Ce qui a changé en délivrabilité e-mail en 2026

La délivrabilité e-mail a plus changé en 2026 que sur aucune année depuis l’arrivée des règles pour les expéditeurs de masse : DMARC est devenu en mai une vraie norme d’internet, la RFC 9989, Gmail et Outlook.com sont passés du filtrage au rejet SMTP pur et simple, les messageries d’entreprise ont discrètement reçu leur propre règlement, une couche d’IA s’est mise à lire la boîte de réception puis à la piloter, et deux régulateurs européens ont fait du pixel d’ouverture une question de consentement. Ce rapport rassemble ce qui a réellement changé jusqu’en août 2026, chaque changement avec sa date, et se termine par ce qu’il faut faire de chacun.

Un même motif traverse l’ensemble. L’authentification, la réputation d’expéditeur, l’engagement du destinataire et la conformité juridique ont cessé d’être des chantiers séparés en 2026 : chaque changement ci-dessous resserre le lien entre au moins deux d’entre eux.

DMARC est devenu une norme : la RFC 9989 remplace la RFC 7489

L’IETF a publié DMARC sous le nom de RFC 9989 en mai 2026, mettant fin à une décennie pendant laquelle le protocole exigé par tous les grands fournisseurs de messagerie n’était, formellement, qu’un document informatif. Il est arrivé en trois documents, la RFC 9989 pour le protocole, la RFC 9990 pour les rapports agrégés et la RFC 9991 pour les rapports d’échec, qui rendent ensemble la RFC 7489 obsolète et placent DMARC sur la voie des normes.

Rien ne casse de soi-même : v=DMARC1 reste la seule chaîne de version et les enregistrements existants restent valides. Mais trois balises disparaissent, pct, ri et rf, et le déploiement par pourcentage que pct offrait est remplacé par un indicateur de test, t=y, qui applique votre politique un niveau plus bas.

Cette suppression est le seul changement qui modifie le sort de votre courrier sans aucune retouche du DNS. Sous la RFC 7489, p=reject; pct=25 rejetait un quart des messages en échec. Un récepteur qui suit la RFC 9989 ignore la balise et les rejette tous. Le DMARC Checker d’Unspam signale les trois comme des balises historiques précisément pour cette raison.

Le déploiement est la moitié qui manque. En août 2026, ni Google, ni Yahoo, ni Microsoft ne s’est engagé publiquement sur la sémantique de la RFC 9989, et leur documentation décrit encore DMARC selon la RFC 7489 : les deux lectures de pct sont donc vivantes en même temps. Le parcours de l’arbre, les brouillons DKIM2 et la proposition de retirer ARC sont traités dans notre guide DKIM2 et DMARCbis.

Une nouvelle proposition attaque exactement ce que cette année a aggravé. Draft-brotman-aggregate-performance-reporting, déposé le 17 mars 2026 par des auteurs de Comcast, Iterable et Google, ferait envoyer aux expéditeurs, par les fournisseurs de messagerie, des rapports de placement agrégés : boîte de réception contre dossier indésirable, plus l’engagement réparti en positif, neutre et négatif. Il s’appuie sur les valeurs DKIM d= et s= plutôt que sur le domaine du From, et se découvre à <selector>._aprf._domainkey.<domain>. Lisez son statut honnêtement : un dépôt individuel, aucun groupe de travail, l’état « I-D Exists », et un texte type précisant qu’il n’a aucun rang formel dans le processus de l’IETF. C’est la première tentative sérieuse de remplacer la déduction par seed list par une vérité déclarée par le fournisseur, et elle est très loin d’aboutir.

Gmail est passé du filtrage aux rejets SMTP

Gmail a commencé à rejeter le courrier de masse non conforme au niveau SMTP en novembre 2025, et Google décrit cette montée en puissance comme graduelle et progressive, non comme un interrupteur. La FAQ des directives pour les expéditeurs prévient que le trafic non conforme s’expose à des perturbations allant jusqu’au rejet, d’abord sous forme d’erreurs temporaires 4.7.x puis d’erreurs permanentes 5.7.x : 5.7.25 pour un enregistrement PTR absent, 5.7.26 et 5.7.27 pour SPF, 5.7.30 pour DKIM, 5.7.29 pour l’absence de TLS.

