Spamhaus a publié ses Sender Guidelines en octobre 2026, et la seule règle assortie d’une date de départ concerne le nom de votre serveur de messagerie. À partir de novembre 2026, Spamhaus exige progressivement que chaque IP d’envoi ait un nom HELO valide, un enregistrement reverse DNS (PTR) et un enregistrement A correspondant. Un serveur qui ne la respecte pas risque une inscription dans les zones CSS ou XBL.
L’essentiel de ces règles reprend des pratiques que les spécialistes de la délivrabilité appliquent déjà. La règle HELO et reverse DNS est différente, parce qu’elle transforme un réglage par défaut courant sur les serveurs bon marché en motif d’inscription.
Qu’a publié Spamhaus en octobre 2026 ?
Spamhaus a publié deux documents : les Sender Guidelines générales et une page distincte pour les ESP et gros expéditeurs. Les pages de Spamhaus ne portent aucune date de publication. La première analyse datée est celle de Steve sur Word to the Wise, le 22 octobre 2026, et Al Iverson les a présentées sur Spam Resource le 28 octobre 2026.
La page générale s’ouvre sur cinq exigences minimales que tout expéditeur doit respecter pour ne pas être inscrit :
- Double opt-in pour chaque abonné.
- Reverse DNS confirmé pour chaque IP d’envoi.
- Un nom d’hôte HELO qui résout vers l’IP d’envoi, identique d’une connexion à l’autre.
- Un espace d’envoi IPv6 d’un /64 ou plus, avec un reverse DNS valide.
- SPF, DKIM et DMARC sur chaque domaine d’envoi, avec DKIM aligné sur le domaine From visible.
La page destinée aux ESP ajoute que tout le contenu des règles générales s’applique aux e-mails envoyés via une plateforme, et qu’un fournisseur est responsable des e-mails envoyés par ses clients.
Que vérifie la règle HELO et reverse DNS de Spamhaus ?
La règle de Spamhaus vérifie trois faits DNS sur l’IP qui se connecte à un serveur de réception, et les trois doivent concorder.
| Vérification | Ce qui doit être vrai | Obligatoire ou recommandé |
|---|---|---|
| Nom HELO | Le nom annoncé par votre serveur dans EHLO résout vers l’IP d’envoi | Obligatoire |
| HELO constant | Le même nom HELO est utilisé à chaque connexion depuis cette IP | Obligatoire |
| Reverse DNS (FCrDNS) | L’IP a un enregistrement PTR qui pointe vers un nom d’hôte, et ce nom résout par A ou AAAA vers la même IP | Obligatoire |
| HELO identique au PTR | Le nom HELO et le nom du PTR sont le même nom | Recommandé |
| Noms à votre marque | Le PTR et le HELO utilisent votre propre domaine plutôt que celui de l’hébergeur par défaut | Recommandé |
Le reverse DNS confirmé, ou FCrDNS, est l’aller-retour de la troisième ligne : de l’IP vers le nom par le PTR, puis du nom vers l’IP par l’enregistrement A. Une seule direction ne prouve rien, car le PTR est publié par le détenteur de l’IP et l’enregistrement A par le détenteur du domaine : seule leur concordance montre qu’un même opérateur contrôle les deux.
Spamhaus énumère aussi ce qu’elle considère comme une mauvaise configuration ou un signe de compromission. On y trouve les noms HELO de remplissage comme localhost, les noms d’hôte par défaut de l’hébergeur ou du fournisseur d’accès, les noms HELO qui résolvent vers une infrastructure qui n’envoie pas, et les noms HELO qui usurpent Gmail ou Hotmail. Plusieurs noms HELO depuis une même IP, résolvant vers des adresses différentes, peuvent selon Spamhaus signaler un proxy résidentiel ou un logiciel malveillant.
Quand l’exigence HELO entre-t-elle en vigueur ?
