Non, le RGPD n’impose pas le double opt-in, une inscription en deux temps : formulaire, puis clic sur le lien envoyé à l’adresse saisie. Son article 7 exige que vous puissiez démontrer le consentement. La CNIL demande une action positive sans case pré-cochée. Le mail de confirmation est l’un des moyens d’y parvenir. Spamhaus le qualifie de gold standard pour bâtir une liste (guide Confirmed Opt-In, février 2022).
La vraie valeur se mesure côté infrastructure. Une adresse mal saisie ne confirme pas. Un spam trap non plus. Les bots qui ne lisent pas leur boîte s’arrêtent à la première étape. La confirmation laisse en revanche passer le list bombing et les scanners de liens. Le single opt-in se défend dans quelques cas précis, détaillés plus bas.
Le double opt-in est-il obligatoire avec le RGPD ?
Non. Ni le RGPD ni l’article L34-5 du code des postes et des communications électroniques ne citent le double opt-in : ils exigent un consentement libre et spécifique. Il doit aussi être éclairé et univoque. Vous devez pouvoir le prouver.
Le texte pivot est l’article 7, paragraphe 1, du règlement (UE) 2016/679, applicable depuis le 25 mai 2018 : le responsable du traitement doit être en mesure de démontrer que la personne a consenti. Le considérant 32 écarte le silence et l’inactivité. L’article L34-5 est issu de la LCEN (loi du 21 juin 2004 pour la confiance dans l’économie numérique) et transpose la directive ePrivacy (2002/58/CE). Il fixe le consentement préalable pour la prospection auprès des particuliers.
La CNIL donne l’exemple type d’une action positive : une case dédiée, décochée par défaut (fiche sur la prospection par courrier électronique, mise à jour le 10 juin 2026). Un formulaire avec cette case et une preuve horodatée peut donc être conforme en single opt-in. Le double opt-in ajoute ce que la case ne donne pas : la personne qui a saisi l’adresse contrôle la boîte correspondante.
Ce qui ne vaut pas consentement
« L’acceptation de conditions générales d’utilisation ne peut pas suffire. » (CNIL, 2026)
La case pré-cochée (considérant 32) ne vaut pas consentement. La finalité noyée non plus : une seule case pour la newsletter et la cession à des partenaires mélange deux finalités. Prévoyez une case par finalité, c’est le consentement granulaire. L’article 7, paragraphe 3, ajoute que retirer son consentement doit être aussi simple que le donner. D’où un lien de désinscription à chaque envoi.
Clients existants et B2B : les exceptions au consentement préalable
L’exception des produits ou services analogues dispense du consentement préalable pour un client qui a déjà acheté chez vous. Le B2B relève d’un régime d’information et de droit d’opposition.
La CNIL précise les bornes de la première : elle ne joue pas lorsqu’aucune vente ni prestation n’a eu lieu, même si la personne a créé un compte en ligne. Une inscription à la newsletter d’une boutique sans commande reste donc un cas de consentement. Les anglophones parlent de soft opt-in pour cette exception.
Pour la prospection B2B, la personne doit avoir été informée au moment de la collecte et pouvoir s’opposer simplement et gratuitement. Le message doit aussi avoir un lien avec son activité professionnelle. Ces deux régimes lèvent l’obligation de consentement. Ils maintiennent l’obligation d’identifier l’expéditeur et d’offrir l’opposition à chaque envoi.
Que prouve un double opt-in et que faut-il journaliser ?
Il prouve que le titulaire de la boîte a cliqué sur un lien envoyé à l’adresse saisie. Sa valeur probatoire dépend du journal de consentement que vous conservez avec : sans lui, la confirmation reste une preuve partielle.
Un journal exploitable contient au minimum :
- l’horodatage (timestamp UTC) de la soumission du formulaire et celui du clic de confirmation ;
- l’adresse IP et le user-agent des deux événements ;
- l’URL du formulaire et la version exacte du texte de la case ;
- la finalité acceptée (newsletter seule ou newsletter et partenaires) ;
- l’empreinte du jeton de confirmation et son statut (envoyé, utilisé, expiré).