Les exigences elles-mêmes n’ont pas bougé, et ce sont les règles de février 2024 traitées dans notre guide des exigences Gmail et Yahoo : taux de spam sous 0,1 % et n’atteignant jamais 0,3 %, SPF, DKIM et DMARC, désabonnement en un clic. La sortie de crise a un chiffre publié qu’il vaut mieux connaître avant de paniquer : un expéditeur de masse redevient éligible à une atténuation dès que son taux de spam reste sous 0,3 % pendant sept jours consécutifs.

Le périmètre est plus étroit que ne le supposent la plupart des expéditeurs, et Google le dit sans détour : les Email sender guidelines « don’t apply to messages sent to Google Workspace accounts ». Les seuils, la définition du masse à partir de 5 000 par jour et tout le régime de rejet gouvernent le courrier adressé à des destinataires gmail.com personnels. Le courrier destiné à une entreprise qui tourne sur Workspace est filtré par la configuration de ce tenant. Un expéditeur B2B qui s’optimise sur le chiffre de 0,1 % avec une liste pleine de domaines professionnels se règle sur une règle qui ne s’applique pas à ces destinataires. La définition de 5 000 par jour est aussi celle de Google ; Yahoo n’a jamais publié de seuil de volume.

L’outillage a plus changé que les règles. Google a retiré l’ancienne interface de Postmaster Tools selon un calendrier que le secteur situe à l’automne 2025, et l’API v2 a atteint la disponibilité générale le 3 février 2026 : le statut de conformité est désormais quelque chose qu’un script lit à intervalles réguliers, et non quelque chose qu’une personne pense à consulter. Le signal de remplacement est plus grossier que l’ancienne échelle de réputation : la v2 expose un verdict d’analyse de délivrabilité dont les codes de motif incluent SPAM_RATE_HIGH, documenté comme « The spam rate is above 0.1% », plus USER_FEEDBACK_NEGATIVE, SMTP_ERRORS_HIGH et SENDER_NOT_COMPLIANT. Un domaine peut réussir chaque ligne de conformité et récolter tout de même un verdict disant que les utilisateurs ne veulent pas de son courrier. Google annonce le retrait des tableaux de bord de réputation de domaine et d’adresse IP, sans publier de date, et les deux sont encore documentés aujourd’hui. Notre guide sur les raisons d’un échec DMARC traite l’échec que la plupart des expéditeurs rencontrent en premier.

Outlook.com s’est mis à rejeter le courrier de masse non authentifié, puis est tombé en panne une semaine

Microsoft rejette désormais purement et simplement le courrier de masse non authentifié destiné à ses messageries grand public. Les domaines qui envoient plus de 5 000 messages par jour vers outlook.com, hotmail.com, live.com et d’autres adresses grand public de Microsoft doivent réussir SPF, DKIM et DMARC selon les exigences annoncées par Microsoft le 2 avril 2025, et une révision du 29 avril a sauté la période de grâce prévue dans le dossier spam : depuis le 5 mai 2025, l’action documentée en cas d’échec est le rejet avec 550 5.7.515. Microsoft attend que SPF et DKIM passent individuellement, ce qui est plus strict que la logique DMARC du seul alignement réussi, et le périmètre se limite aux messageries grand public.

La conformité s’est ensuite révélée nécessaire mais pas suffisante. Pendant environ une semaine fin février 2026, les praticiens qui suivent la plateforme grand public ont rapporté qu’Outlook.com limitait le débit et rejetait le courrier d’expéditeurs authentifiés de longue date, avec des erreurs temporaires 451 4.7.650 invoquant la réputation d’adresse IP à côté de rejets 550 francs. La reconnaissance de Microsoft n’est pas allée plus loin qu’un avis sur le portail de support à propos de certaines adresses IP rejetées temporairement à un rythme plus élevé. La vague signalée a culminé les 24 et 25 février et était pour l’essentiel résorbée le 26. Ce fut l’incident de délivrabilité le plus visible de l’année, il a frappé des expéditeurs dont les enregistrements étaient en ordre, et la leçon pratique porte sur la vitesse de détection : les expéditeurs qui ont le moins perdu sont ceux qui s’en sont aperçus en quelques heures.

