Combien de vos contacts ont changé d’emploi ou fermé leur boîte, sans compter ceux qui n’ont jamais existé et que votre liste ignore encore ? Une adresse email se contrôle en croisant 3 signaux : la syntaxe du format, l’existence du domaine via ses enregistrements MX, puis la réponse du serveur de messagerie destinataire lui-même. Ce contrôle ne se fait pas une fois pour toutes : il se répète à la collecte, avant un envoi volumineux et à intervalle régulier sur une liste active. Ignorer cette répétition finit souvent par un listage sur le SBL Spamhaus ou un score seedlist qui chute sans raison apparente le mois suivant.
Ce que vérifier un email veut vraiment dire
Un email valide sur le papier n’est pas forcément un email qui existe. La vérification email (ou email verifier dans le jargon des outils anglophones) empile 3 couches de contrôle indépendantes. La 1re couche teste le format : structure locale@domaine.extension, caractères autorisés, absence de point final. La 2e couche interroge le DNS pour confirmer que le domaine reçoit du courrier. La 3e couche est la plus fiable. Elle coûte aussi le plus cher en ressources, car elle dialogue directement avec le serveur de messagerie pour savoir si la boîte existe réellement. Aucune de ces 3 couches ne suffit seule. Une adresse peut réussir les 2 premières et échouer sur la 3e, notamment sur les 12 à 15% de domaines B2B configurés en catch-all d’après les données compilées par Validity.
Contrôler la syntaxe et le domaine
Le contrôle de format élimine les erreurs grossières avant toute requête réseau. Une adresse sans arobase, avec 2 points consécutifs ou un domaine tronqué (gmial.com au lieu de gmail.com, .con au lieu de .com) échoue immédiatement, sans consommer une seule requête DNS. Cette étape suit les règles du RFC 5322 pour la partie locale et du RFC 1035 pour le nom de domaine.
Une fois le format validé, l’étape suivante interroge les enregistrements MX du domaine via un lookup DNS (commande dig MX domaine.com en ligne de commande). Un domaine sans MX record ne peut recevoir aucun message : toute adresse qui s’y rattache est morte, quelle que soit sa syntaxe. C’est rapide.
- Domaine expiré ou jamais enregistré : échec immédiat, pas besoin d’aller plus loin
- Domaine avec MX mais serveur injoignable : échec temporaire, à retester plus tard
Simuler l’envoi avec un SMTP ping
La méthode la plus précise reproduit le début d’un envoi réel sans jamais transmettre le message. On appelle ça un SMTP ping ou RCPT TO check. Le principe se déroule en une poignée d’échanges avec le serveur MX, sur le port 25 :
- Envoi de HELO ou EHLO pour identifier l’expéditeur, puis de MAIL FROM
- Envoi de RCPT TO avec l’adresse à tester, lecture du code retourné, puis QUIT sans jamais transmettre la commande DATA
Le code de réponse tranche. 250 signifie que le serveur accepte l’adresse. 550 5.1.1 user unknown signifie que la boîte n’existe pas, un cas fréquent après un changement de poste ou une adresse jamais créée. Entre les 2, des codes temporaires comme 450 ou 451 signalent un greylisting ou une indisponibilité passagère du serveur, à retester plutôt qu’à écarter d’emblée. La plupart des fournisseurs d’accès résidentiels bloquent le port 25 en sortie, ce qui rend ce test manuel via telnet inutilisable en dehors d’un serveur dédié avec une bonne réputation d’expéditeur (sender reputation).
Le piège des domaines catch-all
Un domaine catch-all répond toujours 250 OK, que l’adresse locale corresponde à une boîte réelle ou non. Le SMTP ping ne peut plus distinguer une adresse valide d’une adresse inventée sur ce type de domaine. Les guides purement techniques s’arrêtent souvent avant ce point : le taux de rebond sur les adresses catch-all non filtrées reste nettement plus élevé que sur les adresses confirmées individuellement, d’après les données sectorielles publiées par Validity.
Sur ces domaines, un service de vérification combine plusieurs heuristiques complémentaires : historique de délivrabilité du domaine et ancienneté de l’enregistrement, parfois complétés par la présence de mentions légales sur le site associé. Captain Verify classe ces adresses par niveau de risque plutôt que par un simple binaire valide/invalide, ce qui évite de rejeter à tort une adresse professionnelle légitime hébergée sur un domaine catch-all.
Vérifier en temps réel à la saisie
Brancher un contrôle sur le formulaire d’inscription coupe le problème à la source. L’utilisateur tape une adresse. Une requête part vers l’API de vérification au moment de la soumission et le formulaire affiche une alerte avant même l’envoi du premier email de confirmation. Ce contrôle réduit aussi les inscriptions frauduleuses générées par credential stuffing sur les formulaires publics, un vecteur d’abus courant sur les listes ouvertes.
