Un email de confirmation de commande qui arrive en spam, c’est un client qui ne sait pas si son paiement est passé. Il relance le support, redemande où en est sa commande, parfois conteste le paiement auprès de sa banque. Avec les emails Shopify en spam, la cause se joue presque toujours dans le DNS et dans l’adresse d’expédition, rarement dans le texte du message.
Ce guide suit l’ordre de correction. On authentifie d’abord le domaine dans l’admin Shopify, puis on publie DMARC et on vérifie l’alignement dans les headers. Le SPF et la liste passent ensuite.
Pourquoi les emails Shopify arrivent en spam
Les emails Shopify arrivent en spam quand le domaine de l’adresse expéditeur n’est pas authentifié ni aligné. Les autres causes sont un volume élevé sans DMARC ou des plaintes au-dessus de 0,1 %. Le tableau relie chaque symptôme à sa cause probable.
| Symptôme | Cause probable | Vérification |
|---|---|---|
| Spam partout, y compris Gmail | Domaine d’envoi non authentifié et DMARC absent | Headers : dkim, spf, dmarc |
| Rejet 550 5.7.26 chez Gmail (les codes 5.7.x sont permanents, les 4.7.x temporaires) | Authentification absente ou DMARC en échec | Texte du bounce, puis alignement |
| Rejet 550 5.7.515 chez Outlook.com | Domaine sous le niveau d’authentification exigé par Microsoft | SPF et DKIM en pass, DMARC publié et aligné |
| Spam surtout sur les emails marketing | Plaintes, absence de désinscription en un clic | Postmaster Tools, headers List-Unsubscribe |
| Spam sur Outlook.com seulement | Réputation chez Microsoft ou SPF mal formé | SNDS, nombre de lookups SPF |
Les règles les plus strictes (Gmail, 1er février 2024) visent les expéditeurs qui envoient près de 5 000 messages par jour vers des comptes Gmail. En dessous, Gmail demande quand même SPF ou DKIM. Les filtres anti-spam jugent la réputation du domaine sans attendre d’atteindre ce seuil.
Côté calendrier, Gmail et Yahoo appliquent leurs exigences depuis février 2024. Gmail, selon la FAQ Google sur les consignes aux expéditeurs, durcit l’application aux messages non conformes depuis novembre 2025, avec des rejets temporaires (4.7.x) et permanents (5.7.x). Microsoft applique des exigences équivalentes sur Outlook.com depuis le 5 mai 2025, d’après l’annonce publiée sur le blog Defender for Office 365. La règle vise les domaines qui envoient plus de 5 000 emails par jour vers Outlook.com, Hotmail et Live.
Authentifier le domaine d’envoi dans l’admin Shopify
Pour authentifier le domaine d’envoi dans l’admin Shopify, ouvrez Paramètres puis Notifications. Dans la section Sender email, cliquez sur Email domain authentication (intitulés de l’interface en anglais). Shopify affiche alors les enregistrements CNAME à publier chez votre hébergeur DNS.
- Définissez une adresse expéditeur sur votre propre domaine, par exemple contact@votreboutique.com. Une adresse gmail.com ou yahoo.com échoue à l’alignement DMARC, puisque Shopify n’a pas la main sur le DNS de ces domaines.
- Copiez tous les enregistrements CNAME affichés dans la fenêtre. Leur nombre et leurs valeurs changent d’un domaine à l’autre, il ne faut ni en omettre ni en recopier de mémoire.
- Publiez-les chez le gestionnaire DNS du domaine de l’adresse expéditeur. Certains hébergeurs ajoutent seuls le nom de domaine au champ Nom : vérifiez qu’il n’apparaît pas en double.
- Attendez la propagation, jusqu’à 48 heures d’après l’aide Shopify, puis relancez la vérification dans l’admin.
- N’ajoutez pas d’enregistrement SPF TXT propre à Shopify : les CNAME s’en chargent. Le domaine ne doit porter qu’un seul SPF TXT à la racine.