Microsoft a par ailleurs passé l’année à retirer les preuves dont les expéditeurs se servent pour se diagnostiquer. Depuis le 4 décembre 2025, SNDS exige une authentification pour approuver l’accès à un réseau et a supprimé le téléchargement d’échantillons de plaintes, et les flux de signalements de courrier indésirable ont été réduits à des en-têtes dont l’adresse de l’expéditeur est masquée. Puis le dernier signal de première main sur les spam traps est tombé : SNDS a cessé de communiquer le nombre de touches de spam traps le 22 juillet 2026. Les étapes de rétablissement figurent dans notre guide de délivrabilité Outlook.com.

Les messageries d’entreprise ont reçu leur propre règlement, et personne ne l’a annoncé aux marketeurs

Microsoft a commencé à trier le courrier professionnel selon l’intention commerciale en 2026, et le changement est sorti comme de la plomberie de tenant plutôt que comme une annonce aux expéditeurs. Microsoft Learn écrit que « As of July 2026, all messages identified as bulk (regardless of BCL value) automatically receive the Promotions tag » (documentation BCL), avec une note en direct indiquant que la fonction est encore en déploiement et devrait atteindre toutes les organisations d’ici la mi-septembre 2026.

L’étiquette et le dossier sont deux choses différentes, et les confondre est la façon dont ce sujet est mal rapporté. L’étiquetage est actif par défaut et s’applique à tout le tenant, et il s’affiche dans Outlook sur le web et dans Outlook pour Windows. Détourner réellement ce courrier vers un dossier Promotions exige le réglage distinct de déplacement du courrier de masse, qui est livré désactivé dans les stratégies de sécurité prédéfinies par défaut, Standard et Strict. Trois échappatoires existent et pas une de plus : le destinataire a l’expéditeur dans ses expéditeurs approuvés, l’expéditeur se trouve dans un domaine accepté du tenant, ou l’administrateur du destinataire supprime le tampon avec une règle de flux de messagerie. Les seuils du Bulk Complaint Level sont inchangés, à 7 par défaut, 6 sous Standard et 5 sous Strict.

Les expéditeurs d’un tenant ont aussi reçu des plafonds là où les expéditeurs grand public recevaient des filtres. Exchange Online applique un Tenant External Recipient Rate Limit, qui plafonne le nombre de destinataires externes qu’un tenant entier peut atteindre sur 24 heures glissantes, calibré sur son nombre de licences et fixé à 5 000 par jour pour les tenants d’essai, les membres d’un groupe de distribution étant comptés un par un dès que le groupe est développé. Microsoft a ensuite abandonné le plafond par boîte qui l’accompagnait : la limite de 2 000 destinataires externes annoncée pour les boîtes individuelles a été annulée en janvier 2026 avant même d’entrer en vigueur, ce qui laisse la limite de destinataires par boîte à 10 000 par jour. Le courrier envoyé depuis le domaine onmicrosoft.com d’un tenant est maintenant plafonné beaucoup plus bas, à 100 destinataires externes par organisation et par 24 heures, rejeté avec 550 5.7.236.

Rien de tout cela n’est une règle de filtrage, et Microsoft dit clairement qu’Exchange Online n’est pas adapté à l’envoi de masse. C’est le vrai message pour quiconque fait encore tourner des campagnes depuis un tenant.

La carte des messageries grand public américaines s’est resserrée, et Apple a déplacé ses adresses masquées

Une part croissante du courrier grand public américain est filtrée par Yahoo, même quand l’adresse dit autre chose. Comcast migre les boîtes comcast.net vers Yahoo Mail à différents moments en 2025 et 2026, et les adresses restent en @comcast.net. Les treize domaines grand public d’AT&T, dont att.net, sbcglobal.net et bellsouth.net, étaient déjà hébergés chez Yahoo, et Yahoo a pointé leurs enregistrements MX vers sa propre infrastructure à partir du 24 juin 2025. La population verizon.net est prise en charge par AOL depuis 2017, même si AOL n’appartient plus à Yahoo : Bending Spoons a convenu de l’acheter en octobre 2025, AOL Mail restant sur l’infrastructure de Yahoo. Une précision pour qui analyse des listes : les enregistrements MX de comcast.net pointent encore vers des hôtes exploités par Comcast, la migration atteint donc les utilisateurs avant que les expéditeurs puissent la voir dans le DNS.

