Spamhaus exige le double opt-in pour rester hors de ses listes de blocage

Spamhaus a publié le 21 octobre 2026 ses « Sender Guidelines », un référentiel unique des règles à suivre pour ne pas figurer sur ses listes de blocage d’adresses IP et de domaines. Le texte place la confirmation de l’inscription par e-mail, le double opt-in, parmi cinq exigences minimales qui valent pour tous les expéditeurs, du serveur de messagerie d’une petite entreprise aux grandes plateformes d’envoi.

Le billet de lancement fixe aussi une échéance : Spamhaus va progressivement exiger, « à partir de novembre 2026 » et « sur plusieurs mois », un nom HELO valide, un enregistrement DNS inverse (PTR) et un enregistrement A correspondant pour chaque adresse IP d’envoi (traduit de l’anglais).

Six thèmes et une page pour les plateformes

Spamhaus, fondée à Londres en 1998 par Steve Linford et désormais basée en Andorre, est une organisation à but non lucratif. Elle publie des listes de réputation que les serveurs de messagerie consultent pour filtrer le courrier, et revendique 4,5 milliards de boîtes aux lettres protégées. Selon son billet, la question qu’on lui pose le plus souvent porte sur les moyens d’éviter ses listes, et ses consignes étaient jusqu’ici dispersées entre FAQ, billets de blog et tickets d’assistance.

Le nouveau document couvre six thèmes : exigences minimales, infrastructure et DNS, consentement et hygiène des listes, authentification, pratiques d’envoi, réputation des IP et des domaines. Une page séparée s’adresse aux plateformes d’e-mailing (ESP) et aux gros expéditeurs. Spamhaus remercie pour leur relecture Laura Atkins, Jennifer Nespola Lantz et Matthew Vernhout.

Cinq exigences minimales

Le premier point demande une inscription confirmée pour chaque abonné, et la section sur le consentement l’impose à tout envoi en nombre. La personne clique sur un lien reçu dans un e-mail de confirmation ; sans ce clic, l’adresse ne doit recevoir aucun envoi. Selon Spamhaus, les fichiers achetés, loués ou collectés automatiquement sont la source la plus courante des envois vers des pièges à spam. Tomber dans ces pièges est « l’une des voies les plus rapides vers une inscription » sur ses listes (traduit de l’anglais).

Les quatre autres points relèvent de la configuration technique. Chaque IP d’envoi doit avoir un DNS inverse qui pointe vers un nom de domaine complet, et ce nom doit renvoyer à son tour vers la même IP. Le nom que le serveur annonce dans la commande HELO ou EHLO doit pointer vers l’IP de connexion et rester le même d’une connexion à l’autre. En IPv6, l’adresse doit appartenir à un bloc d’au moins /64 doté d’un DNS inverse.

Chaque domaine d’envoi doit enfin publier des enregistrements SPF et DMARC et signer tous ses messages avec DKIM, le domaine de signature étant aligné sur celui de l’adresse d’expédition visible. Ces trois enregistrements se publient dans la zone DNS du domaine, comme l’explique un guide sur la mise en ligne d’un site, du nom de domaine à l’adresse e-mail professionnelle.

Le contrôle DNS appliqué à partir de novembre

Selon le billet, le DNS est, avec l’absence de consentement, l’une des deux causes les plus fréquentes d’inscription sur les listes de Spamhaus. Les cas typiques sont un HELO invalide, un DNS inverse absent ou aucun enregistrement A correspondant. Un serveur mal configuré peut, écrit l’organisation, passer facilement pour une machine compromise ou un spammeur.

La page des règles détaille les défauts visés : valeurs par défaut comme « localhost », noms génériques attribués par l’hébergeur, noms HELO qui changent d’une connexion à l’autre. Les manquements exposent l’IP à une inscription dans deux zones de Spamhaus, la CSS pour les IP qui envoient du spam et la XBL pour les machines compromises.

Un vérificateur en ligne, publié avec les règles, compare la configuration d’une IP d’envoi aux exigences. Ses résultats ne couvrent pas toutes les IP et peuvent ne pas refléter les modifications récentes, prévient Spamhaus.

Des seuils chiffrés pour les envois

Le taux de rebond global doit rester sous 5 %. Une clé DKIM doit compter au moins 1 024 bits (2 048 recommandés), et un enregistrement SPF est limité à dix requêtes DNS. Les expéditeurs commerciaux en nombre doivent intégrer l’en-tête de désabonnement en un clic de la RFC 8058. Chaque e-mail commercial doit afficher un lien de désinscription visible, et les demandes sont à traiter sous deux jours.

Plusieurs règles portent sur le démarrage d’une nouvelle adresse IP ou d’un nouveau domaine. Les services de « warm-up » qui simulent des ouvertures, des clics ou des réponses entraînent l’inscription de l’IP ou du domaine, et l’infrastructure qui les fait tourner sera elle-même inscrite comme service facilitant le spam. Un domaine enregistré depuis moins de 24 heures figure sur la liste ZRD (Zero Reputation Domains) de Spamhaus, et un domaine qui envoie du courrier moins de 30 jours après son enregistrement est traité avec suspicion.

