Le Return-Path et les domaines de suivi personnalisés sont les deux réglages de marque et d'authentification que la plupart des expéditeurs négligent, et ils comptent pour des raisons différentes. Un Return-Path personnalisé permet à SPF de s'aligner sur votre domaine From, de sorte que DMARC dispose de deux moyens de réussir. Un domaine de suivi personnalisé place votre propre nom dans les liens de clic et d'ouverture. Ce guide explique les deux, montre les enregistrements DNS concernés et décrit comment les tester.
Les trois domaines présents dans chaque e-mail
Un seul message contient plusieurs noms de domaine, chacun utilisé pour une vérification différente. Comprendre la différence explique pourquoi ces réglages existent.
| Nom | Où il apparaît | Utilisé pour |
|---|---|---|
| Domaine From | L'adresse visible dans l'en-tête From | DMARC compare les autres vérifications à ce domaine |
| Domaine Return-Path | L'expéditeur de l'enveloppe (MAIL FROM), affiché dans un en-tête Return-Path | SPF est vérifié ici, et les rebonds sont livrés ici |
| Domaine de signature DKIM (d=) | L'en-tête de signature | La vérification DKIM et l'alignement avec le domaine From |
| Domaine de suivi | Dans les liens et les pixels de suivi du corps du message | Réputation des liens, analyse de sécurité et confiance dans la marque |
Alignement : pourquoi le domaine Return-Path compte
DMARC exige qu'au moins l'un de SPF ou DKIM réussisse et que le domaine validé soit aligné sur le domaine From. Aligné signifie apparenté : avec l'alignement relaxed, qui est la valeur par défaut, un sous-domaine du même domaine organisationnel est accepté. Si votre plateforme utilise son propre domaine comme Return-Path, SPF réussit pour ce domaine mais ne correspond pas au vôtre, donc SPF n'aide pas DMARC. Avec un Return-Path personnalisé sur votre propre sous-domaine, SPF réussit et s'aligne.
| Configuration | Résultat SPF | Résultat DMARC |
|---|---|---|
| Return-Path sur le domaine de la plateforme, DKIM aligné | Réussite, non aligné | Réussit uniquement grâce à DKIM |
| Return-Path personnalisé sur votre sous-domaine, DKIM aligné | Réussite et aligné | Réussit grâce aux deux ; plus résilient |
| Return-Path personnalisé, DKIM altéré en transit | Réussite et aligné | Réussit toujours grâce à SPF |
| Return-Path de la plateforme, DKIM altéré en transit | Réussite, non aligné | Échec |
SPF ne survit pas au transfert. Lorsqu'un e-mail est transféré, SPF est vérifié par rapport au serveur qui transfère, et échoue donc généralement. DKIM est le signal qui survit. C'est pourquoi un DKIM aligné est l'objectif principal et un Return-Path personnalisé une seconde couche, et non un remplacement.
Configurer un Return-Path personnalisé
- Choisissez un sous-domaine. Prenez un nom tel que bounce.mail.example.com, utilisé uniquement pour les rebonds. Gardez-le séparé de votre sous-domaine de suivi.
- Ajoutez l'enregistrement indiqué par votre plateforme. Il s'agit généralement d'un CNAME vers un nom de la plateforme, ou d'un enregistrement MX qui achemine les rebonds vers la plateforme. Copiez-le exactement.
- Vérifiez l'enregistrement SPF du sous-domaine. La plateforme gère normalement la politique SPF derrière le CNAME. Si ce n'est pas le cas, publiez pour le sous-domaine un enregistrement SPF qui autorise la plateforme.
- Patientez et vérifiez. Laissez s'écouler le TTL de l'enregistrement et utilisez votre plateforme pour vérifier le domaine, comme décrit dans notre guide de vérification d'un domaine d'envoi.
- Envoyez un test et lisez les en-têtes. Confirmez que l'en-tête Return-Path utilise votre sous-domaine et que les résultats d'authentification indiquent SPF pass avec ce domaine.
Return-Path: <bounce+abc123@bounce.mail.example.com>
Authentication-Results: mx.example.net;
spf=pass smtp.mailfrom=bounce.mail.example.com;
dkim=pass header.d=mail.example.com;
dmarc=pass header.from=mail.example.comDans l'exemple, le domaine Return-Path est un sous-domaine du domaine From, donc l'alignement relaxed est respecté et SPF contribue à la réussite de DMARC.
Configurer un domaine de suivi personnalisé
Le suivi des liens réécrit chaque lien de votre message pour qu'il passe par une redirection, afin que les clics puissent être comptés. Le suivi des ouvertures ajoute une minuscule image dont le chargement est compté. Les deux utilisent un domaine. Par défaut, ce domaine appartient à la plateforme et est partagé par de nombreux clients. Un domaine de suivi personnalisé le remplace par un sous-domaine qui vous appartient.
