Les demandes que vous n'avez jamais reçues sont les européennes

---

RÉPONSE RAPIDE

La plupart des formulaires de contact envoient leur e-mail de notification en se faisant passer pour le visiteur qui l'a rempli. Les systèmes de messagerie vérifient exactement cela depuis 2014, et un contrôle de vingt-neuf fournisseurs de messagerie grand public a trouvé que vingt-deux mettent désormais ce message en quarantaine ou le rejettent. Chaque fournisseur français testé applique cette règle. Les fournisseurs allemands et britanniques aussi. Gmail ne l'applique pas, ce qui explique pourquoi les demandes venant de Gmail arrivent, que rien ne semble cassé, et que les demandes européennes disparaissent silencieusement. Le correctif est un changement de configuration et ne coûte rien.

---

Un hôtel à Girne a refait son site, ajouté un formulaire de demande de réservation, et n'a presque rien obtenu de toute une saison. Le formulaire fonctionnait. Le remplir affichait une page de remerciement. Le tester depuis le téléphone du propriétaire produisait un e-mail.

Rien dans ce test ne disait la vérité, parce que le téléphone du propriétaire utilisait une adresse Gmail.

C'est l'un des rares problèmes de site internet qui se dissimule parfaitement lui-même. Il échoue uniquement pour certains expéditeurs, il échoue silencieusement, et ceux pour qui il échoue sont les clients qui valent le plus.

Votre formulaire envoie probablement du courrier en se faisant passer pour le visiteur

Voici le mécanisme, et il vaut la peine d'être compris car le correctif en découle directement.

Quand quelqu'un remplit votre formulaire, votre site vous envoie un e-mail. Presque tous les outils de formulaire jamais conçus mettent l'adresse du visiteur lui-même dans le champ From: de cet e-mail, afin qu'une réponse lui parvienne directement. C'est une commodité qui a l'air raisonnable, et c'est le réglage par défaut depuis vingt ans.

Mais votre serveur n'est pas leur fournisseur de messagerie. Un e-mail quittant votre hébergeur en prétendant venir de [email protected] est, autant que le système récepteur puisse en juger, une usurpation. C'est exactement à cela que ressemble une usurpation, parce que c'est ainsi que fonctionne le hameçonnage.

Les systèmes de messagerie ont commencé à vraiment vérifier cela après que Yahoo a publié une règle stricte en avril 2014. Ce contrôle s'appelle DMARC, et il pose une question simple : le domaine indiqué dans le champ From: se porte-t-il garant du serveur qui a envoyé ce message ? Quand votre site envoie en se faisant passer pour [email protected], la réponse est non, et ce qui se passe ensuite dépend de ce que orange.fr a publié.

Vingt-deux fournisseurs de messagerie sur vingt-neuf mettent désormais cela en quarantaine ou le rejettent

Cela se vérifie en quelques secondes, et le résultat détermine tout, alors voici la mesure plutôt qu'une simple affirmation. Tous les fournisseurs de messagerie grand public qu'un client européen est susceptible d'utiliser, interrogés le 6 septembre 2026 :

Publient reject, ce qui signifie que le message est refusé purement et simplement : yahoo.com, yahoo.co.uk, aol.com, laposte.net, sfr.fr, btinternet.com, sky.com, mail.ru, zoho.com.

Publient quarantine, ce qui signifie qu'il part dans le dossier spam : orange.fr, free.fr, wanadoo.fr, web.de, gmx.de, gmx.net, icloud.com, me.com, libero.it, virgilio.it, protonmail.com, proton.me, googlemail.com.

Publient none, ce qui signifie qu'aucune action n'est demandée : gmail.com, outlook.com, hotmail.com, hotmail.co.uk, live.com, t-online.de, yandex.com.

Vingt-deux fournisseurs sur vingt-neuf demandent une application stricte. Chaque fournisseur français de la liste le fait. Trois des quatre fournisseurs britanniques le font. Trois des quatre fournisseurs allemands le font.

Gmail fait partie des sept qui ne l'appliquent pas, et c'est exactement pourquoi personne ne s'en aperçoit

Relisez ce dernier groupe, parce qu'il explique toute la forme du problème.

Les fournisseurs qui ne demandent aucune action sont Gmail, Outlook, Hotmail et Live. Ce sont les adresses avec lesquelles votre équipe teste. Ce sont les adresses qu'utilisent vos amis. Ce sont les demandes qui arrivent.

Le formulaire semble donc fonctionner. Il fonctionne réellement, pour une large part des gens. Ce qu'il ne fait pas, c'est acheminer la demande d'un couple à Lyon sur orange.fr, ou d'une famille à Hambourg sur web.de, ou d'un client britannique fidèle sur btinternet.com. Ce sont exactement les réservations qu'un hôtel d'ici cherche à gagner.

Personne ne signale un message qu'il n'a jamais su avoir envoyé. Le visiteur a vu une page de remerciement. De son côté, la demande a bien été faite.

Le correctif tient en une ligne dans la configuration du formulaire et ne coûte rien

La correction est vraiment minime, et n'importe quelle personne compétente pouvant se connecter à votre site peut la faire aujourd'hui.

L'e-mail envoyé par votre formulaire devrait venir d'une adresse sur votre propre domaine, que votre serveur est habilité à utiliser. L'adresse du visiteur va dans le champ Reply-To à la place. Répondre écrit toujours au client, exactement comme avant. Rien ne change dans l'expérience, et l'usurpation disparaît parce qu'il n'y a plus d'usurpation.

