Emails Shopify en spam : authentifier votre domaine

Depuis février 2024, Gmail et Yahoo demandent aux expéditeurs de prouver leur identité avant de leur ouvrir la boîte de réception, et Microsoft a suivi en mai 2025 pour Outlook et Hotmail. Pour une boutique en ligne, la conséquence est directe : un email envoyé au nom de votre domaine sans preuve technique est désormais suspect par défaut. Et rien ne vous prévient : l'administration Shopify affiche la commande, le paiement est passé, la notification est partie. Une confirmation de commande dans les spams ne se voit que du côté du client, qui finit par écrire ou appeler pour savoir si son achat a bien été enregistré. Une boutique de cosmétiques que nous accompagnons en a fait l'expérience : quelques semaines après le durcissement des règles de Gmail, environ 30 % de ses confirmations de commande tombaient dans les spams, et son service client passait ses matinées à rassurer des clientes inquiètes. Ces emails Shopify en spam ne venaient ni d'un bug ni d'un contenu douteux, mais d'un domaine qui n'avait jamais été authentifié. La correction tient pourtant en quelques enregistrements DNS bien posés : SPF, DKIM et DMARC. En tant qu'agence spécialisée Shopify, nous contrôlons ce point sur chaque boutique que nous reprenons, parce qu'il conditionne à la fois les emails de commande et les newsletters. Voici pourquoi les messages d'une boutique finissent en indésirables, deux cas que nous avons corrigés, puis la configuration pas à pas et la surveillance à prévoir ensuite.

Pourquoi les emails de votre boutique Shopify finissent-ils en spam ?

Pour trier les messages, une messagerie comme Gmail ne se contente plus de lire le contenu : elle vérifie que l'expéditeur affiché a le droit d'écrire au nom de son domaine. Si votre adresse est contact@votremarque.fr mais qu'aucun enregistrement ne prouve que Shopify est autorisé à envoyer pour votremarque.fr, le message ressemble trait pour trait à une usurpation. Les règles publiées par Gmail et Yahoo en 2024 ont posé le cadre. Tout expéditeur doit authentifier ses envois. Au-delà d'environ 5 000 messages par jour vers des adresses Gmail, il faut en plus SPF, DKIM et DMARC et un lien de désinscription en un clic sur les emails marketing, le tout avec un taux de plaintes pour spam sous 0,3 %. Ce statut d'expéditeur en masse est définitif une fois atteint, et il vaut pour tous les messages du domaine, confirmations de commande comprises. Depuis novembre 2025, Gmail rejette d'ailleurs plus franchement les envois non conformes. Shopify a pris les devants : sans domaine authentifié, votre adresse d'expédition est remplacée par une adresse technique en shopifyemail.com, que vos clients ne reconnaissent pas. Le second piège tient à la réputation partagée. Votre domaine envoie rarement depuis un seul outil : Shopify pour les notifications, Shopify Email ou Klaviyo pour la newsletter, Google Workspace pour la messagerie de l'équipe, parfois une application d'avis clients. Chacun écrit en votre nom, et un seul outil mal configuré ou une campagne mal ciblée abîme la réputation de tous les autres.

30 % de confirmations de commande en spam : le cas d'une boutique de cosmétiques

Le cas qui nous a convaincus de vérifier ce point partout est celui d'une boutique de cosmétiques naturels, quelques centaines de commandes par semaine, avec une clientèle surtout sur Gmail. Au printemps 2024, son service client voit monter un message qu'il connaissait peu : "Ma commande est-elle bien passée ?". En un mois, ces demandes ont à peu près doublé. Une confirmation qui n'arrive pas ne disparaît pas, elle se transforme en contact au service client, par email, par téléphone ou dans la messagerie instantanée de la boutique. Nous avons passé des commandes test vers une dizaine d'adresses réparties entre Gmail, Outlook, Yahoo et Orange : environ trois confirmations sur dix arrivaient dans les spams, presque toutes chez Gmail. Le domaine avait été acheté chez un registrar des années plus tôt, relié à Shopify pour le site, mais jamais authentifié pour les emails. Aucun DKIM, aucun DMARC, et un vieil enregistrement SPF qui pointait encore vers l'hébergeur de l'ancien site. Shopify avait donc remplacé l'expéditeur par son adresse technique : les clientes recevaient un email d'un inconnu, en signalaient une partie comme indésirable, et Gmail en tirait ses conclusions. La correction a tenu en une matinée : authentification du domaine dans Shopify, ajout des enregistrements chez le registrar, publication d'un DMARC en mode observation, nettoyage du vieux SPF. Deux jours plus tard, les confirmations repartaient avec l'adresse de la marque et arrivaient en boîte de réception partout. Les demandes au service client sont revenues à leur niveau habituel en trois semaines environ.