La page destinée aux plateformes d’e-mailing leur demande de vérifier régulièrement que leurs clients utilisent l’inscription confirmée. Au-delà de 5 % de rebonds ou de 0,3 % de plaintes, la plateforme doit ralentir ou examiner le compte client concerné. Ses conditions d’utilisation doivent interdire l’achat, la location ou la collecte de listes.

Le double opt-in face à la CNIL, Gmail et Yahoo

Spamhaus est une organisation privée, et ses règles n’ont pas valeur de loi. Leur poids tient à l’usage que les fournisseurs de messagerie font de ses listes. Dans un article du 11 août 2025, Al Iverson, auteur du blog spécialisé Spam Resource, citait Apple iCloud, Microsoft, Yahoo et Proofpoint parmi les fournisseurs qui rejettent le courrier d’une source inscrite chez Spamhaus, ainsi qu’Orange et SFR en France.

La CNIL demande, pour la prospection commerciale des particuliers par e-mail, un consentement préalable donné par une action positive, par exemple une case à cocher non pré-cochée. Sa page sur le sujet, datée du 10 juin 2026, ne mentionne aucune confirmation par e-mail. Pour les professionnels, une information et un droit d’opposition suffisent lorsque le message a un rapport avec leur métier. Un guide sur le GTM engineering résume les règles de la CNIL et de l’APD belge pour la prospection B2B.

Le double opt-in reste une option en droit français, et Spamhaus en fait une condition pour éviter ses listes. Ses autres règles recoupent largement celles que Gmail et Yahoo appliquent depuis février 2024, avec des seuils différents.

Gmail et Yahoo acceptent une politique DMARC réglée sur « none ». Spamhaus exige une politique définie et déconseille de la laisser durablement sur « none ».

Les limites du texte

Spamhaus écrit que « ces consignes ne sont pas de nouvelles règles » (traduit de l’anglais). Elles reprennent, selon elle, les RFC de l’IETF, les bonnes pratiques des fournisseurs de messagerie et les usages des expéditeurs sérieux, avec un accent supplémentaire sur le DNS. Seul le contrôle DNS de novembre est daté, et le billet n’en précise ni les étapes ni le rythme.

Le document ne dit pas à partir de quel niveau un signal entraîne une inscription, pas même pour le plafond de 5 % de rebonds. Spamhaus explique croiser plusieurs signaux avant d’attribuer une réputation : un signal négatif fort peut l’emporter sur l’absence de signaux positifs.

Le 22 octobre, Steve Atkins, associé du cabinet américain de conseil en délivrabilité Word to the Wise, a jugé le texte « très clair, très précis et globalement très bon » sur le blog du cabinet (traduit de l’anglais). Il l’a fondé en 2001 avec Laura Atkins, l’une des trois personnes que Spamhaus remercie pour leur relecture.

Notre analyse

Pour les expéditeurs qui appliquaient déjà les exigences de Gmail et de Yahoo, la publication change peu de choses sur la technique. L’écart porte sur le double opt-in, que les deux fournisseurs conseillent sans l’exiger. Le texte rassemble des règles jusqu’ici éparpillées, et le vérificateur de réputation de Spamhaus donne les mêmes consignes aux adresses déjà inscrites.

Le contrôle DNS de novembre concerne d’abord les machines qui envoient elles-mêmes leur courrier : serveurs de messagerie internes, serveurs virtuels, sites et applications qui expédient leurs e-mails transactionnels depuis leur propre hébergement. Les clients des plateformes d’e-mailing envoient depuis l’infrastructure de celles-ci, et la page ESP de Spamhaus confie à ces plateformes la configuration du HELO et du DNS inverse.

Le double opt-in a une portée plus large : il concerne la constitution des listes, quel que soit l’outil d’envoi. Il touche donc la newsletter, que le guide complet du marketing organique range avec le site parmi les canaux qu’une entreprise possède en propre.

Restent inconnus le nombre d’adresses que le contrôle DNS fera inscrire et la façon dont Spamhaus s’assurera que les plateformes vérifient leurs clients. Le M3AAWG, groupe de travail international contre les abus de messagerie, tient sa 68e réunion générale à Paris du 26 au 29 octobre, quelques jours avant le début du déploiement annoncé par Spamhaus.

Sources

• One clear set of rules: the Spamhaus Sender Guidelines, Spamhaus, 21 octobre 2026
• Sender Guidelines, Spamhaus, 21 octobre 2026
• ESP & Large Sender Guidelines, Spamhaus, 21 octobre 2026
• Spamhaus’ Sender Guidelines, Word to the Wise, 22 octobre 2026
• Does Spamhaus matter today?, Spam Resource (Al Iverson), 11 août 2025
• La prospection commerciale par courrier électronique, SMS-MMS et automate d’appel, CNIL, 10 juin 2026
• Consignes pour les expéditeurs de messages, Google, consultée le 23 octobre 2026
• Sender Best Practices, Yahoo Sender Hub, consultée le 23 octobre 2026

Image d’en-tête : schéma MACCUS, données Spamhaus (Sender Guidelines, 21 octobre 2026)