Spamhaus dit seulement qu’elle déploie l’exigence progressivement (« gradually rolling out ») à partir de novembre 2026. Elle ne publie ni date de fin, ni phases, ni calendrier par réseau, donc personne en dehors de Spamhaus ne peut vous dire quelles IP sont déjà évaluées selon cette règle.
La lecture pratique consiste à la considérer comme en vigueur depuis novembre 2026. Un serveur qui la respecte ne perd rien à continuer, et un serveur qui ne la respecte pas ne dispose d’aucun délai de grâce annoncé sur lequel compter.
Quels expéditeurs la règle HELO et reverse DNS va-t-elle toucher ?
La règle de Spamhaus touche surtout les expéditeurs qui font tourner leur propre serveur de messagerie avec les réglages par défaut. C’est une déduction tirée des défaillances que Spamhaus nomme, pas une liste publiée par Spamhaus, mais ces défaillances désignent toujours les mêmes configurations :
- Serveurs auto-hébergés sur un VPS. Un serveur virtuel tout neuf arrive souvent avec un PTR générique de l’hébergeur et un serveur de messagerie qui annonce le nom local de la machine. Spamhaus classe le reverse DNS générique et autogénéré parmi ce qu’il faut éviter, et les noms HELO de remplissage parmi les signaux d’alerte.
- Configurations de cold emailing sur des IP et des domaines neufs. Elles combinent un nom de serveur par défaut et aucun historique d’envoi, et Spamhaus traite tout changement d’IP ou de HELO comme un nouvel actif à faire chauffer.
- Petits ESP et plateformes internes. Un pool partagé où chaque IP annonce un nom différent, ou dont le PTR n’a jamais été configuré, échoue au contrôle de constance à chaque connexion.
Si vous envoyez via les IP partagées d’un ESP établi, le HELO et le PTR relèvent du fournisseur, pas de vous. La page de Spamhaus pour les ESP demande à ces fournisseurs d’utiliser le même nom d’hôte pour le HELO, le PTR et l’enregistrement A, idéalement au nom du domaine du client.
Comment vérifier votre propre HELO et votre reverse DNS ?
Vous pouvez tester la règle HELO et reverse DNS de Spamhaus en quatre étapes avec des outils gratuits et un terminal.
- Trouvez l’IP d’envoi. Envoyez un message à une adresse que vous contrôlez et ouvrez les en-têtes. Collez-les dans l’Email Header Analyzer d’Unspam, qui liste chaque saut de la livraison avec son hôte émetteur et son hôte récepteur. Sur le saut où votre serveur a remis le message au serveur du destinataire, l’hôte émetteur est généralement le nom HELO annoncé par votre serveur ; certains serveurs, comme Exim, y inscrivent le nom reverse DNS et placent le HELO dans une mention
helo=. L’IP de connexion figure dans la ligneReceived:complète de ce saut, en général entre crochets. - Vérifiez le FCrDNS de cette IP. Saisissez l’IP dans l’IP blacklist checker d’Unspam. À côté des résultats des blacklists, il indique si votre IP d’envoi a un reverse DNS confirmé, et il accepte n’importe quel nom PTR qui confirme, pas seulement le premier.
- Résolvez le nom HELO. Lancez les deux requêtes ci-dessous et vérifiez que le nom HELO renvoie l’IP d’envoi.
- Interrogez Spamhaus. La page des règles propose son propre outil de vérification DNS, et Spamhaus offre aussi une vérification automatique par l’envoi d’un message à
helocheck@abuseat.org.
dig -x 203.0.113.25 +short
dig mail.example.com A +short
La première commande renvoie le nom PTR de l’IP. La seconde doit renvoyer 203.0.113.25 lorsque mail.example.com est votre nom HELO. Si vous contrôlez le serveur, donnez-lui comme HELO ce même nom confirmé : vous satisfaites ainsi l’exigence et la recommandation à la fois. Notre guide du reverse DNS explique comment ajouter l’enregistrement PTR lorsque votre hébergeur ne l’a pas configuré.
