Délivrabilité email WordPress : SPF, DKIM et DMARC en 2026
Gmail rejette désormais les emails mal authentifiés : SPF, DKIM et DMARC expliqués simplement, et comment fiabiliser les envois WordPress avec relais et journal.
Le pire bug email n’affiche aucune erreur : WordPress dit « message envoyé », et le message n’existe déjà plus — jeté par Gmail sans un mot, parce qu’il arrivait d’un serveur mutualisé quelconque, sans signature ni autorisation. Le client attend sa confirmation de commande, vous attendez la notification, et chacun croit que l’autre a un problème. Depuis 2024, les grandes messageries ont transformé leurs recommandations en exigences : un email non authentifié n’est plus « à risque », il est refusé. Voici la mécanique complète — les trois sigles DNS qui font peur, et le module qui s’occupe du reste.
L’essentiel
- Depuis février 2024, Gmail et Yahoo rejettent — et plus seulement classent en spam — les emails sans authentification SPF/DKIM ; DMARC s’ajoute pour les gros expéditeurs. Microsoft a suivi en 2025.
- SPF autorise, DKIM signe, DMARC arbitre : trois enregistrements DNS chez votre registrar, une demi-heure de travail, valable pour des années.
- La fonction mail de PHP, utilisée par WordPress par défaut, part d’un serveur sans réputation ni signature : c’est la cause n°1 des emails fantômes.
- Le module SMTP inclut gratuitement ce que le marché facture : journal des envois, renvoi en un clic, relais de secours automatique.
- Par défaut, le journal ne stocke que les métadonnées — pas le contenu — et les liens de réinitialisation de mot de passe sont toujours masqués.
Pourquoi vos emails WordPress disparaissent-ils sans erreur ?
Parce que « envoyé » et « livré » sont deux événements différents, séparés par le tribunal le plus expéditif du web : le filtre de réception. WordPress remet le message à la fonction mail de PHP, qui le confie au serveur de votre hébergeur mutualisé ; à l’arrivée, Gmail regarde qui envoie, vérifie que ce serveur est autorisé à parler au nom de votre domaine, cherche une signature — et ne trouvant rien de tout cela, jette le message. Aucune erreur ne remonte : côté WordPress, l’envoi a réussi.
L’image que j’utilise toujours : c’est une histoire de patte blanche. Votre email se présente à la porte de Gmail comme un livreur inconnu, sans uniforme ni badge, affirmant travailler pour vous. Il y a dix ans, on le laissait entrer en le regardant de travers — le dossier spam. Aujourd’hui, la porte ne s’ouvre plus : depuis février 2024, Gmail et Yahoo exigent que tout expéditeur présente au moins SPF ou DKIM, et rejettent purement les messages qui échouent. Ce durcissement, pensé contre l’usurpation d’identité (le « spoofing »), emporte dans son filet tous les sites légitimes mais mal configurés — c’est-à-dire l’immense majorité des WordPress fraîchement installés.
SPF, DKIM, DMARC : que font vraiment ces trois sigles ?
Ce sont les trois pièces du badge d’identité de votre domaine : SPF est la liste des porteurs autorisés, DKIM le sceau infalsifiable sur chaque message, DMARC la consigne donnée au vigile quand le badge ne correspond pas. Trois enregistrements DNS à poser chez votre registrar — pas dans WordPress.
- SPF (Sender Policy Framework) est un enregistrement public qui dit : « voici les serveurs autorisés à envoyer des emails pour mon-domaine.fr ». Quand vous passez par un relais — Brevo, par exemple — vous ajoutez le serveur de Brevo à cette liste. Tout serveur hors liste qui prétend envoyer pour vous échoue au contrôle.
- DKIM (DomainKeys Identified Mail) fait signer chaque message par une clé cryptographique privée ; la clé publique, publiée dans votre DNS, permet au destinataire de vérifier que le message vient bien de chez vous et n’a pas été modifié en route. C’est le sceau de cire, version mathématique.
- DMARC complète l’ensemble en publiant votre consigne : que faire d’un message qui échoue à SPF et DKIM ?
none(livrer quand même, mais me le signaler),quarantine(spam),reject(refuser). Et il vous envoie des rapports — précieux pour découvrir qui essaie d’usurper votre domaine.
