DKIM2 est le successeur proposé de DKIM, et il est assez avancé pour qu’on planifie avec lui : le brouillon du groupe de travail IETF draft-ietf-dkim-dkim2-spec en est à sa quatrième révision depuis juillet 2026 et suit la voie des standards. Son changement central : chaque saut ajoute sa propre signature, si bien qu’un message transféré porte une chaîne de traçabilité au lieu d’une signature unique qui casse dès que quelque chose touche au message.
Cela compte parce que les deux problèmes les plus tenaces de l’authentification e-mail aujourd’hui, le transfert et le replay, découlent tous deux du fait que DKIM signe une seule fois en espérant que la signature survive. En parallèle, DMARCbis suit le même parcours. Cet article expose où en sont les deux et ce qu’un expéditeur devrait faire entre-temps.
Il s’appuie sur The Actual State of Email Deliverability, un webinaire organisé par Email Industries avec Unspam, avec Matthew Vernhout, Head of Services chez Email Industries, et Lawrence Heslin, qui y dirige les comptes et les opérations commerciales.
Appuyez sur lecture pour charger cette vidéo depuis YouTube (Google). Consultez notre politique de cookies.
Ce que change DKIM2, et où il en est
DKIM2 remplace une signature unique de bout en bout par une signature par saut. Chaque système qui manipule le message ajoute sa propre signature DKIM2, et la chaîne obtenue permet au destinataire de voir la route réellement empruntée. C’est ce qui en fait le successeur à la fois du RFC 6376, la spécification DKIM actuelle, et du RFC 8617, la norme ARC conçue pour rattraper le transfert après coup.
Le bénéfice concret est la résistance au replay. Un message extrait d’une boîte puis réinjecté ailleurs traîne une chaîne qui ne correspond pas à l’origine qu’il revendique, un problème que le DKIM actuel ne sait même pas exprimer.
Côté calendrier, voyez-le comme un horizon de planification et non comme une échéance. La spécification était encore un Internet-Draft en août 2026, et le groupe de travail table sur douze à dix-huit mois pour la faire approuver. Rien de ce que vous déployez aujourd’hui n’est perdu : DKIM2 est prévu pour coexister avec le DKIM existant, pas pour l’éteindre.
DMARCbis et les brouillons qui avancent avec lui
DMARCbis est la révision de DMARC lui-même, et il voyage avec trois brouillons liés qui décident ensemble de ce que devient le reporting : rapports agrégés, rapports d’échec, et une proposition de basculer ARC au statut historique une fois que DKIM2 le remplacera. Les mécanismes qui se sont révélés peu praticables sur le terrain, le rapport forensique en tête, sont ceux qui passent en revue.
Les fournisseurs testent aussi des tableaux de bord d’abonnements où l’on voit tout ce à quoi on est inscrit et où l’on se désabonne sans ouvrir de message. La lecture qu’en fait Vernhout pendant le webinaire : un désabonnement est un bien meilleur résultat qu’une plainte, donc tout ce qui facilite le départ vaut la peine.
Les règles que les expéditeurs doivent déjà respecter
La délivrabilité, c’était longtemps ce qu’on regardait une fois que les messages commençaient à revenir. Cela a cessé de fonctionner en février 2024, quand Gmail et Yahoo ont commencé à appliquer un ensemble de règles communes.
Tous les messages doivent désormais être correctement authentifiés par SPF, DKIM et DMARC. Les expéditeurs en masse, définis grossièrement comme ceux qui envoient plus de 5 000 messages par jour mais souvent évalués au cas par cas, doivent prendre en charge le désabonnement en un clic. La conformité reste mince sur ce point : dans nos tests de benchmark, seuls 14 pour cent des expéditeurs passent l’exigence List-Unsubscribe en un clic, ce qui laisse la grande majorité exposée si les fournisseurs se mettent à l’appliquer strictement. Google a aussi introduit l’en-tête Feedback-ID, qui permet aux expéditeurs de relier les plaintes à des campagnes précises sans porter atteinte à la vie privée des utilisateurs. Yahoo a relancé son programme de feedback loop, en exigeant l’authentification DKIM comme condition de participation.
