Configuration DNS pour le cold email : un guide technique

La configuration DNS est le fondement invisible de la délivrabilité du cold email. Alors que la plupart des praticiens du cold email se concentrent sur les objets, le contenu et les calendriers d'envoi, c'est l'infrastructure technique sous-jacente qui détermine si vos emails atteignent réellement la boîte de réception. Les enregistrements DNS mal configurés sont responsables de plus d'échecs de délivrabilité que tout autre facteur isolé, et pourtant ils restent mal compris par la majorité des expéditeurs de cold email.

Ce guide technique propose une plongée approfondie et complète dans la configuration DNS pour le cold email. Nous examinerons chaque type d'enregistrement en détail, explorerons les protocoles d'authentification qui protègent votre réputation d'expéditeur, résoudrons les problèmes de propagation courants et présenterons des méthodes de vérification qui garantissent que votre infrastructure est prête pour la production. Que vous configuriez votre premier domaine de cold email ou que vous gériez des centaines de domaines à grande échelle, ce guide vous donnera les connaissances techniques nécessaires pour obtenir un placement en boîte de réception constant.

Comprendre les types d'enregistrements DNS pour l'email

Le système de noms de domaine (DNS) fonctionne comme le carnet d'adresses d'Internet, traduisant les noms de domaine lisibles par l'humain en adresses IP lisibles par la machine. Pour l'email, le DNS remplit une fonction critique supplémentaire : il indique aux serveurs de messagerie destinataires quels serveurs sont autorisés à envoyer des emails au nom de votre domaine et comment authentifier ces messages. Comprendre les quatre principaux types d'enregistrements essentiels au cold email est la première étape vers une configuration correcte.

Enregistrements MX (Mail Exchanger)

Les enregistrements MX précisent quels serveurs de messagerie sont responsables de la réception des emails pour votre domaine. Bien qu'ils soient principalement utilisés pour le courrier entrant, les enregistrements MX sont essentiels à la crédibilité en cold email. Les filtres anti-spam vérifient systématiquement si un domaine expéditeur possède des enregistrements MX valides, car les domaines qui en sont dépourvus ne peuvent pas recevoir de réponses et sont souvent associés à des opérations de spam.

Un enregistrement MX comporte deux composants : une valeur de priorité et un nom d'hôte de serveur de messagerie. Les valeurs de priorité les plus basses indiquent une préférence plus élevée, ce qui vous permet de configurer des serveurs de messagerie principaux et de secours.

Enregistrements SPF (Sender Policy Framework)

Les enregistrements SPF définissent quelles adresses IP et serveurs de messagerie sont autorisés à envoyer des emails au nom de votre domaine. Lorsqu'un serveur destinataire reçoit un email prétendant provenir de votre domaine, il consulte votre enregistrement SPF pour vérifier que le serveur d'envoi est légitime. Cela empêche les spammeurs d'usurper votre domaine dans leur adresse « From ».

Les enregistrements SPF sont publiés sous forme d'enregistrements TXT dans votre DNS. Ils utilisent une syntaxe spécifique qui comprend des mécanismes (comme « ip4 », « include » et « a ») et des qualificateurs qui déterminent la manière de traiter les expéditeurs correspondants et non correspondants.

Enregistrements DKIM (DomainKeys Identified Mail)

DKIM ajoute une signature cryptographique à vos emails sortants, prouvant que le message a bien été envoyé depuis votre domaine et n'a pas été modifié en transit. Le serveur d'envoi signe l'email avec une clé privée, et les serveurs destinataires vérifient la signature à l'aide d'une clé publique publiée dans votre DNS.

Les enregistrements DKIM sont publiés sous forme d'enregistrements TXT sur un sous-domaine spécifique qui inclut un sélecteur (un identifiant arbitraire pour la paire de clés). Ce système de sélecteur vous permet de faire tourner les clés sans perturber la distribution des emails et d'utiliser différentes clés pour différents services d'envoi.

Enregistrements DMARC (Domain-based Message Authentication)

DMARC s'appuie sur SPF et DKIM en ajoutant une couche de politique qui indique aux serveurs destinataires quoi faire lorsque les emails échouent à l'authentification. Il fournit également un mécanisme de reporting qui vous envoie des données sur les emails prétendant provenir de votre domaine, qu'ils soient légitimes ou frauduleux.

DMARC est essentiel car il introduit la notion d'« alignement », exigeant que le domaine visible dans l'en-tête « From » corresponde au domaine authentifié par SPF ou DKIM. Cela comble une faille qui permettait aux spammeurs de réussir SPF/DKIM tout en usurpant l'adresse d'expéditeur affichée.