Les exigences propres à Yahoo n’ont pas changé depuis février 2024. Ce que Yahoo a ajouté, c’est de la visibilité : Sender Hub Insights, lancé le 27 octobre 2025, rapporte les taux de plaintes et le nombre de messages remis pour les domaines vérifiés par DKIM.

Apple a rejoint l’exigence d’authentification sans communiqué de presse. Sa documentation postmaster iCloud Mail demande aux expéditeurs de masse de réussir SPF et DKIM et de publier une politique DMARC, précise que le courrier de masse qui ne respecte pas les exigences est rejeté, et n’y attache ni date limite ni seuil de plaintes publié. Le tableau est complet : les quatre grands opérateurs grand public américains attendent du courrier de masse authentifié et les quatre rejettent le courrier de masse non conforme, tandis que seuls Gmail, Yahoo et Outlook.com y accrochent des règles datées. Classez les destinataires selon l’infrastructure de messagerie plutôt que selon le domaine placé après l’arobase, parce qu’un problème de réputation chez Yahoo touche aujourd’hui une part bien plus grande d’une liste grand public américaine que ne le suggère le décompte des adresses yahoo.com.

Apple a aussi laissé un devoir aux expéditeurs. Le 15 juin 2026, la société a annoncé que les nouvelles adresses Sign in with Apple et Masquer mon adresse e-mail d’iCloud+ seraient délivrées sur un domaine unique, private.icloud.com, et a demandé aux prestataires d’envoi de mettre à jour le filtrage par domaine, les listes de suppression et les règles de routage qui énumèrent les domaines de relais. Apple a dit « later this summer » sans nommer de date : traitez donc cela comme annoncé et non comme livré. Les adresses masquées existantes continuent de fonctionner.

Une couche d’IA lit la boîte de réception, et la pilote désormais

Gmail et Apple Mail placent tous deux des résumés écrits par une machine et un ordre choisi par une machine entre un e-mail remis et son lecteur, et en 2026 les mêmes fournisseurs ont donné à cette couche la capacité d’agir. Au fil de 2025, Gmail a ajouté des cartes de résumé Gemini au-dessus des longs fils, une vue de gestion des abonnements triée par expéditeur le plus fréquent, et un tri par pertinence qui classe Promotions selon l’engagement propre à chaque destinataire. Google a annoncé le Gmail de l’ère Gemini le 8 janvier 2026, avec un déploiement d’abord aux États-Unis, et la vue de boîte de réception assistée par IA qui trie ce qui mérite l’attention reste réservée aux abonnés. Yahoo a annoncé des résumés dans Yahoo Mail le 27 janvier 2026, au sein de sa plateforme Scout. Apple a bougé plus tôt et plus discrètement : les catégories d’Apple Mail ont atteint l’iPhone en décembre 2024 puis l’iPad et le Mac en 2025, la catégorisation tourne sur l’appareil, et Apple ne documente aucun moyen pour un expéditeur de l’influencer.

Cette couche n’est pas activée chez tous les destinataires. Les fonctions Gemini de Gmail dépendent de ses réglages de fonctionnalités intelligentes, et Google les documente comme désactivées par défaut pour les utilisateurs de l’Espace économique européen, du Japon, de Suisse et du Royaume-Uni, qui doivent les activer délibérément. Une liste européenne et une liste américaine ne lisent pas votre courrier à travers la même interface, et l’écart relève d’un réglage de confidentialité par défaut plutôt que d’un calendrier de déploiement.

