La messagerie du destinataire a refusé l’e-mail parce qu’elle ne peut pas vérifier qu’il vient bien de votre domaine. Trois enregistrements DNS servent à cette vérification : SPF liste les serveurs autorisés à envoyer, DKIM appose une signature sur chaque e-mail, DMARC indique quoi faire en cas d’échec. Ici, l’un d’eux manque ou ne couvre pas le serveur qui envoie les e-mails du site.
Pourquoi cette erreur apparaît
- Le site envoie avec une adresse de votre domaine depuis le serveur web, qui ne figure pas dans l’enregistrement SPF.
- Aucune signature DKIM n’est appliquée, parce que l’envoi passe par la fonction mail() du serveur plutôt que par le service de messagerie du domaine.
- Le domaine publie une politique DMARC stricte (quarantine ou reject) alors que SPF et DKIM ne sont pas alignés sur l’adresse d’expédition.
- Deux enregistrements SPF coexistent, ou l’enregistrement dépasse la limite de dix consultations DNS, ce qui le rend invalide.
- L’adresse d’expédition utilise un domaine que vous ne contrôlez pas, comme une adresse Gmail ou Outlook.
Comment corriger le problème
Lire le message de rejet
Le retour d’erreur précise souvent le mécanisme en cause (SPF, DKIM ou DMARC) et l’adresse IP qui a envoyé l’e-mail. Notez-la : c’est le serveur qu’il faut autoriser, ou remplacer par un envoi authentifié.
Expédier depuis votre propre domaine
Dans WordPress, WooCommerce et vos formulaires, l’adresse d’expédition doit appartenir à votre domaine. Avec une adresse Gmail ou Outlook en expéditeur, votre serveur n’a aucune autorisation et les e-mails seront rejetés.
Corriger l’enregistrement SPF
Dans la zone DNS du domaine, un seul enregistrement TXT doit commencer par v=spf1. Ajoutez-y le serveur ou le service qui envoie réellement les e-mails, en reprenant la valeur exacte fournie par votre hébergeur ou votre service d’envoi. L’exemple ci-dessous est purement générique.
exemple.fr. IN TXT "v=spf1 mx ip4:203.0.113.10 include:spf.service-envoi.example ~all"Activer la signature DKIM
DKIM s’active chez le service qui envoie (messagerie du domaine ou service transactionnel). Il génère une clé et vous donne un enregistrement TXT à publier sous un nom du type selecteur._domainkey. Publiez-le tel quel, sans le modifier.
selecteur._domainkey.exemple.fr. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh...(clé fournie par le service)"Publier une politique DMARC progressive
Commencez par une politique d’observation (p=none) accompagnée d’une adresse de rapports. Une fois vos envois validés, durcissez en p=quarantine, puis en p=reject seulement quand tous les services qui écrivent en votre nom sont alignés.
_dmarc.exemple.fr. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr"Contrôler les en-têtes d’un e-mail reçu
Envoyez un e-mail depuis le site vers une boîte Gmail et affichez l’original : SPF, DKIM et DMARC doivent indiquer PASS. Un outil de test comme mail-tester.com donne le même diagnostic avec des explications. Les changements DNS peuvent demander un certain temps avant d’être visibles partout.
Avant de modifier la zone DNS, copiez les enregistrements existants : un SPF ou un MX supprimé par erreur peut bloquer toute la messagerie du domaine, pas seulement le site.
Un autre message d'erreur ? Collez-le dans le décodeur : il le reconnaît et vous oriente vers la bonne fiche.
Ouvrir le décodeur