Les emails de votre site web ou de WordPress arrivent en spam

Ce que ça veut dire

Par défaut, WordPress et beaucoup de sites web envoient leurs emails avec la fonction d'envoi intégrée du serveur web (PHP mail()). L'email part de votre serveur d'hébergement, en général sans DKIM, souvent avec un SPF qui n'inclut pas ce serveur, et parfois avec une adresse d'expédition qui n'est même pas la vôtre.

Les destinataires voient un email qui prétend venir de votre domaine mais qui est envoyé par un serveur inconnu, alors ils le mettent en spam ou le refusent.

Pourquoi c'est important

• Vos clients ne reçoivent pas les confirmations de commande, les factures ou les réinitialisations de mot de passe.
• Vous ratez des messages de votre formulaire de contact.
• L'IP d'un serveur d'hébergement mutualisé peut être sur une blacklist à cause d'autres sites qu'il héberge.

Comment vérifier

• Envoyez un email de test depuis votre site : sur la page d'accueil, copiez votre adresse de test unique, puis utilisez-la dans le formulaire de contact de votre site, une réinitialisation de mot de passe ou une commande de test. Ouvrez le rapport : regardez SPF, DKIM, DMARC, les blacklists et le serveur d'envoi.
• Si le rapport affiche le serveur de votre hébergeur et que le DKIM manque, le site utilise la fonction d'envoi intégrée.

Comment corriger

1. Choisissez comment envoyer. Deux bonnes options :
   • Votre boîte mail existante (Google Workspace, Microsoft 365, la messagerie de votre hébergeur) via un SMTP authentifié. Convient aux petits volumes.
   • Un service d'email transactionnel (il en existe beaucoup, avec des offres gratuites). Mieux pour les boutiques et les volumes plus importants.
2. Installez une extension SMTP dans WordPress. Cherchez « SMTP » dans le répertoire des extensions : les extensions populaires vous permettent de saisir le serveur SMTP, le port, le nom d'utilisateur et le mot de passe, ou de connecter directement un service transactionnel. Les autres créateurs de sites et frameworks ont une page « réglages SMTP » similaire.
3. Utilisez des réglages sécurisés : port 587 avec STARTTLS (ou 465 avec SSL), et un vrai nom d'utilisateur et mot de passe. Pour Google et Microsoft, il vous faudra peut-être un mot de passe d'application.
4. Utilisez une adresse d'expédition sur votre propre domaine, comme noreply@yourdomain.com ou shop@yourdomain.com. N'utilisez jamais l'adresse du visiteur comme From dans un formulaire de contact : mettez-la plutôt dans Reply-To.
5. Authentifiez le service. Si vous utilisez un service transactionnel, ajoutez son include: SPF à votre enregistrement SPF et publiez les enregistrements DKIM qu'il vous donne.
6. Protégez vos formulaires avec un captcha, pour que des robots ne puissent pas s'en servir pour envoyer du spam depuis votre site.

Exemple d'enregistrement SPF avec Google Workspace et un service transactionnel :

v=spf1 include:_spf.google.com include:spf.transactional-example.com ~all

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures.

Envoyez un nouveau test depuis votre site vers votre adresse de test Delivmail. Le rapport doit montrer le SPF, le DKIM et le DMARC qui passent pour votre domaine, et le serveur d'envoi doit désormais être votre fournisseur, et non votre hébergeur web.