Quand un abonné ne veut plus de vos emails, il a deux options : se désinscrire ou cliquer sur « Signaler comme spam ». La première est sans conséquence pour vous. La seconde dégrade votre réputation. Gmail et Yahoo l’ont bien compris : depuis 2024, ils exigent des expéditeurs en volume une désinscription en un clic, déclenchée directement depuis l’interface de la messagerie. Spamhaus l’a inscrite à son tour dans ses règles d’octobre 2026.
Cette fonction repose sur deux en-têtes techniques, List-Unsubscribe et List-Unsubscribe-Post, définis par la RFC 8058. Ils sont souvent mal configurés, même quand un lien de désinscription figure bien en bas du message. Ce guide explique ce qu’ils doivent contenir, comment les mettre en place et comment vérifier qu’ils fonctionnent.
À retenir : un lien en bas de l’email ne suffit pas. Les envois commerciaux en volume doivent porter les en-têtes
List-Unsubscribe(avec une URL HTTPS) etList-Unsubscribe-Post: List-Unsubscribe=One-Click, couverts par une signature DKIM valide. La demande doit être traitée sans connexion ni confirmation, et l’arrêt des envois effectif sous deux jours.
Pourquoi la désinscription en un clic compte pour la délivrabilité
Un abonné qui ne trouve pas comment se désinscrire finit par signaler vos messages comme spam. Or le taux de plainte est l’un des signaux les plus lourds pour Gmail : Google demande de rester sous 0,1 % et de ne jamais atteindre 0,3 %. Notre article sur l’impact du taux de plainte détaille ces seuils.
En affichant un bouton « Se désabonner » à côté du nom de l’expéditeur, Gmail et Yahoo offrent une sortie plus simple que le signalement. Chaque désinscription réussie est une plainte évitée. Pour l’expéditeur, c’est donc un outil de protection de la réputation, pas seulement une obligation.
Ce qu’exigent Gmail, Yahoo, Microsoft et Spamhaus
| Acteur | Exigence |
|---|---|
| Gmail | Expéditeurs en volume (plus de 5 000 messages par jour vers Gmail) : désinscription en un clic pour les messages marketing et d’abonnement, lien visible dans le corps, traitement sous 2 jours |
| Yahoo | Désinscription en un clic par List-Unsubscribe, demandes honorées sous 2 jours |
| Microsoft | Lien de désinscription fonctionnel recommandé pour les expéditeurs en volume vers Outlook.com |
| Spamhaus | Demandes traitées sous 2 jours ; List-Unsubscribe-Post en un clic requis pour les envois commerciaux en volume |
Les emails transactionnels (confirmation de commande, réinitialisation de mot de passe, facture) ne sont pas visés par l’exigence de Gmail. Si un même message mêle informations transactionnelles et promotion, il redevient un envoi marketing.
Les deux en-têtes, ligne par ligne
Voici un exemple conforme :
List-Unsubscribe: <https://example.fr/desinscription/8f3a2c91e4>,
<mailto:desinscription@example.fr?subject=8f3a2c91e4>
List-Unsubscribe-Post: List-Unsubscribe=One-ClickList-Unsubscribe existe depuis la RFC 2369 de 1998. Il contient une ou plusieurs adresses entre chevrons, séparées par des virgules. Pour la désinscription en un clic, il doit contenir une URL HTTPS. Une adresse mailto: peut s’y ajouter en complément, pour les clients qui ne gèrent que ce format.
List-Unsubscribe-Post est l’apport de la RFC 8058. Sa valeur est toujours exactement List-Unsubscribe=One-Click. Il indique à la messagerie qu’elle peut désinscrire l’abonné en envoyant une requête POST vers l’URL HTTPS, sans ouvrir de page.
Pourquoi un POST et pas un simple lien ? Parce que les filtres de sécurité et les antivirus visitent automatiquement les liens des emails pour les analyser. Si une simple visite (requête GET) désinscrivait l’abonné, ces robots le désinscriraient à son insu. Le POST distingue l’action volontaire de la simple vérification.
L’URL doit identifier l’abonné, sans être devinable
L’URL doit permettre de savoir quel destinataire se désinscrit de quelle liste, sans autre information : la requête de la messagerie n’apporte ni cookie, ni identifiant de session. Utilisez un jeton opaque et unique par destinataire et par liste, difficile à deviner. Une URL qui contiendrait l’adresse email en clair permettrait à n’importe qui de désinscrire n’importe qui.
La signature DKIM doit couvrir les deux en-têtes
La RFC 8058 exige une signature DKIM valide qui couvre au minimum List-Unsubscribe et List-Unsubscribe-Post. Sans cela, un tiers pourrait modifier l’URL en transit. Vérifiez la liste h= de l’en-tête DKIM-Signature :
DKIM-Signature: v=1; a=rsa-sha256; d=example.fr; s=s1;
h=from:to:subject:date:message-id:list-unsubscribe:list-unsubscribe-post; …Si les deux en-têtes n’y figurent pas, Gmail et Yahoo peuvent ignorer la désinscription en un clic. Une passerelle qui modifie le message après la signature produit le même type d’échec, comme le montre notre étude de cas DKIM « body hash did not verify ».