Ce journal répond à la charge de la preuve de l’article 7 et aux demandes des fournisseurs d’accès : d’après Spamhaus (2022), lorsqu’un ISP ou un fournisseur de réputation refuse un expéditeur, il réclame souvent la preuve du consentement. En cas de plainte auprès de la CNIL, c’est lui que vous produisez. L’adresse IP est elle-même une donnée personnelle. Fixez sa durée de conservation avec votre DPO.
Une liste achetée ne produit aucun journal à votre nom. Le consentement ne s’obtient pas après coup (Spamhaus, 2022) : un mail de confirmation envoyé à un fichier loué ne répare pas cette absence.
Allemagne : ce que disent vraiment les tribunaux
Aucun texte allemand n’impose le double opt-in. Les tribunaux en ont fait la référence pour la preuve, avec des limites qui tiennent en 2 décisions de 2011 et 2012.
L’arrêt de la Cour fédérale de justice (Bundesgerichtshof), saisie par une association de consommateurs contre une caisse d’assurance maladie après l’appel devant l’OLG de Dresde (BGH, 10 février 2011, I ZR 164/09) pose 4 points. L’annonceur doit documenter chaque consentement individuel et le conserver de façon à pouvoir l’imprimer. Une confirmation par mail ne prouve pas le consentement à des appels publicitaires. Le consommateur qui conteste garde une charge d’explication. Enfin, s’il démontre que la confirmation ne vient pas de lui, l’envoi publicitaire était illicite même si l’adresse avait été obtenue en double opt-in.
Ce dernier point pèse sur votre architecture. Le 27 septembre 2012, l’OLG de Munich a qualifié de publicité le mail de confirmation lui-même, dont l’expéditeur doit justifier le consentement préalable, d’après Legal Tribune Online (commentaire du 23 novembre 2012). Le tribunal a en revanche jugé licite la seconde mail envoyée après un clic venu de la boîte du cabinet plaignant : ce clic valait preuve. Votre journal commence donc au formulaire. Le clic ne suffit pas à l’ouvrir.
Comment le double opt-in protège-t-il la délivrabilité ?
Il place une vérification avant le premier envoi marketing : une adresse mal saisie ne confirme pas et un spam trap non plus. Le rebond se produit sur un seul message de confirmation au lieu de contaminer chaque campagne.
| Risque | Single opt-in | Double opt-in | Contrôle à ajouter |
|---|---|---|---|
| Faute de frappe (gmial.com) | Adresse en liste avec hard bounce au premier envoi marketing | Hard bounce sur le mail de confirmation et adresse jamais activée | Validation syntaxique et suggestion de domaine à la saisie |
| Spam trap (typo, recycled, pristine) | Trap hit sur une campagne | Aucune confirmation, sauf si le mail de confirmation touche lui-même un trap | Vérification MX avant l’envoi et purge des inactifs |
| Bot d’inscription | Adresse tierce ajoutée sans son accord | Confirmation envoyée à la victime (list bombing) | CAPTCHA, limitation de débit, champ honeypot |
| Adresse jetable | Acceptée | Confirmée puisque la boîte temporaire reçoit le lien | Liste de domaines jetables |
| Scanner de liens | Sans objet | Confirmation possible sans humain | Bouton de confirmation en POST et journal du délai de clic |
| Inscrits | Tous conservés | Perte entre formulaire et clic | Mesure du taux de confirmation et une relance |
Spamhaus documente 3 familles de pièges : les typo traps (domaine mal orthographié proche d’un grand fournisseur), les recycled traps (anciennes adresses valides devenues inutilisées) et les pristine traps (adresses conçues pour attraper un abus précis, généralement utilisées par des chercheurs). Un trap n’interagit pas avec les mails, ce qui explique le filtre. Le risque persiste pour les recycled traps : une adresse confirmée il y a plusieurs années peut avoir été abandonnée depuis puis recyclée en trap. D’où l’intérêt d’une politique de sunset sur les inactifs, qui protège la réputation d’expéditeur sur la durée.
Un hard bounce se lit dans les logs SMTP, par exemple un 550 5.1.1 user unknown. Placez l’adresse sur la Suppression List dès le premier retour de ce type. Le taux de rebond d’une campagne ne porte plus la trace de cette saisie erronée.