Newsletter : un taux d'ouverture divisé par deux

Le second cas concerne une marque de mode, environ 25 000 abonnés, dont la newsletter hebdomadaire partait d'un outil d'emailing tiers configuré des années plus tôt. L'adresse d'expédition était bien celle de la marque, mais l'outil signait les messages avec son propre domaine : pour DMARC, rien ne prouvait que la marque avait autorisé ces envois. Avec les nouvelles règles, la délivrabilité de la newsletter s'est dégradée en deux mois : le taux d'ouverture est passé de 38 % à 19 %, sans changement d'objet, de fréquence ni de contenu. Ce chiffre appelle une précaution. Depuis 2021, la protection de la confidentialité d'Apple Mail télécharge en arrière-plan les images des emails, y compris le pixel de suivi, si bien qu'un message reçu sur un iPhone peut compter comme ouvert sans avoir été lu. Les 38 % de départ étaient donc flatteurs, et nous regardons plutôt les clics et les ventes par envoi, qui avaient eux aussi fortement reculé. Nous avons repris les choses dans l'ordre. D'abord l'authentification : un sous-domaine d'envoi dédié, signé en DKIM au nom de la marque, aligné avec DMARC, et la désinscription en un clic activée. Ensuite le nettoyage de la liste : retrait des adresses en erreur et des contacts sans aucun clic depuis douze mois, soit près de 7 000 contacts. Deux mois plus tard, le taux d'ouverture était remonté autour de 34 %, en partie mécaniquement puisque la liste était plus courte, et surtout les clics avaient retrouvé leur niveau d'avant. Shopify Email évite d'ailleurs une partie du problème, puisqu'il s'appuie sur le domaine authentifié dans Shopify.

Comment configurer SPF, DKIM et DMARC sur Shopify ?

Chaque enregistrement se résume en une phrase. SPF déclare quels serveurs ont le droit d'expédier du courrier au nom de votre domaine. DKIM ajoute à chaque message une signature qui prouve qu'il vient bien de votre domaine et qu'il n'a pas été modifié en route. DMARC indique aux messageries quoi faire d'un message qui échoue à ces contrôles, et à quelle adresse vous envoyer un rapport. Pour authentifier le domaine de votre boutique Shopify, direction Paramètres, puis Notifications, section de l'adresse email de l'expéditeur, où un lien lance l'authentification. Si le domaine a été acheté via Shopify, SPF, DKIM et DMARC sont configurés automatiquement. Sinon, Shopify affiche une série d'enregistrements CNAME, dont le nombre varie d'une boutique à l'autre, à recopier tous chez votre registrar, OVH, Gandi ou IONOS par exemple. Ces CNAME gèrent à la fois le DKIM Shopify et le SPF de l'adresse d'expédition : inutile d'ajouter Shopify à votre enregistrement SPF existant. Il faut en revanche publier un enregistrement TXT nommé _dmarc, avec au minimum la valeur v=DMARC1; p=none. La validation peut prendre jusqu'à 48 heures. Prudence avec le SPF quand plusieurs outils envoient : un domaine ne doit avoir qu'un seul enregistrement SPF, et sa vérification est plafonnée à dix requêtes DNS. Chaque outil ajouté en consomme, et au-delà, le SPF échoue sans prévenir personne. Enfin, DMARC se déploie par étapes : p=none pour observer quelques semaines, puis quarantine, puis reject, une fois que chaque outil légitime passe les contrôles. Passer directement en reject, c'est risquer de bloquer ses propres factures.

Comment vérifier que vos emails arrivent en boîte de réception ?

Une configuration propre se vérifie, puis se surveille. Le premier test est à la portée de tous : passez une commande test, ouvrez la confirmation dans une boîte Gmail et affichez le message d'origine. Gmail y indique en clair le résultat des trois contrôles, et les trois lignes doivent afficher PASS. Faites de même vers Outlook et Orange, très répandus chez les clients français. Le deuxième outil est Google Postmaster Tools, gratuit, qui s'active en ajoutant un enregistrement DNS de vérification. Dès que le volume d'envoi est suffisant, il affiche le taux de plaintes pour spam, l'état de l'authentification et la conformité aux règles de Gmail pour les expéditeurs : le seuil à ne jamais atteindre est 0,3 %, et la cible reste sous 0,1 %. Le troisième, ce sont les rapports DMARC. Une fois une adresse de réception indiquée dans l'enregistrement, les grandes messageries envoient chaque jour un fichier qui liste tous les serveurs ayant écrit en votre nom, conformes ou non. Illisible à l'état brut, il devient parlant avec un outil de lecture : c'est là qu'apparaît l'application oubliée qui envoie encore des emails depuis votre domaine. Refaites ce contrôle à chaque nouvel outil installé et avant chaque temps fort commercial. Nous le prévoyons dans nos offres de création de boutique Shopify, et dans un accompagnement technique sur mesure pour une boutique existante.