Mettre en place la désinscription en un clic
Avec un ESP (Brevo, Mailjet, SendGrid, ActiveCampaign…)
La plupart des plateformes d’emailing ajoutent automatiquement les deux en-têtes et gèrent la désinscription. Vérifiez trois points : l’option est activée pour vos campagnes ; la signature DKIM utilise votre domaine et non celui de la plateforme ; la désinscription met bien à jour votre CRM si les contacts y sont synchronisés. Notre guide pour créer un sous-domaine d’envoi couvre la signature DKIM à votre domaine.
Avec une application maison
Si votre application envoie elle-même ses newsletters, l’implémentation tient en quelques règles :
- Générer un jeton unique par destinataire et par liste, stocké côté serveur.
- Ajouter les deux en-têtes à chaque message marketing, avant la signature DKIM.
- Accepter un POST sur l’URL, avec un corps
List-Unsubscribe=One-Click(formulaireapplication/x-www-form-urlencodedoumultipart/form-data). - Désinscrire immédiatement, sans connexion ni page de confirmation, puis répondre par un code
200ou202. La RFC 8058 interdit les redirections : de nombreux navigateurs transforment un POST redirigé en GET. - Rendre l’opération idempotente : une seconde requête identique ne doit pas provoquer d’erreur.
- Prévoir une page pour le GET : un humain qui ouvre l’URL dans un navigateur doit voir une page de confirmation, mais la simple visite ne doit pas désinscrire.
Conservez aussi le lien de désinscription visible dans le corps du message. Gmail l’exige, et tous les clients de messagerie n’affichent pas de bouton.
Tester avant de déclarer conforme
Lire les en-têtes réels. Envoyez une campagne à une adresse Gmail, ouvrez le message, puis ⋮ > Afficher l’original. Vérifiez la présence des deux en-têtes et le résultat dkim=pass pour votre domaine.
Simuler la requête de la messagerie avec une adresse de test :
curl -i -X POST \
-H "Content-Type: application/x-www-form-urlencoded" \
--data "List-Unsubscribe=One-Click" \
"https://example.fr/desinscription/8f3a2c91e4"La réponse doit être un succès (200 ou 202), sans redirection. L’adresse doit ensuite apparaître comme désinscrite dans votre outil.
La gestion des désinscriptions compte aussi pendant un warm-up, où chaque plainte pèse davantage.
Vérifier l’arrêt des envois. La désinscription doit être effective sous deux jours au plus, y compris pour les campagnes déjà programmées.
Si le bouton n’apparaît pas dans Gmail malgré des en-têtes corrects, ce n’est pas forcément une erreur : Gmail l’affiche à sa discrétion, notamment selon la réputation de l’expéditeur et la nature du message.
Les erreurs les plus fréquentes
- URL qui exige une connexion au compte client avant de désinscrire.
- Redirection vers un formulaire de préférences au lieu d’une désinscription directe.
- Jeton qui expire après quelques jours : les abonnés retrouvent souvent un ancien email.
- En-têtes ajoutés après la signature DKIM, par un relais ou une passerelle : la signature ne les couvre plus.
- Désinscription enregistrée dans l’ESP mais pas dans le CRM, qui réimporte le contact à la synchronisation suivante.
- Envois depuis plusieurs outils : le contact désinscrit d’une plateforme continue de recevoir les messages d’une autre.
FAQ
Le lien en bas de mon email suffit-il ?
Non pour les envois marketing en volume vers Gmail et Yahoo. Le lien dans le corps reste nécessaire, mais il doit s’accompagner des en-têtes List-Unsubscribe et List-Unsubscribe-Post.
Les emails transactionnels doivent-ils avoir List-Unsubscribe ?
Gmail ne l’exige pas pour les messages purement transactionnels. Dès qu’un message contient de la promotion, il est traité comme un envoi marketing.
Une adresse mailto suffit-elle ?
Non pour la désinscription en un clic de la RFC 8058, qui repose sur une URL HTTPS. L’adresse mailto: peut être ajoutée en complément.
Faut-il demander une confirmation à l’abonné ?
Non. La requête en un clic doit désinscrire directement. Vous pouvez proposer un centre de préférences sur la page affichée en GET, sans conditionner la désinscription à un choix supplémentaire.
Combien de temps pour traiter une désinscription ?
Gmail, Yahoo et Spamhaus demandent un traitement sous deux jours au plus. Rien n’empêche de le faire immédiatement, ce qui reste préférable.
Conclusion
La désinscription en un clic est une petite configuration avec un grand effet : elle transforme une partie des plaintes potentielles en désinscriptions neutres. Vérifiez vos en-têtes sur un message réel, testez la requête POST et assurez-vous que la désinscription se propage à tous vos outils. Notre audit de délivrabilité email inclut ce contrôle parmi les signaux qui protègent votre réputation.