Comment fonctionne la chaîne d'authentification

Comprendre comment SPF, DKIM et DMARC fonctionnent ensemble est crucial pour diagnostiquer les problèmes de délivrabilité. Lorsque vous envoyez un cold email, le serveur destinataire effectue une série de vérifications dans un ordre précis, et les résultats de chaque vérification alimentent la décision globale d'authentification.

Étape 1 : vérification SPF

Le serveur destinataire extrait le domaine de l'adresse MAIL FROM (expéditeur d'enveloppe) et interroge l'enregistrement SPF de ce domaine. Il vérifie ensuite si l'adresse IP de connexion est autorisée par l'enregistrement SPF. Le résultat est l'un des suivants : pass, fail, softfail, neutral, none, temperror ou permerror.

Étape 2 : vérification DKIM

Le serveur destinataire examine l'en-tête DKIM-Signature de l'email, extrait le sélecteur et le domaine signataire, récupère la clé publique correspondante depuis le DNS et vérifie la signature cryptographique. Si la signature correspond au contenu et aux en-têtes de l'email, DKIM réussit.

Étape 3 : évaluation DMARC

DMARC évalue à la fois les résultats SPF et DKIM, mais ajoute une exigence d'alignement. Le domaine visible dans l'en-tête « From » doit correspondre soit au domaine authentifié par SPF, soit au domaine signataire DKIM (selon les réglages du mode d'alignement). Si au moins l'un des deux réussit avec un alignement correct, DMARC réussit. La politique DMARC détermine ensuite ce qu'il advient des emails qui échouent à cette évaluation.

« Les échecs d'authentification sont des tueurs silencieux en cold email. Vos emails disparaissent dans les dossiers spam sans notification de rebond, sans message d'erreur, sans aucune indication qu'il y a un problème. Le temps que vous remarquiez la baisse des taux de réponse, des semaines de prospection auront pu être gaspillées. »

Propagation DNS : dépannage et bonnes pratiques

La propagation DNS est le processus par lequel les modifications des enregistrements DNS se répandent à travers le réseau des résolveurs récursifs d'Internet. Lorsque vous mettez à jour un enregistrement DNS, il n'apparaît pas instantanément partout. Différents serveurs à travers le monde verront les anciens et les nouveaux enregistrements à des moments différents, ce qui peut provoquer des échecs d'authentification temporaires pendant la période de transition.

Comprendre le TTL (Time to Live)

Le TTL est la valeur (en secondes) qui indique aux résolveurs DNS combien de temps mettre un enregistrement en cache avant de vérifier les mises à jour. Un TTL de 3600 signifie que les résolveurs mettront l'enregistrement en cache pendant une heure. Des valeurs TTL plus basses accélèrent la propagation des changements mais entraînent davantage de requêtes DNS. Des valeurs TTL plus élevées réduisent le trafic DNS mais ralentissent la propagation.

Pour les enregistrements d'authentification email, nous recommandons les valeurs TTL suivantes :

• Enregistrements MX : 3600 secondes (1 heure) - Relativement stables, rarement modifiés
• Enregistrements SPF : 300-600 secondes (5-10 minutes) - Peuvent nécessiter une mise à jour lors de l'ajout de services
• Enregistrements DKIM : 3600 secondes (1 heure) - Stables une fois configurés
• Enregistrements DMARC : 3600 secondes (1 heure) - Généralement définis une fois et laissés tels quels

Problèmes de propagation courants et solutions

Problème 1 : les changements n'apparaissent pas après le délai attendu Vérifiez d'abord que les changements ont été correctement enregistrés chez votre fournisseur DNS. Ensuite, contrôlez à l'aide de plusieurs outils de recherche DNS depuis différentes localisations géographiques. Si les serveurs de noms faisant autorité affichent les bons enregistrements mais que les autres résolveurs ne le font pas, il s'agit d'un délai de propagation normal.

Problème 2 : résultats incohérents entre résolveurs Pendant la propagation, différents résolveurs auront différentes versions en cache. C'est un comportement attendu. Évitez d'envoyer des campagnes importantes immédiatement après des changements DNS. Attendez au moins 2 fois la valeur TTL précédente pour garantir une propagation large.

Problème 3 : limites de débit de l'API du fournisseur DNS Lorsque vous configurez plusieurs domaines de manière programmatique, vous pouvez atteindre les limites de débit de l'API. Espacez vos requêtes et implémentez un backoff exponentiel. InboxOne gère cela automatiquement grâce à une mise en file d'attente intelligente des requêtes.

Méthodes de vérification : garantir une configuration correcte

Avant d'envoyer le moindre cold email depuis un domaine nouvellement configuré, vous devez vérifier que tous les enregistrements d'authentification sont correctement configurés et propagés. Sauter cette étape est l'une des causes les plus fréquentes de désastres de délivrabilité. Un seul enregistrement mal configuré peut anéantir le taux de placement en boîte de réception de toute votre campagne.

