Les pièges à spam ne se chassent pas

par | Sep 7, 2026 | Emailing

Un jour, vos messages cessent d’arriver. Vous cherchez, et vous découvrez que votre adresse IP est listée par Spamhaus. Le motif tient en deux mots : piège à spam.

La réaction immédiate est toujours la même : identifier les pièges pour les retirer de la liste.

C’est exactement ce que Spamhaus vous demande de ne pas faire.

Le piège n’est pas le problème

La position de l’organisme est publiée, et elle est sans ambiguïté : il faut « view spamtraps as proof of a data collection or hygiene issue and not be misled into conducting a hunt for spamtraps ».

Le raisonnement est mécanique. Une adresse piège n’a jamais été communiquée à personne : elle n’apparaît sur aucun formulaire, ne s’inscrit à rien, ne clique nulle part. Si elle figure dans votre base, elle n’a pu y entrer que d’une seule façon, et Spamhaus la nomme : « the sender is either scraping addresses from the web or is buying lists from someone else who is scraping addresses ».

Le piège n’est donc pas une malchance. C’est un révélateur, et il révèle une chose précise : une adresse est entrée dans votre base sans que personne ne l’y mette.

Retirer les pièges détectés ne corrige rien. Cela supprime le témoin en laissant la porte ouverte, et la porte se referme rarement toute seule.

Ce que sont réellement les quatre listes

Le mot « blacklist » recouvre des mécanismes très différents, et savoir lequel vous a listé oriente la correction.

Le SBL vise des adresses IP pour du spam en éventail, l’hébergement de ressources utilisées par des spammeurs, les services qui soutiennent le spam, et les menaces de sécurité. C’est la liste la plus éditoriale des quatre.

Le XBL est entièrement automatique. Il liste une adresse quand Spamhaus dispose d’éléments convaincants indiquant que la machine, ou un appareil derrière elle, est compromise ou infectée. Un XBL n’accuse pas votre marketing : il signale une machine à nettoyer.

Le PBL liste des plages qui ne devraient pas envoyer directement vers Internet, typiquement les plages résidentielles et dynamiques. Il est alimenté par Spamhaus et par les opérateurs eux-mêmes. Le retrait d’une adresse individuelle exige trois conditions simultanées : un serveur de messagerie actif sur cette adresse, un DNS direct et inverse correctement configuré, et le port 25 sortant fermé pour tout autre usage.

Le DBL porte sur les domaines. Ses critères ne sont pas divulgués, il est hautement automatisé, et la plupart des inscriptions expirent d’elles-mêmes dès que l’activité qui les a provoquées cesse.

Un point vaut pour les quatre, et il faut le rappeler à chaque fois : « There is never any charge or fee associated with removing any Spamhaus listing. Any offer from anyone to remove any Spamhaus listing for a fee is a scam. »

Les rebonds, et le seuil qui alerte

Les pièges sont l’accident visible. Les rebonds sont le signal continu, et ils se lisent avant l’accident.

Le M3AAWG recommande de supprimer les adresses qui échouent de manière répétée, avec un critère chiffré : au moins deux fois, sur deux semaines ou plus, sur des campagnes consécutives. Dans un document plus ancien consacré au traitement des plaintes, l’organisme indique qu’un taux d’échec permanent supérieur à 5 % signale un problème de constitution de liste.

Cinq pour cent d’adresses qui n’existent pas, c’est une base qui n’a pas été collectée là où vous croyez.

Notez au passage un signal qui s’éteint : à compter du 22 juillet 2026, Microsoft ne publie plus les comptages de touches de pièges dans son service de données réseau. L’expéditeur honnête y perd un indicateur, et devra s’en remettre à ses propres rebonds.

La prévention, telle que les organismes la décrivent

Le M3AAWG est explicite sur le moment où le problème se règle : « The best practice is to validate the email address as it is entered, and to prompt the subscriber to re-enter their address if validation fails. »

À la saisie. Pas au moment de l’envoi, pas six mois plus tard lors d’un grand nettoyage.

Spamhaus va plus loin, et le passage mérite d’être cité par honnêteté, car il contrarie une industrie entière, la nôtre comprise : « There is no need to pay for expensive third-party services to clean data because the initial data is already clean », dès lors que la collecte se fait en double opt-in et que les rebonds sont retirés rapidement.

La phrase est juste, et elle a une portée précise : elle vise les données que vous avez collectées vous-même. Nettoyer à répétition un fichier que vous auriez dû collecter correctement est une dépense qui remplace un travail.

La vérification garde son domaine propre, et il est double. À la saisie d’abord, pour éviter la faute de frappe qui crée une adresse morte ou, pire, qui atterrit chez quelqu’un d’autre. Sur des données que vous n’avez pas collectées ensuite, par exemple des contacts professionnels issus d’une base : là, aucune règle de collecte interne ne vous protège, et l’existence réelle de l’adresse doit être établie avant l’envoi.

C’est ce que fait la vérification de Sestaro : contrôle de syntaxe et de domaine, sonde SMTP en direct pour confirmer l’existence de la boîte, second avis depuis une autre adresse IP pour les cas indécis, et remboursement du crédit quand l’adresse s’avère morte.

Ce que vous faites demain matin

Sortez votre taux d’échec permanent des six derniers envois. S’il dépasse 5 %, vous n’avez pas un problème de nettoyage, vous avez un problème d’origine des adresses, et il faut remonter à la source de la collecte.

Vérifiez ensuite votre règle de suppression : les adresses en échec permanent sortent-elles automatiquement, ou attendent-elles une décision humaine qui ne vient jamais ?

Enfin, cherchez d’où viennent les segments les plus anciens de votre base. Ceux dont personne ne sait plus dire l’origine sont ceux qui portent les pièges, et ce sont aussi ceux que la règle des trois ans vous impose d’avoir supprimés depuis longtemps.

Dans presque tous les cas, la conformité et la délivrabilité vous demandent la même chose. C’est assez rare pour qu’on cesse de les traiter dans deux réunions séparées.

Sources

LaFactory travaille l’emailing sur pièces : en-têtes, enregistrements DNS, journaux de rejet. Aucune promesse de taux d’ouverture, jamais. Contactez-nous pour un audit de délivrabilité.