Imaginons Karim, plombier à Venelles. Un client remplit le formulaire de devis sur son site un lundi soir. Le message n’arrive jamais dans sa boîte. Le client, lui, ne reçoit pas non plus l’accusé de réception automatique : il le retrouvera trois semaines plus tard, dans ses courriers indésirables. Entre-temps, il a signé avec un concurrent.

Ce scénario est fréquent, et il ne vient presque jamais du client ni de sa messagerie. Le problème se situe le plus souvent dans la façon dont votre site WordPress envoie ses e-mails. Dans cet article, vous allez comprendre pourquoi ces messages passent pour suspects, ce que Gmail, Yahoo et Outlook demandent désormais aux expéditeurs, et comment vérifier vous-même votre configuration en un quart d’heure.

Votre site envoie des e-mails « suspects » sans le savoir

Par défaut, WordPress envoie ses e-mails (notifications de formulaire, confirmations de commande, mots de passe oubliés) avec la fonction d’envoi du serveur qui héberge le site. C’est pratique, mais c’est aussi le point faible.

Concrètement, votre site écrit « de la part de contact@votre-entreprise.fr », alors que le message part d’un serveur d’hébergement qui n’a jamais été déclaré comme autorisé à parler au nom de votre domaine. Pour Gmail ou Outlook, c’est exactement le comportement d’un usurpateur. Résultat : le message est classé en spam, ou tout simplement refusé, sans que personne ne soit prévenu.

Deux situations aggravent souvent les choses :

• le formulaire utilise l’adresse du visiteur comme expéditeur (par exemple jean.dupont@gmail.com), ce que Gmail considère comme une usurpation de sa propre adresse ;
• le site a changé d’hébergeur ou de messagerie, mais la configuration du domaine n’a jamais été mise à jour.

Ce que Gmail, Yahoo et Outlook exigent désormais

Depuis 2024, Gmail et Yahoo ont durci leurs règles pour les expéditeurs, et Microsoft a suivi en 2025 pour Outlook. Les exigences les plus strictes visent les gros volumes d’envoi, mais Google demande à tous les expéditeurs, même modestes, d’authentifier leurs e-mails. Trois enregistrements, placés dans la zone DNS de votre nom de domaine, font ce travail :

• SPF : la liste des serveurs autorisés à envoyer des e-mails pour votre domaine. C’est la liste des invités à l’entrée.
• DKIM : une signature numérique ajoutée à chaque message. Elle prouve qu’il n’a pas été modifié en route.
• DMARC : la consigne donnée aux messageries quand un e-mail échoue aux deux contrôles précédents (le laisser passer, le mettre en quarantaine ou le rejeter), avec la possibilité de recevoir des rapports.

Si l’un de ces éléments manque ou ne correspond pas au serveur qui envoie réellement vos messages, vos e-mails partent avec un handicap. Et un devis n’a pas besoin d’arriver en retard pour être perdu : il suffit qu’il arrive au mauvais endroit.

La solution : faire partir vos e-mails par la bonne porte

La méthode la plus fiable consiste à ne plus laisser le serveur du site envoyer seul ses messages, mais à les faire passer par un service d’envoi authentifié (SMTP). Ce peut être la messagerie que vous utilisez déjà (Microsoft 365, Google Workspace, votre hébergeur de messagerie) ou un service spécialisé dans l’envoi d’e-mails transactionnels.

Sur WordPress, une extension comme FluentSMTP, gratuite, s’en charge très bien. Elle relie votre site à ce service, permet d’envoyer un e-mail de test et garde un journal de tous les messages envoyés. Ce journal est précieux : le jour où un client affirme n’avoir rien reçu, vous savez immédiatement si le message est parti.

Trois réglages font la différence :

• l’expéditeur est toujours une adresse de votre domaine (par exemple formulaire@votre-entreprise.fr) ;
• l’adresse du visiteur est placée en « Répondre à » : vous cliquez sur Répondre, et c’est bien lui qui reçoit votre réponse ;
• le service d’envoi est déclaré dans votre SPF et signe vos messages avec DKIM.

Vérifiez vous-même en 15 minutes : la checklist

Pas besoin d’être technicien pour savoir où vous en êtes. Voici le test que nous conseillons de faire au moins une fois par trimestre :

• Remplissez votre propre formulaire de contact avec une adresse Gmail, puis avec une adresse Outlook ou Hotmail.
• Vérifiez que la notification arrive bien chez vous, et que l’accusé de réception arrive dans la boîte de réception du « client », pas dans les indésirables.
• Dans Gmail, ouvrez le message, menu « ⋮ » puis « Afficher l’original » : les lignes SPF, DKIM et DMARC doivent indiquer PASS.
• Regardez l’adresse d’expéditeur : elle doit appartenir à votre domaine, jamais à celle du visiteur.
• Vérifiez que votre domaine n’a qu’un seul enregistrement SPF (deux enregistrements SPF le rendent invalide).
• Assurez-vous que les messages du formulaire sont aussi enregistrés dans l’administration de WordPress : si un e-mail se perd, la demande, elle, ne se perd pas.

Si l’une de ces cases reste vide, ce n’est pas grave en soi : c’est simplement le signe qu’il faut corriger la configuration avant que cela ne vous coûte un client.

Les erreurs qui reviennent le plus souvent

Sur les sites de commerçants, d’artisans et d’associations, on retrouve souvent les mêmes causes :

• un formulaire installé il y a des années et jamais testé depuis ;
• un changement d’hébergeur ou de messagerie sans mise à jour du SPF ;
• un DMARC réglé trop sévèrement avant que SPF et DKIM soient corrects, ce qui fait rejeter vos propres messages ;
• des notifications envoyées vers une ancienne adresse que plus personne ne consulte ;
• une protection anti-spam absente, qui laisse les robots inonder la boîte et noyer les vraies demandes.

Pour aller plus loin sur le formulaire lui-même, notre article Créer un formulaire de contact efficace sur WordPress détaille les bonnes pratiques. Et si vous envoyez aussi des e-mails commerciaux, lisez ce que le RGPD autorise vraiment en prospection par e-mail.

Et pour Karim ?

Reprenons notre plombier. Une fois son site relié à sa messagerie professionnelle par SMTP, avec SPF, DKIM et DMARC correctement déclarés, ses notifications arrivent dans sa boîte et ses accusés de réception chez ses clients. Il dispose d’un journal d’envoi, et chaque demande est aussi conservée dans WordPress. Rien de spectaculaire : juste la certitude qu’aucune demande ne passe plus à la trappe.

À vous de jouer

Quand avez-vous testé votre formulaire de contact pour la dernière fois, en vous mettant à la place d’un client ? Faites l’essai aujourd’hui, et dites-nous ce que vous avez trouvé.

Si le résultat vous inquiète, ou si les mots SPF et DKIM vous donnent le tournis, l’équipe Digisense, basée à Venelles près d’Aix-en-Provence, peut vérifier et corriger la configuration d’envoi de votre site WordPress. Contactez-nous pour en parler.