google Workspace, Microsoft 365, ESP de cold email).
  4. Configurer DMARC en p=none avec rua= pour récupérer les rapports.
  5. Warm up 2-4 semaines (MailReach, Warmy, ou équivalent) pour bâtir la réputation.
  6. Passer DMARC à p=quarantine puis p=reject sur 4-6 semaines.
  7. Vérifier l'inscription dans Google Postmaster Tools et Microsoft SNDS.
  8. Scorer la liste avant d'envoyer — c'est la couche qui fait la différence en 2026.
  9. Envoyer 30-50 emails/jour/boîte maximum en plain text, 1 lien max, copy personnalisée.
  10. Monitorer hebdomadairement : taux de placement, taux de bounce, taux de plainte, réputation domaine.

Les benchmarks 2026 à viser

MétriqueSainAlerteDanger
Placement inbox>85%60-85%<60%
Taux de bounce<1%1-3%>3%
Taux de plainte spam<0.05%0.05-0.1%>0.1%
Taux d'ouverture cold>45%25-45%<25%
Taux de réponse>3%1-3%<1%

Sources : Thunderbit FR délivrabilité 2026, Instantly 2026 Cold Email Benchmark Report (3,43% de taux de réponse moyen, 10,7%+ pour le top 10%), et les guides Lab0 et Emails-Pro pour les benchmarks B2B français (Thunderbit FR).

Conclusion

SPF, DKIM, DMARC en 2026 ne sont plus une bonne pratique — c'est le ticket d'entrée. Sans eux, vos emails ne partent même pas en spam. Avec eux mal alignés, idem. Avec eux bien configurés, vous avez le droit de jouer — mais vous ne gagnez rien automatiquement.

La couche qui fait vraiment la différence est celle qu'aucune doc DNS n'aborde : la qualité de la liste que vous envoyez. Adresses vérifiées, fit ICP scoré, volume contenu, contenu humain. C'est ce que les filtres comportementaux de Gmail, Outlook et Yahoo récompensent en 2026 — et c'est ce qui sépare un programme de cold email durable d'un domaine qui meurt en trois mois.

Pour tester l'approche score-avant-d'envoyer, essayez Lead Scorer — le CRM gratuit gère 500 leads, le scoring IA démarre à 20 €/mois, et les agents IA (Find Key People et Find People on a Context) prennent en charge la construction de la liste pour que ce qui entre dans votre sequencer ait déjà passé la barre de fit. Pour aller plus loin sur la couche scoring elle-même : notre guide qualification leads B2B 2026, le guide complet du lead scoring, et le comparatif des outils de prospection IA 2026. Les tarifs sont sur la page pricing.