Gmail et Yahoo : complaint rate, seuil de 0,3 % et désinscription en un clic
Google demande de maintenir le complaint rate déclaré sous 0,1 % et de ne jamais atteindre 0,3 %. Yahoo fixe son seuil de plainte à 0,3 %. Le double opt-in réduit les plaintes de personnes qui n’ont rien demandé. Il ne garantit aucun seuil.
Chez Google, le statut de bulk sender s’acquiert au-delà de 5 000 messages par jour vers des comptes Gmail personnels et ne se perd plus. Depuis février 2024, Google ne fournit plus d’assistance aux expéditeurs hors des règles. Depuis juin 2024, au-dessus de 0,3 % de spam rate, un bulk sender n’est plus éligible aux mesures de mitigation. Il le redevient après 7 jours consécutifs sous ce seuil (FAQ Google sur les exigences des expéditeurs). Suivez ce chiffre dans Postmaster Tools.
Le Sender Hub de Yahoo applique ses règles depuis février 2024 : SPF et DKIM avec un DMARC au moins en p=none. Il exige aussi des enregistrements DNS direct et inverse (PTR record) valides pour les IP d’envoi. Yahoo calcule son taux sur les messages délivrés en boîte de réception. Comparez donc avec prudence vos chiffres de FBL. Les deux acteurs demandent la désinscription en un clic (RFC 8058) sur les messages marketing, via l’en-tête « List-Unsubscribe-Post: List-Unsubscribe=One-Click ». Google recommande de traiter les demandes sous 48 heures et Yahoo l’exige sous 2 jours. Google exclut les messages transactionnels de cette exigence, ce qui couvre en principe le mail de confirmation.
List bombing : quand le mail de confirmation devient l’arme
Le double opt-in n’arrête pas le list bombing : le mail de confirmation est précisément le message que l’attaque multiplie contre une adresse cible.
Le M3AAWG décrit le mécanisme, son président Severin Walker y voyant des criminels qui noient les notifications de sécurité des banques : des bots inscrivent la victime à des milliers de newsletters et de services qui envoient chacun une vérification. L’afflux forme un déni de service contre la boîte et sert à enterrer une alerte bancaire ou une réinitialisation de mot de passe (recommandation du M3AAWG, novembre 2017).
Spamhaus a documenté l’épisode d’août 2016. Le week-end des 13 et 14 août, des bots créaient plus de 1 000 inscriptions par minute contre une centaine d’adresses gouvernementales. Neuf adresses d’une seule société avaient été inscrites plus de 9 000 fois en 14 jours, soit 81 000 mails de confirmation. Le journaliste Brian Krebs recevait une confirmation toutes les 2 à 3 secondes. De nombreuses listes victimes utilisaient déjà le double opt-in : le volume de confirmations suffisait à causer le dommage.
Votre formulaire devient alors un relais d’attaque. Les conséquences sont concrètes : plaintes de personnes qui ne se sont jamais inscrites et listage de vos IP chez les blocklists, Spamhaus ayant listé en 2016 les IP des plus gros émetteurs de ces mails. 4 défenses se cumulent :
- un CAPTCHA sur chaque formulaire public, recommandé par le M3AAWG ;
- une limitation de débit par IP et par domaine de destination ;
- un champ honeypot invisible qu’un humain ne remplit pas ;
- une seule confirmation par adresse et par période de 24 heures, même si le formulaire est soumis 10 fois.
Le M3AAWG recommande aussi un en-tête dédié dans les mails de vérification, proposé à l’IETF dans le brouillon draft-levine-mailbomb-header, pour que les fournisseurs repèrent ces flux.
Scanners de liens : une confirmation sans humain
Un scanner de sécurité ou un prefetch qui ouvre l’URL de confirmation valide l’inscription à la place du destinataire. L’adresse passe en confirmée et le consentement n’a jamais existé.
Les systèmes de réception examinent les liens pour se protéger des malwares et du phishing. Spamhaus note en 2023 que les clics ont perdu de leur valeur comme indicateur de performance, après l’Apple Mail Privacy Protection (iOS 15, septembre 2021) qui avait déjà brouillé le taux d’ouverture. Une confirmation obtenue par simple requête GET hérite de ce défaut. Elle rouvre aussi le point du BGH sur la confirmation qui ne vient pas de la personne.