- Choisissez un sous-domaine. Par exemple links.example.com. Utilisez un nom qui paraît naturel à un destinataire.
- Publiez le CNAME. Faites pointer le sous-domaine vers le nom que vous donne votre plateforme. Un CNAME doit être le seul enregistrement à ce nom.
- Attendez le certificat. La plateforme demande un certificat pour le sous-domaine dès que le CNAME se résout. Cela peut prendre de quelques minutes à plusieurs heures.
- Activez-le pour l'envoi. Sélectionnez le domaine de suivi dans vos paramètres d'envoi ou par flux, afin que les nouveaux messages l'utilisent.
- Cliquez sur un lien de test. Ouvrez un message, cliquez sur un lien suivi et confirmez qu'il se charge en HTTPS sans avertissement du navigateur et mène à la bonne page.
Pourquoi HTTPS n'est pas facultatif
Un lien suivi est la première chose que touchent un destinataire, un navigateur et un scanner de sécurité. Un lien qui commence par http, ou qui affiche un avertissement de certificat, éveille la méfiance et fait perdre des clics. Certaines passerelles d'entreprise réécrivent ou bloquent purement et simplement de tels liens. Confirmez que le certificat est valide avant d'activer le suivi, et vérifiez que le renouvellement est automatique.
Avantages et compromis d'un domaine de suivi personnalisé
| Avantage | Compromis |
|---|---|
| La réputation des liens vous appartient seul, sans être partagée avec des expéditeurs inconnus | Vos propres erreurs retombent aussi sur votre domaine, alors gardez-le propre |
| Les liens sont cohérents avec votre marque | Un sous-domaine et un certificat de plus à maintenir |
| Séparation plus facile des flux, avec un domaine de suivi par flux | Davantage d'enregistrements DNS à documenter |
| Moins de mauvaises surprises si un autre expéditeur d'un domaine partagé est placé sur liste de blocage | Un nouveau domaine n'a pas d'historique, alors introduisez-le progressivement |
Introduisez un nouveau domaine de suivi progressivement. Un domaine qui n'a jamais été vu dans des liens n'a aucune réputation, bonne ou mauvaise, et envoyer de gros volumes avec dès le premier jour peut paraître inhabituel. Suivez la même montée en charge prudente que celle décrite dans notre guide du warm-up.
Faut-il désactiver le suivi pour certains messages ?
Le suivi des ouvertures et des clics est un confort, pas une obligation. Pour les réinitialisations de mot de passe, les codes de connexion et les messages de sécurité similaires, beaucoup d'équipes désactivent le suivi. Les liens doivent mener directement à votre site, et des liens réécrits peuvent faire passer un message légitime pour du phishing aux yeux des utilisateurs et des filtres. Notez aussi que le suivi des ouvertures est devenu peu fiable, car les applications de messagerie préchargent les images. Considérez les ouvertures comme un signal approximatif, et les clics et les conversions comme les indicateurs qui comptent.
Un exemple concret : deux flux sur un même domaine
Imaginez une boutique qui envoie des confirmations de commande et des promotions hebdomadaires. Elle garde le domaine racine example.com pour l'e-mail du personnel et crée deux sous-domaines d'envoi, un pour chaque flux. Chacun reçoit son propre ensemble d'enregistrements, de sorte que les deux réputations ne se mélangent jamais.
| Flux | Domaine From | Return-Path | Domaine de suivi |
|---|---|---|---|
| Transactionnel | orders.example.com | bounce.orders.example.com | aucun, suivi désactivé pour les messages de sécurité |
| Promotionnel | news.example.com | bounce.news.example.com | links.news.example.com |
Avec cette organisation, un pic de plaintes sur le flux promotionnel pénalise news.example.com et son domaine de liens, tandis que les confirmations de commande conservent leur propre historique sain. Chaque Return-Path est un sous-domaine de son propre domaine From, donc SPF s'aligne avec l'alignement relaxed. Chaque flux signe avec son propre sélecteur DKIM, ce qui facilite aussi la rotation d'une clé sans toucher à l'autre. Le coût est une poignée d'enregistrements DNS supplémentaires, un faible prix pour cette séparation.
Lorsque vous ajoutez un flux plus tard, copiez le modèle plutôt que d'en inventer un nouveau. Une nomenclature cohérente permet de voir immédiatement, dans un en-tête, un rapport DMARC ou une notification de liste de blocage, à quel flux appartient un message, ce qui accélère chaque investigation.