Ce filtre à l’entrée ne remplace pas les contrôles suivants. Une adresse valide au moment de l’inscription peut devenir invalide 8 mois plus tard. Le timing compte alors autant que la méthode.
Avant un envoi : le bon moment pour repasser la liste au crible
Une liste qui n’a pas été revérifiée depuis 90 jours ou plus mérite un contrôle complet avant tout envoi volumineux. Les recherches de HubSpot et Marketing Sherpa mesurent une décomposition naturelle des bases de contacts d’environ 22,5% par an, soit près de 2,1% chaque mois. Changement de poste, changement de fournisseur email, abandon pur et simple de l’adresse : les causes se cumulent en silence. Sur une liste de 50 000 contacts jamais retouchée depuis un an, cela représente potentiellement plus de 11 000 adresses mortes ou dormantes.
L’ouverture n’est plus un signal fiable pour repérer ces adresses. Le tracking d’ouverture s’est effondré comme métrique de référence depuis l’arrivée d’Apple Mail Privacy Protection, qui précharge les pixels de suivi indépendamment de toute lecture réelle (sujet détaillé dans notre article sur le taux d’ouverture email). Sans ce signal, la vérification directe de l’adresse redevient le seul indicateur fiable avant un envoi.
Selon les email sender guidelines de Google (2024), un expéditeur en masse doit maintenir un taux de plainte utilisateur sous 0,3% pendant 7 jours consécutifs pour rester éligible aux mesures d’atténuation en cas de blocage et sous 0,1% pour rester dans une zone de confort durable.
À quelle fréquence revérifier une liste active
Pour une liste qui envoie chaque semaine, un contrôle trimestriel complet plus un contrôle continu à la collecte couvre l’essentiel du risque. La complaint rate (taux de plainte) et le hard bounce rate se surveillent en parallèle via Google Postmaster Tools côté Gmail et via SNDS côté Microsoft. Un hard bounce moyen tourne autour de 0,21% toutes industries confondues selon Mailchimp. Au-delà de 2%, le seuil devient une alerte d’hygiène de liste (list hygiene). Au-delà de 5%, la réputation d’expéditeur (IP reputation tier) encaisse un dégât difficile à réparer en quelques semaines.
Un taux de rebond maintenu sous 1,5% se traduit par un placement en boîte de réception supérieur de 10 à 12% par rapport aux expéditeurs qui laissent dériver ce chiffre, d’après les données 2025 compilées par Mailreach. Les adresses qui ont généré un rejet définitif (550) rejoignent une Suppression List permanente : jamais de nouvel envoi vers ces adresses, même après réimport accidentel du fichier source.
Les faux positifs qui faussent le diagnostic
3 cas piègent régulièrement une vérification mal calibrée. Les adresses génériques (contact@, info@, support@) passent tous les contrôles techniques mais correspondent souvent à une boîte partagée peu surveillée, avec un risque de plainte plus élevé que la moyenne. Les domaines temporaires (adresses jetables) répondent parfois positivement pendant quelques heures avant expiration. Le greylisting, enfin, retourne un code temporaire sur un premier contact SMTP puis accepte le message au 2e essai : traiter ce code comme un échec définitif revient à supprimer à tort des adresses parfaitement valides.
Un calcul simple illustre l’enjeu du catch-all sur une base réelle. Une liste B2B de 20 000 contacts compte généralement entre 2 400 et 3 000 domaines catch-all, si on applique la fourchette de 12 à 15% mesurée par Validity. Un contrôle qui traite ces domaines comme valides sans distinction laisse passer plusieurs centaines d’adresses à risque élevé dans l’envoi suivant. À l’inverse, un contrôle qui les rejette tous en bloc supprime au passage des contacts professionnels réels, hébergés sur des domaines d’entreprise qui filtrent en catch-all par choix d’administration serveur plutôt que par défaut technique. Le résultat dépend de la granularité du scoring appliqué à ce domaine, bien au-delà du simple constat qu’il est catch-all.
Le format seul ne suffit pas. Le MX seul ne suffit pas non plus. C’est la combinaison des 3 couches, répétée aux 3 moments clés, qui construit un diagnostic fiable. Prenez un échantillon de 500 contacts sur votre liste actuelle et lancez une vérification complète avant votre prochain envoi. Si le taux d’adresses invalides ou risquées dépasse 2%, nettoyez l’ensemble de la base avant de dépasser ce volume d’envoi.
