Il y a quelques jours, en lisant la newsletter Spam Resource d’Al Iverson, je suis tombé sur une info qui mérite qu’on s’y arrête : Spamhaus a publié une nouvelle version de ses lignes directrices délivrabilité pour les expéditeurs (les “Sender Guidelines”). Dont une phrase à lire deux fois :
“Starting in November 2026, we are gradually rolling out a requirement for every sending IP to have a valid HELO, a reverse DNS (PTR) record, and a matching A record.”
Traduction : à partir de novembre 2026, Spamhaus va progressivement exiger que chaque IP d’envoi ait un HELO valide, un reverse DNS (PTR) et un enregistrement A qui lui correspond. Une IP qui ne coche pas les cases risque de se retrouver sur les listes CSS ou XBL de Spamhaus.
Al Iverson le rappelle dans son article sur le sujet : “If your sending IP or domain lands on a Spamhaus list, you are going to have deliverability problems.” Les listes de Spamhaus sont utilisées par énormément de filtres anti-spam, c’est la blocklist la plus puissante.
Au moment où j’écris ces lignes (début novembre 2026), le déploiement commence à peine. Je vous propose donc de faire le point sur ce que Spamhaus va vérifier, sur qui est concerné, et sur la façon de contrôler vos IP.
C’est quoi, ce HELO ?
Petite pause “vulgarisation”. Quand un serveur envoie un email, il se connecte au serveur qui le reçoit et commence par se présenter avec la commande HELO (ou EHLO), suivie d’un nom. C’est son “bonjour, je suis mta.exemple.fr”.
Le reverse DNS (PTR) fait le chemin inverse : on part de l’adresse IP et on demande quel nom lui correspond. L’enregistrement A fait l’aller : on part du nom et on obtient l’IP. Quand les trois se répondent, la messagerie qui reçoit peut raisonnablement penser que le serveur est bien celui qu’il prétend être (on parle de FCrDNS, pour “forward-confirmed reverse DNS”).
Sur le fond, Spamhaus n’invente rien. Gmail et Yahoo demandent déjà un reverse DNS valide dans leurs exigences pour les expéditeurs depuis 2024, et Al Iverson met d’ailleurs ces guidelines en parallèle avec celles de Google, Yahoo et Microsoft. La différence, c’est qu’avec Spamhaus, l’enjeu devient de ne pas être listé.
Qu’est-ce que Spamhaus va vérifier exactement ?
Pour chaque IP d’envoi, trois choses :
- un PTR qui pointe vers un nom complet (du genre mta.exemple.fr)
- un enregistrement A qui fait résoudre ce nom vers la même IP
- un HELO qui résout lui aussi vers l’IP d’envoi, et qui reste le même d’un envoi à l’autre
Spamhaus précise aussi ce qui ne passe pas : un HELO “localhost”, un nom générique d’hébergeur ou de fournisseur d’accès, un nom qui pointe vers une infrastructure qui n’envoie pas d’emails, ou un HELO qui se fait passer pour Gmail ou Hotmail (oui, ça existe).
Côté recommandations, sans obligation : un HELO identique au PTR, et même une page web sur le domaine du HELO. Spamhaus écrit aussi qu’un PTR générique sur une IP dédiée peut nuire à la réputation. Sur une IP qui n’est qu’à vous, je vous conseille donc d’avoir un reverse DNS à votre marque (dans les faits, nous n’avons pas attendu Spamhaus pour le recommander)
Qui est concerné ?
Si vous avez des IP dédiées chez un ESP, c’est le plus souvent lui qui configure le PTR et le HELO. Vérifiez quand même à quel nom pointe votre PTR : s’il porte le nom de l’ESP (du genre server-192-0-2-10.esp.com) plutôt que celui de votre marque, c’est le moment de demander un changement.