En avril 2025, Google est allé plus loin en précisant que les comptes qui ne respectent pas ces standards peuvent perdre la possibilité d’afficher leur nom de marque dans le champ « De ». Les utilisateurs ne verraient plus que l’adresse e-mail brute, un changement destiné à aider les consommateurs à repérer les expéditeurs suspects ou peu fiables. L’expression la plus visible de cette confiance, BIMI, reste presque entièrement inexploitée : 8 pour cent des domaines que nous contrôlons publient un enregistrement BIMI, et seul 1 pour cent environ obtient l’affichage du logo. À partir de là, l’authentification a cessé d’être un détail d’arrière-boutique pour devenir quelque chose que le destinataire voit.
L’adoption reste en retard sur l’exigence. Sur les domaines que nous testons dans nos données de benchmark, 93 pour cent publient un enregistrement SPF valide et 90 pour cent signent leurs e-mails avec une clé DKIM opérationnelle, mais seuls 49 pour cent publient une politique DMARC, ce qui en laisse 51 pour cent sans aucune.
Tous les fournisseurs ont bougé pareil
L’influence de Gmail et de Yahoo s’est propagée vite. Apple a posé des attentes semblables sur l’authentification et les seuils de plaintes. Microsoft a resserré les filtres d’Outlook, ce qui a causé des problèmes de distribution visibles chez beaucoup d’expéditeurs pendant le déploiement. Orange a abaissé son taux de plaintes acceptable d’un pour cent à 0,3 pour cent.
AT&T, longtemps l’exception en Amérique du Nord, a basculé sa messagerie sur le filtrage de Yahoo. Comcast teste une boucle de retour basée sur DKIM qui renvoie des données d’en-tête structurées plutôt que des copies complètes de la plainte, si bien que tout ce qui a été construit pour traiter le courrier FBL doit être refait.
Ce qui est utile pour un expéditeur, c’est que les exigences ont cessé de se contredire. Une seule configuration d’authentification satisfait désormais presque toute la liste.
Pourquoi cela reste difficile
Un message traverse des contrôles d’authentification, des recherches de réputation, des filtres de contenu et une décision de dossier, et en chemin les fournisseurs pèsent des milliers de signaux : IP d’envoi, ancienneté du domaine, les liens du corps, les pages derrière ces liens. N’importe lequel peut envoyer le message en spam à lui seul.
C’est pour cela qu’un changement qui paraît petit de votre côté arrive gros du leur. Un nouvel ESP. Un pic de volume. Un enregistrement SPF passé sans bruit au-delà de dix requêtes.
Sept choses à ne pas rater
Chacune se configure une fois, puis se surveille :
- SPF : maintenir un seul enregistrement par domaine, retirer les anciens includes de prestataires et rester sous la limite de 10 requêtes.
- DKIM : utiliser des sélecteurs stables, faire tourner les clés avec précaution et surveiller le DNS en cas de délais ou d’erreurs de cache.
- DMARC : imposer l’alignement avec une politique claire, examiner régulièrement les rapports agrégés et aligner le domaine From, le d= de DKIM et le Mail-From de SPF.
- TLS : confirmer que l’ESP ou la MTA impose une distribution chiffrée entre réseaux.
- BIMI : publier un enregistrement une fois l’authentification solide. Commencer par un enregistrement auto-déclaré gratuit, puis prévoir un certificat VMC ou CMC si le budget le permet.
- Feedback-ID : s’assurer que les en-têtes sont présents pour que les outils Postmaster regroupent les plaintes par campagne ou par liste.
- Tableaux de bord Postmaster : configurer les portails Gmail, Yahoo et Microsoft et les consulter régulièrement.
Comment la réputation est jugée
Les fournisseurs notent des comportements, pas des intentions. Plaintes, désabonnements et pièges à spam sont les entrées évidentes. L’engagement est la discrète : est-ce que ce sont les mêmes personnes qui continuent d’ouvrir et de cliquer, ou est-ce que la majorité de la liste ignore tout ? Les noms d’expéditeur comptent aussi, et un emoji ou un expéditeur générique se lit comme une esquive.