Outils de vérification en ligne

Plusieurs outils gratuits en ligne peuvent vérifier votre configuration DNS :

• MXToolbox : vérificateur complet de santé email qui teste les statuts MX, SPF, DKIM, DMARC et de liste noire
• Google Admin Toolbox : vérification MX et outil dig spécifiquement conçu pour la vérification de Google Workspace
• DMARC Analyzer : analyse détaillée des enregistrements DMARC et traitement des rapports agrégés
• Mail-Tester : envoyez un email de test et recevez un score de délivrabilité détaillé avec des recommandations spécifiques

Analyse des en-têtes d'email

La méthode de vérification la plus fiable consiste à envoyer un email de test et à analyser les résultats d'authentification dans les en-têtes de l'email. Gmail, par exemple, affiche les résultats d'authentification directement dans l'email lorsque vous cliquez sur « Afficher l'original ». Recherchez ces en-têtes :

Surveillance automatisée

La vérification manuelle convient à la configuration initiale, mais une surveillance continue est essentielle pour maintenir la délivrabilité. Les enregistrements DNS peuvent être accidentellement supprimés, expirer ou devenir invalides à la suite de changements de fournisseur. La surveillance automatisée détecte ces problèmes avant qu'ils n'affectent vos campagnes.

Les indicateurs clés à surveiller incluent la validité de l'enregistrement SPF et le nombre de recherches (maximum 10 recherches), la présence et la validité cryptographique de la clé DKIM, la cohérence de la politique DMARC et la remise des rapports, ainsi que la disponibilité des enregistrements MX et les temps de réponse.

Erreurs de configuration DNS courantes à éviter

Même les administrateurs système expérimentés commettent des erreurs de configuration DNS. Ces erreurs passent souvent inaperçues pendant des semaines ou des mois car l'email « fonctionne à peu près » - les messages sont distribués, mais à des taux réduits. Voici les erreurs les plus courantes et comment les éviter.

Erreur 1 : plusieurs enregistrements SPF

Avoir plus d'un enregistrement SPF sur un domaine provoque un échec d'authentification immédiat. La spécification SPF stipule qu'un domaine NE DOIT PAS avoir plusieurs enregistrements SPF. Si vous devez autoriser des sources d'envoi supplémentaires, ajoutez-les à votre enregistrement SPF existant à l'aide du mécanisme « include ».

Erreur 2 : dépasser les limites de recherches SPF

Les enregistrements SPF peuvent inclure des références à d'autres enregistrements (via « include », « redirect », « a », « mx », etc.), mais le nombre total de recherches DNS lors de l'évaluation SPF ne doit pas dépasser 10. Chaque mécanisme « include » compte comme une recherche, et les includes imbriqués comptent dans le total. Dépasser cette limite provoque un renvoi d'erreur permanente par SPF.

Erreur 3 : taille de clé DKIM trop petite

Les clés DKIM inférieures à 1024 bits sont considérées comme non sécurisées et peuvent provoquer des échecs d'authentification chez certains destinataires. Utilisez des clés de 2048 bits pour une sécurité et une compatibilité optimales. Certains fournisseurs DNS plus anciens ont des problèmes avec les clés de 2048 bits en raison des limites de longueur des enregistrements TXT ; dans ces cas, la clé doit être répartie sur plusieurs chaînes.

Erreur 4 : politique DMARC trop stricte au départ

Commencer avec une politique DMARC « reject » avant d'avoir vérifié vos flux d'emails est une recette pour le désastre. Débutez avec « none » pour collecter des rapports et identifier toute source d'envoi légitime que vous auriez pu oublier. Passez à « quarantine » pour les tests, puis à « reject » une fois que vous êtes sûr que tous les emails légitimes sont correctement authentifiés.

Erreur 5 : oublier les politiques de sous-domaine

Les politiques SPF et DMARC de votre domaine racine ne s'appliquent pas automatiquement aux sous-domaines. Si vous envoyez depuis des sous-domaines (comme mail.example.com), chaque sous-domaine a besoin de son propre enregistrement SPF. Pour DMARC, vous pouvez utiliser la balise « sp » pour définir une politique de sous-domaine, ou créer des enregistrements DMARC distincts pour chaque sous-domaine.

Comment InboxOne élimine la complexité de la configuration DNS

Bien que comprendre la configuration DNS soit précieux, la réalité est que la gestion manuelle du DNS ne passe pas à l'échelle. Les agences qui gèrent des dizaines ou des centaines de domaines de cold email ne peuvent pas se permettre de configurer et de surveiller manuellement les enregistrements d'authentification de chacun. C'est là que la gestion DNS automatisée d'InboxOne devient essentielle.