Faites ouvrir à l’URL de confirmation une page avec un bouton « Confirmer mon inscription » qui déclenche une requête POST, avec un jeton à usage unique. Journalisez le délai entre l’envoi et le clic ainsi que le user-agent. Une confirmation arrivée quelques secondes après la distribution mérite un second signal, par exemple une interaction avec l’e-mail de bienvenue, avant de passer l’adresse en envoi régulier.
Fautes de frappe et adresses jetables : vérifier avant d’envoyer la confirmation
Envoyer un mail de confirmation à une adresse non vérifiée est déjà un envoi : il peut produire un hard bounce ou toucher un spam trap. Validez donc l’adresse à la saisie, avant toute expédition.
Un contrôle d’entrée à 5 niveaux ferme l’essentiel de la porte :
- validation syntaxique de l’adresse (caractères autorisés, un seul arobase, domaine avec point) ;
- suggestion de domaine lorsque la saisie ressemble à
gmial.comouhotnail.fr; - recherche de l’enregistrement MX du domaine ;
- SMTP handshake (commande « RCPT TO » de la RFC 5321, sans envoi de message), dont les réponses temporaires en 4xx ou les domaines catch-all demandent une lecture prudente ;
- comparaison avec une liste de domaines d’adresses jetables (DEA, pour disposable email address).
La page de remerciement complète le dispositif : elle affiche l’adresse saisie avec un lien « Modifier l’adresse » et indique où chercher le mail (expéditeur, dossier spam).
Sur une base existante collectée en single opt-in, passez la liste dans une vérification d’adresses avant le prochain envoi : syntaxe, MX, domaines jetables, rebonds probables. Ce nettoyage de liste sort les adresses à risque avant qu’elles ne touchent un trap.
Taux de confirmation et perte d’inscrits : quand le single opt-in se défend
Le taux de confirmation se calcule en confirmés divisés par inscriptions soumises, source par source. Aucun chiffre universel n’existe : mesurez le vôtre avant de conclure que la confirmation coûte trop cher.
Découpez ce taux par page d’inscription et par fournisseur de boîte (Gmail, Outlook, Orange). Un écart entre fournisseurs signale un placement en spam ou dans l’onglet Promotions de Gmail. Ajoutez le délai médian entre soumission et clic. Les abandons à la confirmation viennent d’un expéditeur inconnu, d’un mail classé en spam ou d’un lien expiré.
Le single opt-in se défend dans quelques cas précis :
- l’adresse est déjà vérifiée par un autre mécanisme, par exemple un compte client dont l’e-mail a été validé à la création ;
- la collecte relève de l’exception des produits analogues (client ayant acheté) ;
- la prospection B2B respecte l’information préalable et l’opposition, avec un message lié à l’activité professionnelle.
Dans ces cas, compensez l’absence de confirmation : validation de l’adresse à la saisie, CAPTCHA, e-mail de bienvenue envoyé aussitôt, surveillance du complaint rate dans Postmaster Tools et, côté Microsoft, dans SNDS. Spamhaus rattache au single opt-in un risque accru de plaintes et de spam traps.
Le taux d’ouverture ne tranche rien ici : depuis Apple Mail Privacy Protection, il brouille la mesure de l’engagement. Mesurez les réponses et les actions sur site.
Expiration du lien, relance et e-mail de bienvenue
Réglez un lien valable 48 heures et une seule relance de confirmation à 24 heures, sans contenu promotionnel. Au-delà, supprimez la demande sans réécrire à l’adresse : une relance supplémentaire est un envoi non sollicité.
Utilisez comme nom d’expéditeur le nom du site et un objet explicite, par exemple « Confirmez votre inscription à la newsletter ». Quel que soit l’outil d’emailing (Brevo, Mailchimp, Mailjet, Klaviyo), le mail part d’un domaine authentifié en SPF DKIM DMARC avec alignement. Une fois la confirmation enregistrée, envoyez l’e-mail de bienvenue : il ouvre la première interaction et invite à ajouter l’expéditeur au carnet d’adresses. La CNIL range ce message parmi les communications transactionnelles tant qu’il ne porte aucun contenu promotionnel significatif (CNIL, 2026).
Avant le prochain envoi, relisez votre journal de consentement et mesurez votre taux de confirmation par source.