Les CNAME gèrent l’authentification DKIM et SPF de Shopify. DMARC reste à votre charge. Si le domaine a été acheté chez Shopify, l’authentification est configurée automatiquement et ces enregistrements sont gérés par Shopify : inutile de les dupliquer.
Publier un enregistrement DMARC
Un enregistrement DMARC est un TXT sur _dmarc.votredomaine.com défini par la RFC 7489, qui indique aux fournisseurs quoi faire des messages en échec et où envoyer les rapports. Gmail comme Outlook.com l’exigent pour les gros volumes.
dig TXT _dmarc.votredomaine.com +shortSi la réponse est vide, publiez ce point de départ :
_dmarc.votredomaine.com TXT "v=DMARC1; p=none; rua=mailto:dmarc-reports@votredomaine.com"p=none ne bloque rien et déclenche l’envoi de rapports XML agrégés, qui arrivent par défaut toutes les 24 heures (RFC 7489, ri=86400) et listent tous les serveurs envoyant au nom du domaine : Shopify, votre outil d’emailing, le support client, la facturation. Cette cartographie permet de durcir ensuite sans couper un flux légitime. Shopify propose lui-même v=DMARC1; p=none; comme valeur par défaut. Le domaine ne doit porter qu’un seul enregistrement DMARC. Si une politique plus stricte existe déjà, ne la remplacez pas par p=none.
Le passage à p=quarantine puis p=reject demande du temps et des rapports lus : tout le déroulé est dans le guide de configuration de DMARC jusqu’à p=reject.
Vérifier l’alignement DMARC dans les headers
L’alignement DMARC est satisfait quand le domaine du header From: (champ 5322.From) correspond au domaine signataire DKIM (RFC 6376, champ d=) ou au domaine du MAIL FROM SPF (RFC 7208). Un SPF et un DKIM en pass peuvent donc coexister avec un DMARC en échec.
Envoyez une confirmation de commande de test vers une adresse Gmail, ouvrez le menu à trois points puis Afficher l’original. Cherchez ces lignes du header Authentication-Results (RFC 8601) :
Authentication-Results: mx.google.com;
dkim=pass header.d=votredomaine.com;
spf=pass smtp.mailfrom=votredomaine.com;
dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=votredomaine.comUn header.d au nom d’un domaine Shopify signale une authentification incomplète : contrôlez les CNAME. Un dmarc=fail malgré SPF et DKIM en pass impose de comparer header.from, header.d et smtp.mailfrom. La mention dmarc=bestguesspass signale que Gmail a évalué l’alignement alors qu’aucune politique DMARC n’est publiée.
Éviter les conflits SPF avec plusieurs services d’envoi
Les gros expéditeurs doivent passer SPF, DKIM et DMARC, ce qui rend le SPF critique. Un domaine ne peut publier qu’un seul enregistrement SPF au format v=spf1. La RFC 7208 (section 4.6.4) plafonne l’évaluation à 10 lookups DNS. Au-delà, le résultat est un PermError et SPF échoue pour tous les flux du domaine.
Le cas typique : une boutique qui fait cohabiter Shopify Email, Klaviyo, Zendesk et SendGrid sur le même domaine, chacun avec son include:. Comptez les lookups avec MXToolbox (outil SPF Record Lookup) avant d’ajouter un nouvel expéditeur. Près de la limite, retirez un service. La méthode complète est détaillée dans la checklist de diagnostic SPF.
Les clés DKIM doivent faire au moins 1024 bits selon Google, qui recommande 2048 bits, un point à vérifier chez chaque service qui signe pour votre domaine. La page des consignes Google ajoute l’exigence d’un chiffrement TLS à l’envoi, introduite en décembre 2023. Si vos emails Shopify passent sur Gmail mais pas sur Outlook, le suffixe ~all et le comptage de lookups sont les premiers suspects. Microsoft rejette en 550 5.7.515 les domaines à fort volume qui ne passent pas SPF, DKIM et DMARC. Le message complet est « Access denied, sending domain <domaine> does not meet the required authentication level », détaillé sur la page d’aide Microsoft consacrée à cette erreur.