La moitié qui agit est nouvelle, et les deux fournisseurs ont tracé la limite à des endroits différents. Google a livré un serveur MCP pour Gmail en preview développeur le 22 avril 2026, limité à la lecture et à la rédaction : un agent peut lire, étiqueter et préparer des brouillons, et c’est toujours un humain qui envoie. Les outils Mail MCP de Microsoft exposent l’envoi, la réponse, la réponse à tous, la suppression et la mise à jour à l’intérieur d’un tenant. Et depuis le 27 avril 2026, Copilot dans Outlook active par défaut un mode d’actions, avec des actions documentées pour déplacer le courrier d’un expéditeur nommé vers un dossier, archiver, marquer pour suivi et créer des règles pour les messages futurs. Deux réserves comptent : il s’agit d’un accès anticipé Microsoft 365 Frontier et non d’une disponibilité générale, et Microsoft indique que ce n’est actuellement pas proposé aux utilisateurs de l’UE. La liste d’actions documentées ne contient ni envoi ni désabonnement.

Pour un expéditeur, une règle de boîte écrite par un agent est le plus silencieux des mauvais dénouements : elle réoriente votre courrier de façon permanente sans plainte, sans désabonnement et sans aucun signal que vous verrez un jour, et un agent qui archive un message ressemble exactement à un humain qui fait de même, du point de vue du filtre qui observe l’engagement. Le tunnel a gagné une étape, envoyé puis remis puis boîte de réception puis vu, et le placement reste la porte. La façon dont les changements de Gmail remodèlent la stratégie d’un expéditeur figure dans notre guide de délivrabilité Gmail, et écrire pour une lecture qui commence par le résumé a son propre guide sur les résumés d’IA.

Le transport cassé d’un autre est devenu votre échec de remise

Microsoft a fait de la configuration TLS des autres une raison pour laquelle votre courrier est abandonné. Les connecteurs sortants d’Exchange Online portent maintenant les réglages SmtpDaneMode et MtaStsMode, et les valeurs par défaut ne sont pas passives. Sous le mode DANE Opportunistic par défaut, une destination qui prend en charge DANE avec DNSSEC mais échoue à la validation voit le message mis en file d’attente et réessayé pendant 24 heures tandis qu’Exchange tente un MX secondaire, et si rien ne passe et qu’aucun MX secondaire n’existe, le message est abandonné. Il en va de même pour MTA-STS : si la destination publie une politique en mode enforce et que la validation échoue, le message est mis en file d’attente 24 heures puis abandonné. Le mode DANE Mandatory va plus loin et l’exige de toute destination, en abandonnant après 24 heures pour tout domaine qui ne prend pas du tout en charge DANE avec DNSSEC. L’asymétrie mérite d’être notée : le mode DANE accepte Mandatory, celui de MTA-STS non.

Google, de son côté, a discrètement rendu SPF moins coûteux. Au 20 août 2026, _spf.google.com résout vers un enregistrement unique sans terme include: : include:_spf.google.com coûte donc une de vos dix requêtes SPF au lieu de quatre, et _netblocks3.google.com répond maintenant par un v=spf1 ~all vide. Google n’a rien publié à ce sujet, aucune date de bascule n’est donc citable ; c’est un état observé que vous pouvez confirmer vous-même avec une requête. La moitié actionnable concerne quiconque a inscrit en dur _netblocks, _netblocks2 et _netblocks3 dans son enregistrement il y a des années pour contourner la limite de requêtes : certains de ces termes ne résolvent plus vers rien tout en coûtant encore une requête. Vérifiez ce à quoi votre enregistrement s’évalue réellement avec le SPF Checker d’Unspam.

Les taux d’ouverture se sont cassés davantage, et deux régulateurs ont fait du pixel une question de consentement

Un taux d’ouverture a chuté fin 2025 sans aucun changement de délivrabilité derrière. La télémétrie de Validity montre que le proxy d’images de Gmail a réduit d’environ un tiers le préchargement des pixels fin novembre 2025, certains clients de Validity voyant les ouvertures Gmail baisser de 30 % ou plus d’un trimestre sur l’autre. Validity a mesuré le placement en boîte de réception Gmail en baisse d’environ 3 % sur les mêmes mois : l’effondrement des ouvertures est donc plusieurs fois supérieur au changement de placement qui se trouve dessous. Ajoutez des résumés d’IA qui digèrent un message sans le charger de la manière traditionnelle, et la conclusion à laquelle la plupart des équipes sont arrivées il y a des années devient incontournable : les ouvertures sont au mieux indicatives.