La bonne nouvelle : votre fournisseur de relais vous donne les valeurs exactes à copier-coller, et l’opération — une demi-heure chez votre registrar — se fait une fois pour des années. Commencez DMARC en mode none le temps de vérifier les rapports, puis durcissez.
Comment fiabiliser l’envoi avec le module SMTP ?
Choisissez un fournisseur de relais, collez ses identifiants dans le module, envoyez l’email de test — et ajoutez si vous voulez un relais de secours, qui prendra automatiquement la relève si le principal tombe.
- Créez un compte chez un fournisseur de relais. Pour un site français, Brevo est mon choix habituel — palier gratuit généreux, interface en français ; SendGrid, Mailgun, Amazon SES, Postmark, SMTP2GO et les autres sont préconfigurés de la même façon, 12 fournisseurs en tout.
- Dans Blaminhor Essentials, activez le module SMTP et ajoutez votre relais : les réglages serveur sont préremplis, restent vos identifiants et l’adresse d’expédition.
- Envoyez l’email de test depuis le module, et vérifiez qu’il arrive — dans la boîte de réception, pas dans le spam.
- Ajoutez un relais de secours : si l’envoi principal échoue — quota atteint, panne, clé révoquée — le module bascule automatiquement sur le second. Vos réinitialisations de mot de passe ne dépendent plus d’un seul prestataire.
- Posez vos enregistrements SPF, DKIM, DMARC chez votre registrar avec les valeurs fournies par le relais — l’étape DNS de la section précédente.
Si vous utilisez déjà WP Mail SMTP, Post SMTP ou Easy WP SMTP, un importeur reprend votre configuration en un clic — vous ne repartez pas de zéro, vous récupérez au passage le journal et le secours automatique.
Le journal d’emails : la fin du « je n’ai rien reçu »
Chaque envoi est consigné — destinataire, sujet, statut, horodatage — et chaque ligne porte un bouton de renvoi : quand un client jure n’avoir rien reçu, vous ne débattez plus, vous vérifiez, et vous réexpédiez en un clic. C’est la fonction qui change le support au quotidien, et c’est précisément celle que le marché a rangée derrière le paywall — chez WP Mail SMTP comme chez Email Log, le journal complet ou le renvoi relèvent du Pro.
La conception mérite d’être détaillée, parce qu’un journal d’emails est un objet sensible. Par défaut, le module ne stocke pas le contenu des messages — uniquement les métadonnées. Stocker les corps d’emails, c’est potentiellement stocker des données personnelles de vos utilisateurs ; l’option existe, mais elle est explicite, accompagnée d’un avertissement en toutes lettres dans l’interface, et les liens de réinitialisation de mot de passe sont masqués dans les journaux quoi qu’il arrive — un journal ne doit jamais devenir un trousseau de clés. La rétention se règle de 1 à 365 jours, purge automatique comprise.
J’ai monté la chaîne complète sur un site de test pour les captures de cet article — relais ajouté, email de test envoyé, journal qui consigne l’envoi : le circuit se vérifie de bout en bout depuis l’admin, sans toucher au serveur.
Le comparatif en un tableau
| Critère | wp_mail() par défaut | WP Mail SMTP (gratuit) | Module SMTP Blaminhor Essentials |
|---|---|---|---|
| Envoi authentifié via relais | Non | Oui | Oui, 12 fournisseurs préconfigurés |
| Journal des envois | Non | Pro (~49 $/an) | Gratuit (métadonnées par défaut) |
| Renvoi d’un email | Non | Pro | Gratuit, un clic |
| Relais de secours automatique | Non | Non | Oui |
| Import de configuration existante | — | — | WP Mail SMTP, Post SMTP, Easy WP SMTP |
| SPF/DKIM/DMARC | À faire dans le DNS | À faire dans le DNS | À faire dans le DNS — personne ne peut le faire pour vous |
Par où commencer si vos emails partent déjà en spam ?