Dépannage
| Problème | Cause probable | Solution |
|---|---|---|
| Le Return-Path affiche encore le domaine de la plateforme | Return-Path personnalisé non activé pour le flux | Sélectionnez le domaine dans les paramètres d'envoi et renvoyez |
| SPF réussit mais DMARC échoue | Domaine Return-Path non aligné avec From | Utilisez un sous-domaine du domaine From |
| Impossible d'ajouter le CNAME | Un autre enregistrement existe à ce nom | Utilisez un nouveau sous-domaine pour le CNAME |
| Le lien suivi affiche un avertissement de certificat | Certificat non émis ou expiré | Vérifiez le CNAME et l'état du domaine dans la plateforme |
| Les liens suivis renvoient une erreur | Le CNAME pointe vers la mauvaise cible | Comparez avec la valeur de votre compte |
| Liens bloqués par la passerelle d'un destinataire | Nouveau domaine de suivi sans réputation | Montez en charge progressivement et évitez les raccourcisseurs |
Gardez-le à jour
- Documentez chaque sous-domaine et son rôle au même endroit.
- Vérifiez les enregistrements après toute migration DNS ou tout changement de registrar.
- Surveillez l'expiration des certificats des domaines de suivi.
- Retestez l'alignement après un changement de plateforme ou l'ajout d'un nouveau service d'envoi.
- Examinez les rapports DMARC pour repérer les sources dont l'alignement échoue.
Besoin d'un regard extérieur sur votre DNS ? Envoyez-nous votre domaine d'envoi et nous vérifierons les enregistrements Return-Path et de suivi.
Lectures complémentaires et sources
Questions fréquentes
Qu'est-ce que l'adresse Return-Path ?
C'est l'expéditeur de l'enveloppe, aussi appelé MAIL FROM ou Return-Path, vers lequel les rebonds sont envoyés. Elle est distincte de l'adresse From que les gens voient. SPF est vérifié par rapport au domaine de cette adresse d'enveloppe, et non par rapport à l'adresse From visible.
Pourquoi un Return-Path personnalisé est-il important ?
DMARC est validé lorsque SPF ou DKIM réussit et s'aligne sur le domaine From. Si le Return-Path utilise le domaine de votre plateforme, SPF réussit mais ne s'aligne pas sur votre domaine From. Un Return-Path personnalisé sur votre propre sous-domaine permet à SPF de s'aligner, ce qui offre à DMARC une seconde voie de réussite en plus de DKIM.
Ai-je besoin d'un Return-Path personnalisé si DKIM est aligné ?
DMARC n'exige qu'une seule réussite alignée, donc un DKIM aligné suffit. Un Return-Path personnalisé reste utile comme seconde couche, car il maintient la réussite de DMARC si une signature DKIM est altérée en transit et il garde les rebonds à votre marque.
Qu'est-ce qu'un domaine de suivi ?
C'est le domaine utilisé dans les liens réécrits et les pixels de suivi des ouvertures. Avec un domaine de suivi personnalisé, les liens pointent vers votre propre sous-domaine, par exemple links.example.com, au lieu d'un domaine partagé de la plateforme, ce qui inspire davantage confiance et sépare la réputation de vos liens de celle des autres expéditeurs.
Pourquoi le domaine de suivi nécessite-t-il HTTPS ?
Les navigateurs et les clients de messagerie avertissent ou bloquent les liens non sécurisés. Les liens qui commencent par http peuvent déclencher des avertissements et réduire le taux de clics, et certains scanners de sécurité les traitent avec méfiance. Assurez-vous que la plateforme émet et renouvelle un certificat pour votre sous-domaine de suivi.
Puis-je utiliser le même sous-domaine pour les rebonds et le suivi ?
Il vaut mieux ne pas le faire. Les deux rôles utilisent des types d'enregistrements différents et sont gérés par des systèmes différents. Utiliser des sous-domaines distincts évite les conflits, comme un CNAME qui entre en collision avec un enregistrement MX sur le même nom.
Pourquoi mon lien de suivi affiche-t-il un avertissement de certificat ?
Le certificat du sous-domaine de suivi n'a pas encore été émis, a expiré, ou le CNAME ne pointe pas là où la plateforme l'attend. Vérifiez l'enregistrement, attendez l'émission et confirmez que la plateforme affiche le domaine comme actif.
Un domaine de suivi personnalisé améliorera-t-il la délivrabilité ?
Il peut aider indirectement. Un domaine de liens de marque avec votre propre réputation évite de partager un domaine de liens avec des expéditeurs inconnus, et rend le message plus cohérent. Il ne compense pas une mauvaise qualité de liste ni des plaintes.
Puis-je désactiver le suivi des liens ?
Oui, dans la plupart des plateformes vous pouvez désactiver le suivi des clics et des ouvertures, message par message ou par défaut. Pour les messages sensibles comme les réinitialisations de mot de passe, il est courant de désactiver le suivi, car les liens réécrits peuvent troubler les utilisateurs et les outils de sécurité.