Puis deux régulateurs européens ont fait du pixel un objet juridique, et ont tracé la limite à des endroits différents. La CNIL française a adopté la délibération n° 2026-042 le 12 mars 2026, publiée au Journal officiel le 14 avril. Sa FAQ n’autorise un pixel de délivrabilité sans consentement que si la seule donnée collectée est la date de la dernière ouverture, et précise que journaliser une adresse IP ou un agent utilisateur fait perdre l’exemption, même si cette donnée est ensuite anonymisée ou supprimée. Le périmètre est universel : tout usage de traceurs dans l’e-mail, B2B compris. Les expéditeurs avaient trois mois pour informer les destinataires dont les adresses sont antérieures à la publication, soit jusqu’au 14 juillet 2026, prolongeable avec une justification documentée.

Le Garante italien est arrivé à la conclusion inverse sur la mesure qui survit. Son provvedimento n. 284 du 17 avril 2026, publié à la Gazzetta Ufficiale le 29 avril avec six mois pour se conformer, exige un consentement préalable libre, spécifique et informé, et exempte la mesure agrégée et anonymisée du taux d’ouverture comme nécessaire au travail de délivrabilité et de lutte antispam. Il exige aussi un moyen simple de retirer le consentement de manière sélective, pour qu’un destinataire puisse couper le suivi sans se désabonner, ce que presque aucune plateforme d’e-mail n’affiche aujourd’hui.

Lisez-les ensemble, parce qu’un expéditeur paneuropéen ne peut pas livrer une politique de pixel unique. La France exempte la mesure individuelle réduite à une date de dernière ouverture ; l’Italie exempte la statistique agrégée et non la mesure par destinataire. Pour des contacts italiens, la mise en sommeil fondée sur les ouvertures n’a aucune exemption où s’asseoir.

L’écart entre ce que les fournisseurs exigent et ce que les expéditeurs publient est resté large toute l’année. Parmi les expéditeurs testés avec Unspam depuis le début de 2026, 52 % n’ont toujours pas de DMARC, et deux ans après l’obligation de désabonnement en un clic, seuls 14 % réussissent le contrôle List-Unsubscribe en un clic. Le benchmark de délivrabilité e-mail suit l’ensemble complet, et le rapport statistique 2026 le détaille par fournisseur.

Un objet trompeur est devenu un risque contentieux avec un nom d’affaire

Une fausse allégation d’urgence dans un objet a désormais un prix. Dans Brown v. Old Navy, tranchée le 17 avril 2025, la Cour suprême de l’État de Washington a jugé par 5 voix contre 4 que le Commercial Electronic Mail Act de l’État interdit toute information fausse ou trompeuse dans l’objet d’un message commercial, et pas seulement une information trompeuse sur le fait que le message est une publicité. L’emphase subjective survit comme puffery ; une représentation de fait, par exemple la date de fin d’une promotion, non. À $500 par e-mail et sans plafond, 105 actions CEMA ont suivi en un an selon le décompte d’avril 2026 de Ballard Spahr, et des dépôts imitateurs ont atteint la Floride, le Maryland et la Californie.

Washington a ensuite rééquilibré. ESHB 2274, en vigueur au 11 juin 2026, a ajouté une exigence de connaissance, la responsabilité dépend donc de la connaissance effective de l’expéditeur ou d’une connaissance raisonnablement déduite de circonstances objectives, et a ramené les dommages du destinataire à $100 par message. La règle opérationnelle coûte moins cher que n’importe lequel de ces chiffres : traitez un objet comme une affirmation de fait, relue comme une affirmation de page d’atterrissage, et gardez la preuve que l’offre y correspondait. Les textes de loi et l’exposition État par État sont traités dans notre guide des lois antispam.