Dans l’ordre du diagnostic : vérifiez l’authentification de votre domaine avec un test en ligne, branchez un relais si vous êtes encore sur la fonction mail de PHP, posez les trois enregistrements DNS, puis testez à nouveau. Les outils gratuits comme les testeurs de spam-score vous donnent en une minute le verdict SPF/DKIM/DMARC de votre configuration actuelle — commencez par là, le problème est presque toujours dans cette colonne.
Et si votre cas précis est « les emails partent via Brevo mais atterrissent en spam », j’ai consacré un article entier à ce scénario — le duo SMTP + DNS y est déroulé pas à pas. Pour comprendre la différence entre ces emails transactionnels et une newsletter, la définition de l’email transactionnel pose le vocabulaire.
L’email est un service critique déguisé en détail
Tant que tout marche, personne ne pense aux emails de WordPress ; le jour où une réinitialisation de mot de passe se perd, c’est un utilisateur enfermé dehors, et le jour où une confirmation de commande disparaît, c’est un client perdu. Une demi-heure de DNS, un relais gratuit, un journal qui prouve — le sujet est clos pour des années.
Le module SMTP est l’un des modules gratuits de Blaminhor Essentials, le plugin modulaire — et si vous structurez vos contenus pendant que vous y êtes, le sommaire automatique et les points clés sont la même promesse appliquée au SEO : la fonction complète, sans facture.
FAQ
Pourquoi les emails de WordPress n'arrivent-ils pas, même sans erreur ?
Parce que WordPress les envoie par la fonction mail de PHP, depuis un serveur mutualisé sans réputation ni authentification : les boîtes de réception les classent en spam ou les rejettent silencieusement. Le site affiche « envoyé » — c'est vrai techniquement, mais la destination a jeté le message. La solution est un vrai relais SMTP authentifié.
Que sont SPF, DKIM et DMARC, en une phrase chacun ?
SPF liste publiquement les serveurs autorisés à envoyer pour votre domaine ; DKIM appose sur chaque message une signature cryptographique qui prouve qu'il n'a pas été altéré ; DMARC annonce quoi faire d'un message qui échoue aux deux — le livrer, le mettre en quarantaine ou le rejeter — et vous en envoie des rapports.
Ces réglages DNS sont-ils vraiment obligatoires ?
Depuis février 2024, Gmail et Yahoo exigent SPF ou DKIM de tout expéditeur, et les trois — SPF, DKIM, DMARC — des gros expéditeurs ; les messages non conformes sont rejetés, plus seulement classés en spam. Microsoft a suivi en 2025 pour Outlook. Ce n'est plus de l'optimisation : c'est le ticket d'entrée.
Un relais SMTP gratuit suffit-il pour un site vitrine ?
Oui. Les paliers gratuits de Brevo ou SMTP2GO couvrent largement les volumes d'un site vitrine ou d'une petite boutique — quelques centaines d'emails transactionnels par mois. Vous ne payez que lorsque le volume devient celui d'une vraie liste de diffusion, et à ce stade l'email mérite de toute façon un budget.
À quoi sert un journal d'emails dans WordPress ?
À répondre à la question « le site a-t-il vraiment envoyé cet email ? » avec une preuve plutôt qu'une intuition : chaque envoi est consigné avec son destinataire, son sujet et son statut. Quand un client affirme n'avoir rien reçu, vous vérifiez en dix secondes — et le bouton de renvoi réexpédie le message sans refaire l'opération.
Stocker les emails envoyés pose-t-il un problème RGPD ?
Stocker le contenu, oui, potentiellement : c'est pourquoi le module ne conserve par défaut que les métadonnées — destinataire, sujet, statut — et laisse le stockage du contenu en option explicite, avec les liens de réinitialisation de mot de passe toujours masqués. La rétention se règle de 1 à 365 jours et se purge seule.
Quelle différence entre ce module et WP Mail SMTP ?
La fonction de base est la même : router wp_mail par un relais authentifié. Les différences : le journal d'emails et le renvoi sont gratuits ici quand WP Mail SMTP les réserve au Pro (~49 $/an), le module gère un relais de secours automatique, et un importeur reprend en un clic la configuration existante de WP Mail SMTP, Post SMTP ou Easy WP SMTP.
Commentaires