Surveiller tout cela veut dire boucles de retour, tableaux de bord Postmaster et vos propres chiffres. Segmentez par engagement, en gros nouveaux, actifs, en refroidissement et inactifs, puis fixez la cadence par segment. Mettez en sommeil ceux qui n’ont pas réagi depuis des mois, après une dernière tentative de réactivation. Écrire à un segment mort coûte de la réputation sur le segment vivant.
Qualité de la liste et consentement
Les inscriptions de robots et les fausses adresses posent des pièges à spam sur votre liste, et un piège coûte cher. Protégez le formulaire, validez les adresses à l’arrivée et notez quel consentement vous détenez et où réside la personne. Le Canada distingue le consentement tacite du consentement exprès pour le courrier commercial, et les règles varient assez d’un pays à l’autre pour que « nous avons un opt-in » ne soit pas une réponse complète.
Un taux de désabonnement durablement au-dessus d’un pour cent signifie en général que le formulaire promettait autre chose que ce que vous envoyez, ou que vous envoyez plus souvent que prévu.
Ce que le message lui-même doit faire
Mobile d’abord, une hiérarchie claire, une action évidente. La règle approximative de Vernhout est d’environ 70 pour cent de texte vivant pour 30 pour cent d’images, ce qui garde le message lisible images désactivées et l’empêche de ressembler à un envoi tout en images.
L’accessibilité est désormais une obligation légale aux États-Unis comme dans l’UE : le texte alternatif et un vrai contraste ne sont pas des options. Gardez le message sous 102 Ko, sinon Gmail le tronque.
Pour le nom d’expéditeur, prenez la marque. La plupart des destinataires ne savent pas qui dirige l’entreprise. L’entreprise, eux, la reconnaissent.
Les ouvertures ont cessé d’être un indicateur
Mail Privacy Protection d’Apple, la mise en cache des images chez Gmail et Yahoo et les scanners de sécurité qui ouvrent chaque lien ont rendu ouvertures et clics peu fiables comme décomptes. Comme signal, ils servent encore : un taux d’ouverture stable qui chute brutalement, c’est en général du filtrage et non du désintérêt.
Mesurez ce qu’un robot ne sait pas faire. Achats, téléchargements, réservations, inscriptions.
Pourquoi les filtres se sont durcis
Le phishing, le détournement de comptes et la fraude aux deepfakes ont coûté des milliards aux entreprises, donc chaque message est scanné avant qu’une personne le voie. Certains de ces scans imitent un lecteur d’assez près pour apparaître dans vos chiffres d’engagement, ce qui explique en partie pourquoi ces chiffres ne veulent plus dire ce qu’ils voulaient dire.
Le repérer tôt
Les signes qui arrivent avant le vrai problème :
- Des taux de bounce en hausse, surtout les soft bounces
- Plus de plaintes ou de désabonnements
- Des chutes nettes d’ouvertures par rapport à une base stable
- Des clients qui disent directement ne pas recevoir les e-mails
Quand quelque chose casse, regardez ce qui a changé. Une nouvelle source de données partenaire. Un formulaire refait sans protection antirobot. Une migration vers une nouvelle IP sans warm-up. Le changement qui coïncide avec le début de la tendance en est presque toujours la cause.
ESP, IP et services de warm-up
Votre ESP compte moins qu’on ne le suppose. La réputation de domaine pèse désormais plus que celle de l’IP, même si celle du réseau compte encore. Une IP dédiée se justifie au-delà d’environ 20 000 messages par jour parce qu’elle vous isole ; en dessous, un pool partagé sérieux vaut mieux qu’une IP dédiée froide.
Sur les services de warm-up qui simulent de l’engagement, Vernhout et Heslin ont été nets : ils apportent peu et violent les conditions d’utilisation de la plupart des ESP. Un vrai warm-up, c’est monter en volume vers des gens qui veulent le message.
Que faire maintenant
Rien de tout cela n’est un conseil nouveau. Authentifier, aligner, garder la liste propre et envoyer du courrier que les gens ont demandé. Ce qui a changé, c’est que les fournisseurs l’imposent désormais, et de façon assez cohérente pour qu’une seule configuration suffise presque partout.