Chaque outil de formulaire courant prend cela en charge. C'est généralement un simple champ intitulé quelque chose comme adresse d'expéditeur, et il est généralement mal rempli par défaut.

Si vous ne retenez qu'une chose de cet article, que ce soit celle-ci. Allez regarder ce que votre formulaire met dans le champ From:. C'est gratuit, cela prend dix minutes, et c'est tout le problème pour la plupart des sites.

Votre courrier sortant est une autre question, et là l'île fait mieux que prévu

L'autre moitié du sujet est le courrier que vous envoyez délibérément : les confirmations, les devis, les réponses. Cela dépend d'enregistrements publiés sous votre propre domaine, et c'est là que la plupart des articles sur ce sujet commencent à prédire une catastrophe.

Il semblait donc utile de compter plutôt que de deviner. Quarante-quatre sites d'hôtels de Chypre du Nord ont été vérifiés le 6 septembre 2026, tirés des membres de la Cyprus Turkish Hotels Association et vérifiés établissement par établissement comme situés dans le nord. Trente-huit d'entre eux reçoivent du courrier sur leur propre domaine. Les six autres ne le font pas, ce qui signifie que l'adresse de contact publique de l'hôtel réside sur le service de quelqu'un d'autre.

Sur ces trente-huit, trente-six publient un enregistrement SPF. Cela fait quatre-vingt-quinze pour cent.

Les exigences publiées par Google pour tous les expéditeurs, en vigueur depuis le 1er février 2024, demandent SPF ou DKIM, pas les deux, l'exigence plus stricte des trois (SPF, DKIM et DMARC) étant réservée à quiconque envoie cinq mille messages ou plus par jour à Gmail. Aucun hôtel sur cette île n'envoie cinq mille messages par jour. Au regard de la barre qui s'applique réellement à eux, presque tous ces hôtels la franchissent déjà.

Cela vaut la peine d'être dit clairement, parce que le contraire est habituellement sous-entendu pour vendre quelque chose. Le courrier sortant est globalement en bon état.

La moitié d'entre eux ne publient aucun DMARC, et c'est un risque distinct de la distribution des e-mails

Là où le recensement trouve effectivement une lacune, il ne s'agit pas de savoir si votre courrier arrive.

Dix-neuf des trente-huit publient un enregistrement DMARC. Dix-neuf n'en publient aucun. Et parmi les dix-neuf qui en publient un, dix définissent la règle sur none, ce qui ne demande aucune action et sert à collecter des rapports.

Publier none satisfait tout de même ce que Google et Yahoo demandent à un expéditeur ordinaire, donc ce n'est pas un problème de distribution. C'en est un autre. Un domaine sans règle DMARC appliquée est un domaine que n'importe qui peut usurper pour envoyer du courrier. Cela compte particulièrement pour un hôtel, parce que le message qui vaut la peine d'être falsifié est une confirmation de réservation contenant des instructions de paiement, envoyée à un client qui attend exactement cet e-mail.

Notre propre domaine se trouve dans ce groupe pour le moment, réglé sur p=none, et cela est en cours de correction plutôt que discrètement omis du décompte.

Personne n'a jamais mesuré cela pour des entreprises d'ici. Il n'existe aucune étude publiée sur l'authentification du courrier électronique pour Chypre, dans aucune des deux juridictions, nord ou sud, ni pour les petites entreprises touristiques nulle part. Les chiffres ci-dessus sont les nôtres.

Ce qu'il faut vérifier cet après-midi, et où cela cesse d'être gratuit

Trois choses, dans l'ordre, et les deux premières ne coûtent rien.

Regardez ce que votre formulaire de contact met dans le champ From:, et si c'est l'adresse du visiteur, changez-la pour la vôtre et déplacez la sienne vers Reply-To. Envoyez-vous ensuite une demande de test depuis une adresse qui n'est pas Gmail. Empruntez un téléphone sur orange.fr, web.de, yahoo.com, n'importe quoi sur la liste des fournisseurs qui appliquent la règle stricte. Ce test-là est celui que personne ne fait, et c'est le seul qui aurait révélé le problème.

Regardez ensuite si votre domaine publie bien des enregistrements SPF et DMARC. Si vous n'avez aucun enregistrement DMARC, en ajouter un réglé sur p=none ne coûte rien et vous indique qui envoie du courrier en se faisant passer pour vous.

Voici le plafond. Tout cela suppose que vous puissiez vous connecter au DNS de votre domaine, que vous sachiez quel outil de formulaire le site utilise, et que quelqu'un puisse modifier un réglage à l'intérieur. Pour une large part des entreprises d'ici, aucune de ces trois conditions n'est vraie, et le découvrir est le vrai travail. Il est aussi fréquent de découvrir que le formulaire échoue silencieusement depuis un an et que les demandes ont tout simplement disparu, irrécupérables, sans aucune trace nulle part.

Notre intervention est circonscrite et a une fin : établir d'où provient réellement votre courrier, corriger la configuration de l'expéditeur pour que l'usurpation cesse, publier les enregistrements que votre domaine devrait avoir, puis le tester délibérément depuis un fournisseur qui applique la règle stricte plutôt que depuis le compte Gmail qui ne vous aurait jamais montré le problème.

Si vous effectuez les vérifications gratuites et que tout est déjà correct, vous avez perdu un après-midi et vous ne devez rien à personne. D'après le décompte ci-dessus, un nombre non négligeable d'hôtels d'ici se retrouveront exactement dans ce cas.