Configuration DNS entièrement automatique

Lorsque vous achetez un domaine via InboxOne ou connectez un domaine existant, notre système configure automatiquement tous les enregistrements DNS requis. Les enregistrements SPF, DKIM, DMARC et MX sont créés avec des réglages optimaux en quelques minutes. Aucune modification manuelle n'est requise et aucune supposition n'est nécessaire quant au délai de propagation.

InboxOne prend en charge Cloudflare et ClouDNS pour la gestion DNS. Nos intégrations d'API avec ces fournisseurs garantissent que les enregistrements sont créés correctement, que les valeurs TTL sont optimisées et que toutes les particularités propres à chaque fournisseur sont gérées automatiquement.

Surveillance continue et réparation automatique

InboxOne Protect surveille la santé DNS de votre domaine 24 h/24 et 7 j/7. Si un enregistrement est accidentellement supprimé, modifié incorrectement ou échoue à la validation, notre système détecte le problème en quelques minutes et le répare automatiquement. Vous recevez des notifications concernant tout problème, mais dans la plupart des cas, le problème est résolu avant même que vous ne voyiez l'alerte.

Gestion de domaines en masse

Pour les agences opérant à grande échelle, InboxOne propose des opérations en masse qui configurent le DNS pour des dizaines de domaines simultanément. Notre système de mise en file d'attente intelligent gère les limites de débit des API, suit l'état de propagation sur tous les domaines et signale quand chaque domaine est prêt à l'emploi. Cela transforme ce qui prendrait des heures de travail manuel en quelques minutes de supervision.

« La configuration DNS était autrefois la partie la plus fastidieuse du lancement de nouveaux domaines de cold email. Avec InboxOne, je n'y pense littéralement jamais. Les domaines sont prêts à être préchauffés en quelques minutes après l'achat, avec une authentification parfaite à chaque fois. »

- Propriétaire d'une agence de cold email

Récapitulatif des bonnes pratiques de configuration DNS

Que vous configuriez le DNS manuellement ou à l'aide d'outils automatisés, suivre ces bonnes pratiques garantira une délivrabilité optimale pour vos campagnes de cold email.

• Configurez toujours les quatre types d'enregistrements : MX, SPF, DKIM et DMARC fonctionnent ensemble. En omettre un seul crée des vulnérabilités.
• Utilisez des valeurs TTL appropriées : des TTL plus bas pour les enregistrements qui changent fréquemment, des TTL plus élevés pour les enregistrements stables.
• Vérifiez avant d'envoyer : confirmez toujours que l'authentification fonctionne en analysant les en-têtes d'emails de test.
• Commencez avec des politiques DMARC souples : utilisez p=none au départ, puis passez à des politiques plus strictes à mesure que vous gagnez en confiance.
• Surveillez en continu : la configuration DNS peut se briser silencieusement. Une surveillance régulière détecte les problèmes avant qu'ils n'affectent les campagnes.
• Maintenez les recherches SPF sous 10 : auditez régulièrement votre enregistrement SPF pour vous assurer que vous ne dépassez pas la limite de recherches.
• Utilisez des clés DKIM de 2048 bits : des clés plus grandes offrent une meilleure sécurité sans problèmes de compatibilité.
• Documentez votre configuration : conservez la trace des services autorisés pour chaque domaine.

Conclusion

La configuration DNS est le fondement technique qui détermine si vos cold emails atteignent la boîte de réception ou disparaissent dans le spam. Comprendre comment les enregistrements MX, SPF, DKIM et DMARC fonctionnent ensemble vous donne les connaissances nécessaires pour diagnostiquer les problèmes de délivrabilité et garantir que votre infrastructure est correctement configurée.

Cependant, la gestion manuelle du DNS devient de plus en plus impraticable à mesure que vous passez à l'échelle. Le temps passé à configurer des enregistrements, à résoudre les problèmes de propagation et à surveiller les problèmes est du temps qui n'est pas consacré à l'exécution réelle de vos campagnes. C'est pourquoi des plateformes comme InboxOne existent : pour gérer la complexité technique afin que vous puissiez vous concentrer sur l'essentiel - rédiger d'excellents messages de prospection et développer votre entreprise.

Que vous choisissiez de gérer le DNS manuellement ou de tirer parti de l'automatisation, les principes de ce guide vous aideront à maintenir l'infrastructure d'authentification qu'exige la délivrabilité email moderne. Vos cold emails méritent d'atteindre la boîte de réception. Une configuration DNS correcte garantit qu'ils y parviennent.