Quels autres chiffres les Sender Guidelines de Spamhaus mettent-elles par écrit ?
Spamhaus associe un chiffre à onze autres pratiques, et chacun de ceux ci-dessous vient des deux pages de Spamhaus telles que publiées en octobre 2026.
| Pratique | Chiffre de Spamhaus | Page |
|---|---|---|
| Taux de bounce global | Sous 5 % (obligatoire) | Sender Guidelines |
| Soft bounces répétés | Enquêter après 3 à 5 consécutifs | Sender Guidelines |
| Désinscriptions | Traitées sous 2 jours | Sender Guidelines |
| Longueur de clé DKIM | 1024 bits minimum, 2048 bits recommandés | Sender Guidelines |
| Rotation des clés DKIM | Au moins une fois par an | Sender Guidelines |
| Requêtes SPF | Dans la limite de 10 requêtes DNS, include imbriqués compris | Sender Guidelines |
| Domaines nouvellement enregistrés | Sur la liste Zero Reputation Domains pendant 24 heures ; pas d’envoi d’e-mails pendant au moins 30 jours | Sender Guidelines |
| Warm-up | Démarrer lentement pour toute IP ou tout domaine qui n’a pas envoyé depuis 90 jours | Sender Guidelines |
| Boîtes inactives | Peuvent être reconverties en spam traps après plus de 12 mois | Sender Guidelines |
| Allocation IPv6 | Au moins un /64, avec reverse DNS | Sender Guidelines |
| Surveillance par client | Agir au-delà de 5 % de bounces et de 0,3 % de plaintes | ESP et gros expéditeurs |
Deux de ces points se vérifient facilement depuis un navigateur. Le SPF checker d’Unspam parcourt l’arbre des include et compte les requêtes par rapport à la limite de 10, et le DKIM checker d’Unspam indique la taille de la clé RSA de chaque sélecteur trouvé, si bien qu’une clé de 1024 bits apparaît comme une clé à passer en 2048.
La dernière ligne est un conseil aux fournisseurs sur la surveillance de leurs clients, pas une règle pour un expéditeur individuel. C’est le seul endroit où les règles citent un taux de plaintes.
Quel lien entre la règle HELO et une inscription chez Spamhaus ?
Ne pas respecter la règle HELO et reverse DNS de Spamhaus peut faire inscrire une IP dans les zones CSS ou XBL, conséquence que Spamhaus nomme elle-même et zones qui font partie de ZEN, la zone qu’interrogent la plupart des serveurs de messagerie. CSS est la liste automatique des IP qui envoient du spam, et XBL celle des machines qui semblent compromises. Un HELO de remplissage ressemble aux deux.
Cela compte au moment du retrait. Une entrée XBL pour un serveur qui annonce toujours localhost reviendra après le retrait, parce que l’inscription découle de ce que fait le serveur. Corrigez d’abord le HELO et le PTR, puis suivez la marche à suivre de notre guide du retrait Spamhaus, qui indique de quelles listes vous pouvez vous retirer vous-même et lesquelles exigent des preuves.
Spamhaus précise aussi qu’elle n’accepte pas les demandes d’explication des attributs de réputation ni de remise à zéro de la réputation. Une configuration propre est le seul levier dont dispose un expéditeur.
Que laissent en suspens les règles de Spamhaus ?
Les Sender Guidelines de Spamhaus laissent trois points ouverts. Il n’y a aucune date de fin pour le déploiement de la règle HELO, aucune indication sur la vitesse à laquelle une IP en échec est inscrite une fois concernée, et aucune date publiée sur les pages elles-mêmes, si bien qu’une modification ultérieure ne sera pas visible comme telle.
Tout le reste des règles relève d’une pratique établie : double opt-in, authentification alignée, DNS propre et warm-up progressif. Pour la plupart des expéditeurs, le nom HELO est l’élément le plus susceptible d’être resté sur sa valeur par défaut, et c’est celui dont le déploiement a déjà commencé.