Le filtrage devient individuel, disent ceux qui l’observent au quotidien

La même campagne arrive aujourd’hui différemment chez deux abonnés du même fournisseur, et les praticiens disent que c’est la véritable histoire de 2026. Laura Atkins l’a soutenu dans un article de février 2026 pour la Certified Senders Alliance : l’application technique continue de se durcir, le filtrage s’individualise de plus en plus selon le comportement de chaque destinataire, et l’effet de l’IA sur la boîte de réception est la question ouverte que personne ne sait encore quantifier. Les perspectives 2026 d’Al Iverson ajoutent les corollaires : aucun protocole qui passe ne couvre plus un protocole qui échoue, un DNS inverse mal configuré est devenu une cause de rejet courante, et les voies d’escalade humaines dont les expéditeurs se servaient disparaissent à mesure que le filtrage s’automatise. Spamhaus a dit la même chose en décembre 2025 en ajoutant un outil de diagnostic qui vérifie le DNS inverse et la validité du HELO avant d’accepter une demande de retrait.

La prospection à froid a perdu la couverture qui lui restait. M3AAWG a publié en novembre 2025 une position formelle sur le cold email qui qualifie de particulièrement graves les domaines d’envoi masqués, le contournement des limites de volume et l’engagement simulé artificiellement, et affirme que le consentement ne se transfère pas d’un canal à l’autre. Elle n’emporte aucun mécanisme de sanction, mais c’est l’organisme du secteur qui le dit, et non un prestataire. Spamhaus a déclaré en juin 2025 que le cold email est du spam par définition et que la prospection à froid de masse qui touche ses spam traps est candidate à une inscription.

Le filtrage individualisé a une implication honnête pour les tests, y compris les nôtres. Un test contrôlé mesure la couche binaire : si l’authentification passe, si un domaine se trouve sur une blacklist, ce que le modèle déclenche, et où un envoi contrôlé atterrit chez chaque fournisseur. C’est exactement la couche sur laquelle les fournisseurs rejettent aujourd’hui, et elle est entièrement mesurable. Ce qu’aucun test par seed list ne peut mesurer, c’est le filtre personnel d’un abonné, parce que ce verdict n’existe que dans cette messagerie. Le partage qui tient consiste à tester la couche qui rejette et à lire la couche de l’attention dans vos propres données d’engagement, segmentées par fournisseur de messagerie.

Changements plus petits de 2026, une ligne chacun

• Gmail a eu sa propre panne le 8 avril 2026, environ huit heures de bounces pour dépassement de débit vers des destinataires externes : l’année ne se lit donc pas comme une défaillance uniquement Microsoft.
• Microsoft a replanifié le retrait de l’authentification de base pour SMTP AUTH le 27 janvier 2026. Rien ne change jusqu’en décembre 2026, puis l’authentification de base pour la soumission cliente passe désactivée par défaut chez les tenants existants et devient indisponible pour les nouveaux, le retrait final étant annoncé pour la seconde moitié de 2027. Tout ce qui soumet encore du courrier avec un identifiant et un mot de passe a une échéance.
• Amazon SES a livré l’isolation par tenant avec des politiques de réputation automatisées le 1er août 2025 : SES peut donc suspendre lui-même les envois d’un tenant sur un constat de réputation, avant qu’aucun fournisseur de messagerie ne voie le courrier.
• Le Royaume-Uni a relevé le plafond des sanctions pour marketing e-mail illicite le 5 février 2026, du plafond de £500 000 au maximum standard de £8,7 millions ou 2 % du chiffre d’affaires mondial, et les lignes directrices finalisées de l’ICO publiées en avril de cette année couvrent les pixels de suivi à côté des cookies.
• La consolidation s’est poursuivie. Validity a finalisé l’acquisition de Litmus en avril 2025 : une seule société détient donc Sender Score, Everest, BriteVerify et la suite de tests de rendu. Zeta Global a convenu de racheter les marques entreprise de Marigold en octobre 2025, et Infobip a acquis SocketLabs en juillet 2026.
• BIMI est resté un brouillon. La spécification a atteint la révision 14 en mai 2026 et n’est toujours pas une RFC. Gmail honore les Common Mark Certificates depuis septembre 2024, ce qui place un logo à côté de votre nom sans marque déposée ; la coche bleue de vérification exige encore un Verified Mark Certificate.
• Spamhaus a commencé à faire appliquer son usage équitable aux requêtes hébergées chez Oracle le 15 avril 2026. Les requêtes gratuites vers le miroir public depuis l’espace réseau d’Oracle renvoient désormais un code d’erreur au lieu d’une réponse, et un récepteur qui le gère mal peut rejeter tout le courrier entrant.
• Aucune nouvelle loi e-mail n’est arrivée hors des États-Unis, mais le Canada a ouvert une consultation. La Commission européenne a annoncé en février 2025 qu’elle retirerait la proposition de règlement ePrivacy, a adopté ce retrait en juillet et l’a publié au Journal officiel en octobre, laissant la directive de 2002 en vigueur. Le CAN-SPAM Act n’a pas changé depuis son dernier réexamen. Le CRTC a ouvert la consultation 2026-132 le 11 juin 2026, sa première réécriture des Unsolicited Telecommunications Rules depuis 2014.

