Un filtre anti-spam comme SpamAssassin ne décide pas au hasard. Il fait passer chaque email à travers des dizaines de règles : présence d'une authentification, qualité du code HTML, vocabulaire employé, structure des liens, réputation du domaine d'envoi. Chaque règle déclenchée ajoute ou retranche un nombre de points. La somme de tous ces points forme le spam score.
Ce score est une mesure de probabilité, pas un verdict moral. Un email parfaitement légitime peut grimper s'il accumule des maladresses (objet tout en majuscules, image unique sans texte, lien raccourci douteux), tandis qu'un message sobre et bien authentifié reste bas. L'objectif du praticien est donc de comprendre quelles règles il déclenche et de les neutraliser une à une.
Dans la configuration par défaut de SpamAssassin, le seuil de bascule est souvent placé à 5 points : en dessous, l'email passe ; au-dessus, il est marqué comme spam. En réalité, beaucoup de serveurs ajustent ce seuil, et chaque fournisseur de messagerie a sa propre logique. Le bon réflexe est de viser le score le plus proche de zéro possible plutôt que de se contenter de rester sous la barre.
Plusieurs familles de signaux contribuent au score, avec des poids différents.
Le contenu. Un objet en majuscules, une avalanche de points d'exclamation, un vocabulaire promotionnel agressif (gains faciles, urgence factice, gratuité tapageuse) ajoutent des points. Aucun mot ne condamne à lui seul, c'est l'accumulation qui compte.
Le ratio texte sur image. Un email composé d'une seule grande image sans texte est un grand classique du spam. Les filtres préfèrent un message qui contient assez de texte réel pour être analysé.
La structure technique. Code HTML malformé, liens masqués, domaine d'envoi récent ou à mauvaise réputation, absence de lien de désinscription : autant de signaux pénalisants.
L'authentification est le levier le plus puissant pour faire baisser un spam score. Trois protocoles travaillent ensemble : SPF indique quels serveurs ont le droit d'envoyer en votre nom, DKIM appose une signature cryptographique qui prouve que le message n'a pas été altéré, et DMARC dit aux fournisseurs quoi faire si SPF ou DKIM échouent.
Un email correctement signé et aligné rassure le filtre : il prouve que vous êtes bien l'expéditeur que vous prétendez être. À l'inverse, l'absence d'authentification est l'un des ajouts de points les plus systématiques, car elle ouvre la porte à l'usurpation. C'est souvent la première chose à corriger quand un score reste anormalement haut malgré un contenu propre.
Tester avant d'envoyer. Des outils gratuits font passer un email de test à travers SpamAssassin et détaillent chaque règle déclenchée avec son nombre de points. C'est la façon la plus directe de savoir où l'on perd des points.
Authentifier proprement. Configurer SPF, DKIM et DMARC sur le domaine d'envoi règle d'un coup une bonne partie du score sur des bases techniques.
Équilibrer texte et visuel. Garder un bon volume de texte réel, éviter l'email tout en image, et toujours inclure un lien de désinscription visible.
Calmer le ton. Un objet sobre, sans majuscules ni surenchère de ponctuation, et un corps de message sans promesses tapageuses suffisent souvent à passer sous le seuil.