Désinscription en un clic et taux de plainte
Depuis 2024, Gmail exige, pour les envois marketing des expéditeurs en volume, la désinscription en un clic (RFC 8058) : les headers List-Unsubscribe et List-Unsubscribe-Post: List-Unsubscribe=One-Click, plus un lien visible dans le corps. Les emails transactionnels (confirmation de commande, avis d’expédition) en sont exemptés, d’après la FAQ Google.
Cherchez ces deux headers dans l’original d’un email marketing reçu sur Gmail, via le menu à trois points puis Afficher l’original.
Le complaint rate (taux de plainte) se lit dans la rubrique Spam Rate de Google Postmaster Tools. Il faut rester sous 0,1 % selon Google (soit 1 plainte pour 1 000 emails délivrés) et ne jamais atteindre 0,3 %. Au-delà de 0,3 %, l’expéditeur perd l’accès aux mesures d’atténuation de Gmail. Une plainte vient presque toujours d’un destinataire qui ne se souvient pas de s’être inscrit : segmentez et espacez les relances, puis retirez les contacts sans clic depuis plusieurs mois.
Nettoyer la liste et protéger les emails transactionnels
Les emails transactionnels partagent la réputation du domaine avec le marketing. Un vecteur fréquent : les adresses saisies au checkout avec une faute (gnail.com, hotmial.com) ou des adresses temporaires. Shopify contrôle le format de l’adresse, pas son existence : une faute de frappe sur gnail.com devient un bounce à l’envoi de la confirmation.
Chaque hard bounce sur une confirmation de commande dégrade le domaine. Les pics de volume (Black Friday, lancement produit) amplifient l’effet. La parade consiste à valider l’adresse en temps réel au checkout, à supprimer toute adresse en hard bounce et à surveiller le taux de bounce des transactionnels séparément de celui des campagnes.
Côté engagement, le taux d’ouverture ne dit plus grand-chose depuis Apple Mail Privacy Protection (iOS 15, septembre 2021) : le préchargement des images gonfle les ouvertures. Le clic et l’achat, mesurés dans Shopify, sont des signaux plus fiables pour décider qui garder dans les envois marketing.
Tester le placement avec une seedlist
Une seedlist est un ensemble d’adresses de test réparties chez Gmail, Outlook, Yahoo, Apple Mail et Orange pour le public français, sur lesquelles vous envoyez la campagne avant la liste réelle pour mesurer où elle atterrit : boîte principale ou spam.
Des outils comme GlockApps, Litmus ou Mailtrap fournissent ces adresses et un rapport par fournisseur. Lisez le résultat par fournisseur plutôt qu’en moyenne : un spam rate élevé sur Microsoft seul pointe vers la réputation chez Microsoft ou vers SPF, un spam généralisé pointe vers l’authentification ou le contenu.
Questions fréquentes sur les emails Shopify en spam
Combien de temps attendre après avoir modifié le DNS ?
Comptez jusqu’à 48 heures pour la propagation DNS, selon l’aide Shopify. Une fois la validation passée, envoyez un nouvel email de test : les messages déjà envoyés gardent le verdict d’authentification du moment.
Puis-je envoyer depuis une adresse Gmail ou Yahoo ?
Non, pas durablement. Shopify ne peut pas signer au nom de gmail.com ou de yahoo.com : les messages échouent à l’alignement DMARC. Utilisez une adresse sur votre propre domaine.
Mes emails transférés perdent leur authentification, que faire ?
Lors d’un transfert, la signature DKIM reste valide si le corps n’est pas modifié, alors que SPF échoue puisque l’IP d’envoi change. L’ARC (RFC 8617) conserve une trace de l’authentification d’origine chez les intermédiaires qui l’appliquent. Un DKIM aligné suffit aussi à faire passer DMARC : c’est une raison de plus de vérifier que la signature porte bien votre domaine.
Si le domaine passe tous ces contrôles et que les scores seedlist baissent encore, le contenu est la variable suivante : quel message déclenche les plaintes et à quels destinataires l’envoyez-vous encore ?