Ce qu’il faut faire avant 2027

1. Cherchez pct, ri et rf dans votre enregistrement DMARC. Un récepteur sur la RFC 9989 applique votre politique complète quel que soit le pourcentage. Utilisez t=y là où vous échelonniez avec pct.
2. Séparez votre reporting entre destinataires grand public et professionnels. Les seuils de Google ne gouvernent pas le courrier Workspace et les règles grand public de Microsoft ne gouvernent pas les tenants : un chiffre unique moyenne donc deux règlements.
3. Vérifiez que SPF et DKIM passent individuellement. Outlook.com renvoie un bounce si l’un des deux échoue, et l’alignement seul ne vous sauve pas.
4. Mettez la conformité sur un calendrier plutôt que dans votre mémoire. L’API Postmaster Tools et le Sender Hub de Yahoo exposent les verdicts qu’une personne va consulter à la main, et des tests de placement en boîte de réception planifiés transforment un incident du type de février en alerte le jour même.
5. Recartographiez le reporting par fournisseur selon l’infrastructure. Comptez les destinataires att.net, sbcglobal.net et les comcast.net déjà migrés avec Yahoo, parce que ce sont ces filtres qu’ils ont derrière eux.
6. Décidez votre politique de pixel par pays avant octobre. L’échéance italienne tombe fin octobre 2026 et n’exempte que la statistique agrégée : une automatisation fondée sur les ouvertures et visant des destinataires italiens a donc besoin d’une base de consentement, ou doit être coupée.
7. Relisez les objets comme des pages d’atterrissage. Une allégation d’expiration a besoin d’un responsable, et l’archive devrait prouver que l’offre correspondait à l’objet.
8. Retirez les ouvertures de vos KPI. Rapportez les plaintes, les clics, les bounces et le placement, qui ont tous gardé leur sens tout au long de 2026.

Les négatifs de ce rapport informent autant que les événements. Aucun prestataire d’envoi n’a imposé de nouvelles exigences datées à ses propres clients en réaction à la vague d’application, aucun fournisseur de messagerie n’a rendu MTA-STS ou TLS-RPT obligatoire, et aucun fournisseur n’a publié de règle visant la prospection à froid, ce qui laisse le sujet au M3AAWG et à Spamhaus. Google Workspace n’a produit aucune nouvelle règle pour les expéditeurs en 2026 quand Microsoft en a produit quatre, et c’est pourquoi la moitié de ce rapport consacrée aux messageries d’entreprise est presque entièrement une histoire Microsoft.

Testez ensuite le message plutôt que la théorie. Passez votre prochaine campagne dans le test de spam gratuit d’Unspam et relisez le panneau d’authentification à la lumière de l’année décrite plus haut : si SPF, DKIM et DMARC passent chacun de son côté, si l’enregistrement ne porte aucune balise historique et si la grille de placement est verte chez tous les fournisseurs, chaque changement de ce rapport est un changement sur lequel vous avez déjà de l’avance.