Le symptôme
- Des clients disent n’avoir jamais reçu la confirmation de commande ; le support demande « ma commande est-elle passée ? ».
- Gmail affiche un avatar « ? » rouge ou « soyez prudent avec ce message » sur vos e-mails.
- Le DNS n’a pas d’enregistrement TXT
v=spf1, pas d’enregistrement_dmarc, ou WooCommerce envoie viamail()PHP depuis le serveur web.
Pourquoi c’est important
Depuis 2024, Gmail, Yahoo et Outlook exigent l’alignement SPF et DKIM plus une politique DMARC pour les expéditeurs en masse, et de plus en plus pour tout le monde. Le courrier non authentifié est filtré ou rejeté. Une boutique dont les confirmations disparaissent perd des clients fidèles et subit des rétrofacturations.
Sans DMARC, n’importe qui peut envoyer du courrier « de la part » de votre domaine — et hameçonner vos clients avec votre marque.
Comment le vérifier vous-même
- Consultez les enregistrements TXT de votre domaine et de
_dmarc.votredomaine: ex.dig TXT votreboutique.fretdig TXT _dmarc.votreboutique.fr, ou utilisez MXToolbox. - Passez une commande test vers une adresse Gmail et ouvrez *Afficher l’original* : SPF, DKIM et DMARC doivent chacun indiquer PASS.
- La vérification gratuite Aivoma lit vos enregistrements SPF et DMARC en direct.
Comment le corriger
- Envoyez via un service SMTP ou API authentifié (Brevo, Postmark, Amazon SES, Mailgun, ou votre fournisseur de messagerie) avec WP Mail SMTP ou FluentSMTP — jamais via mail() PHP depuis l’hébergeur.
- SPF : un seul enregistrement TXT sur le domaine racine listant chaque expéditeur, ex.
v=spf1 include:spf.brevo.com include:_spf.google.com ~all. Un seul enregistrement SPF est autorisé ; 10 consultations maximum. - DKIM : ajoutez les clés CNAME/TXT fournies par le service ; activez la signature pour le domaine expéditeur exact utilisé dans WooCommerce → Settings → Emails.
- DMARC : commencez par
v=DMARC1; p=none; rua=mailto:[email protected], examinez les rapports pendant deux semaines, puis passez àp=quarantineet enfin àp=reject. - Réglez l’adresse « De » de WooCommerce sur le domaine authentifié (pas gmail.com) et ajoutez une adresse de réponse qui est surveillée.