Si vous envoyez sur des IP mutualisées, vous ne pouvez rien corriger vous-même. Rien ne vous empêche par contre de demander à votre ESP si ses IP sont prêtes. Spamhaus a d’ailleurs publié un document à part pour les ESP et les gros expéditeurs, qui parle de prévention du subscription bombing, de suivi de la conformité des comptes clients, et de ce qu’il faut faire quand un client dépasse les seuils de bounces, de plaintes ou de spamtraps.
Si vous avez un serveur maison, un relais applicatif ou un outil métier qui envoie en direct, c’est là que je regarderais en premier. Des serveurs installés il y a des années, un HELO laissé à sa valeur par défaut (localhost, un nom interne…), un PTR que personne n’a jamais demandé à l’hébergeur… Ça vaut la peine d’être analysé.
Avoir un PTR, ça suffit ?
Pas toujours. Cet automne, j’ai vu Yahoo refuser une bonne partie des envois d’un client grand compte pendant près de deux semaines, avec ce message : 450 4.7.25 Forward-confirmed reverse DNS failed. Pourtant, ses PTR existaient et ils étaient justes. Le souci venait de la zone DNS inverse, hébergée chez un opérateur, qui répondait mal à certains résolveurs.
Le PTR doit donc exister, être juste, et répondre correctement quel que soit le résolveur qui l’interroge.
Comment vérifier vos IP ?
- Le HELO checker de Spamhaus, directement sur la page des Sender Guidelines : vous saisissez votre IP d’envoi et il vous dit ce qu’il voit. Il existe aussi une version par email, à helocheck@abuseat.org. Spamhaus prévient que les résultats ne sont pas disponibles pour toutes les IP.
- Les en-têtes d’un email reçu : dans la ligne “Received” ajoutée par la messagerie qui a reçu le message, vous trouverez quelque chose comme
from mta.exemple.fr (mta.exemple.fr [192.0.2.10]). Le premier nom, c’est le HELO. Celui entre parenthèses, c’est le reverse DNS vu par le destinataire. - Un outil de vérification DNS pour le PTR et l’enregistrement A, comme pour n’importe quel autre enregistrement.
Chez Badsender, ce contrôle HELO, PTR et A fait partie de nos audits délivrabilité depuis… pas mal de temps 😉
Et le reste des Sender Guidelines ?
Le HELO n’est qu’une partie de la page. On y retrouve aussi, en vrac : l’authentification (SPF, DKIM avec une clé de 1024 bits minimum et 2048 recommandés, DMARC sans rester indéfiniment en p=none), un taux de bounce sous les 5 %, une désinscription traitée sous 2 jours, pas d’envoi depuis un domaine de moins de 30 jours, un WHOIS non masqué sur le domaine racine, et l’interdiction des services de warmup qui génèrent de l’engagement artificiel.
Le point qui fera sans doute le plus réagir en France : Spamhaus exige un opt-in confirmé (le fameux double opt-in) pour tout envoi de masse.
Alors, on panique ?
Pas de quoi, à mon avis. Si vous envoyez avec une solution du marché, il y a de bonnes chances qu’elle prenne ces recommandations en compte de son côté. Et sur le fond, Spamhaus reprend ce que les grandes messageries (les MBP, pour “mailbox providers”) et les experts de la délivrabilité recommandent depuis longtemps. Al Iverson parle d’ailleurs d’un “blueprint for what the anti-spam community considers responsible sending”.
Le déploiement est progressif, et je ne peux pas vous dire aujourd’hui à quel rythme Spamhaus va serrer la vis. Mais vérifier trois enregistrements DNS et un HELO ne prend pas beaucoup de temps. Ce serait dommage de le découvrir dans un rapport de blocklist 😉
Sources et ressources
- Spamhaus, Sender Guidelines (version annonçant l’exigence de novembre 2026)
- Spamhaus, document pour les ESP et les gros expéditeurs [lien à ajouter]
- Al Iverson, Spam Resource, Spamhaus releases sender guidelines (28 octobre 2026)
- Google, Email sender guidelines
- Yahoo, Sender Best Practices
- Badsender, Tout savoir sur le reverse DNS
Laisser un commentaire