Programmes de certification des expéditeurs : Validity Certification et la CSA

La mise en liste blanche formelle par des tiers relève largement du passé, mais deux programmes commerciaux subsistent avec un vrai soutien des serveurs de réception : Validity Sender Certification (l’ancienne Return Path Certification, une liste blanche d’IP reconnue principalement par Microsoft, Yahoo/AOL, Comcast et les réseaux filtrés par Cloudmark) et la Certified Senders Alliance (CSA) (un programme allemand d’eco et du DDV dont la liste blanche est utilisée par GMX/WEB.DE et la majeure partie du marché germanophone des boîtes aux lettres). Ils visent des expéditeurs différents : Validity certifie des marques sur des adresses IP dédiées et exclut explicitement les ESP ; la CSA certifie des plateformes d’envoi, ESP compris, au niveau de l’infrastructure.

Aucun des deux programmes n’influence Gmail. Gmail utilise ses propres systèmes de réputation et ignore largement les signaux de tiers : aucune certification, payante ou non, n’améliore le placement chez Gmail.

---

Validity Sender Certification

Source : « Sender Certification Requirements » (Validity, © 2024, publié pour 2025 ; récupéré en juillet 2026). Les IP certifiées sont ajoutées à la liste blanche de Validity ; les fournisseurs de messagerie partenaires en sont informés, et Validity commence à surveiller ces IP 24 h/24 et 7 j/7. Validity revendique des relations avec « plus de 75 fournisseurs mondiaux de messagerie et de sécurité » ; les partenaires pour lesquels il indique des seuils sont Microsoft, Yahoo/AOL, Comcast et Cloudmark.

Candidature et pré-approbation

1. Souscription → Validity lance un audit complet du programme d’envoi.
2. Remplir le Sender Certification Questionnaire (généralement dès le premier jour) ; cela débloque les flux de données de certification (taux de plaintes, adresses pièges touchées, volume d’envoi par IP issus des fournisseurs et filtres partenaires de Validity) et lance l’audit.
3. Si le programme satisfait aux exigences Business Model, Measurability et Infrastructure, le compte peut obtenir une activation préliminaire du statut certifié avant la fin de l’audit : c’est l’état « pré-approuvé » mis en avant sur validity.com/sender-certification/get-pre-approved. Les avantages préliminaires durent jusqu’à 60 jours pendant l’audit.
4. Si les corrections demandées par l’audit ne sont pas terminées à l’issue de la période préliminaire de 60 jours, ou si les exigences sont enfreintes à un moment quelconque de l’abonnement, les IP sont suspendues de la liste blanche (l’accès aux flux de données continue) ; elles sont réactivées une fois les corrections faites.

Obligations continues : répondre à toute notification du programme dans un délai de 3 jours et engager les actions requises dans un délai de 10 jours ; informer Validity par écrit dans un délai de 2 jours ouvrés de toute compromission d’une IP ou d’un domaine (réactivation seulement après examen des contre-mesures par Validity).

Éligibilité (modèle d’affaires)

• Entreprise vérifiable via une source tierce publique (registre national, Dun & Bradstreet), adresse physique enregistrée, légalement immatriculée et en activité depuis au moins 1 an, pas d’agent enregistré masquant la propriété.
• Site web et pages de destination HTTPS valides pour chaque marque approuvée depuis au moins les 6 derniers mois.
• IP dédiées uniquement : les IP partagées ne sont pas éligibles ; le candidat doit être la seule entité sur les IP depuis au moins 60 jours.
• Les IP certifiées ne peuvent transporter que des emails transactionnels et commerciaux fondés sur des modèles : pas d’emails d’entreprise ni de messages individuels (1:1), pas de contenu libre (par exemple saisi dans un formulaire web) dans les messages.

Catégories d’entreprises exclues (non certifiables) : fournisseurs de services de messagerie (expéditeurs qui envoient au nom de marques qui ne leur appartiennent pas : ESP, concessions de licences de marque, éditeurs, marques blanches), agences, expéditeurs tiers et affiliés, génération de leads, loueurs de listes, enchères au centime, activités illégales, traite des êtres humains. Conséquence opérationnelle pour un ESP : vous ne pouvez certifier ni votre propre plateforme ni vos pools partagés ; seuls vos clients sur IP dédiées qui possèdent entièrement leur marque peuvent s’inscrire, individuellement.

Volumes minimums et limites d’IP

• Chaque IP doit délivrer au moins 100 messages à chacun de Microsoft et Yahoo sur une période glissante de 30 jours (d’après les données de Validity). Les IP sans volume mesurable et régulier ne sont pas examinées ; une fois certifiées, ces IP sont suspendues au bout de 30 jours et retirées du programme au bout de 90 jours.
• Une IP ne peut pas cibler un seul fournisseur de messagerie (exceptions ponctuelles uniquement avec l’accord écrit préalable de Validity).
• Le nombre maximal d’IP certifiées dépend du volume annuel contractuel :

Exigences techniques et de programme (synthèse)

• Infrastructure : aucun relais ouvert ; FCrDNS ; SPF sur tous les domaines Return-Path, sans +all/?all et sans mécanisme ptr ; tous les emails signés DKIM, clés d’au moins 1024 bits (2048 recommandés), sans balise l= (utiliser x= à la place) ; DMARC au minimum à p=none, aligné, avec un rua fonctionnel, sur le domaine From ; ARC recommandé en cas de transfert ; comptes de rôle abuse@ et postmaster@ sur tous les domaines d’envoi et Return-Path ; preuve de propriété du domaine via un jeton TXT de Validity qui doit rester dans le DNS pendant toute la durée de l’adhésion ; rebonds définitifs retirés de tous les envois futurs ; TLS recommandé.
• Contenu : identification claire de la marque ; lignes d’objet exactes, sans « RE: » ni « FWD: » ; adresse postale dans les emails commerciaux et transactionnels ; aucun raccourcisseur d’URL (Bitly, TinyURL, etc.) ; aucune pièce jointe, de quelque nature que ce soit ; aucun contenu masqué ; Message-ID valide ; en-têtes conformes à la RFC 5322.
• Désabonnement : List-Unsubscribe (RFC 2369) couvert par la signature DKIM, désabonnement en un clic RFC 8058, plus un lien dans le corps ; demandes traitées dans un délai de 2 jours ; liens fonctionnels au moins 60 jours après l’envoi ; les demandes non standard (courrier postal, téléphone, abuse@) sont aussi honorées.
• Consentement : double opt-in ou simple opt-in avec notification (une autre base légale, par exemple un intérêt légitime documenté, exige une preuve écrite). Interdits : cases précochées ou simple opt-in sans notification, collecte d’adresses, location, achat ou enrichissement de fichiers, prospection par email. La co-inscription exige des inscriptions non cochées par marque et un consentement démontrable. Transfert à un ami : CAPTCHA sur le formulaire, un email + au plus une relance, aucun lien externe, commentaire personnalisé de 140 caractères au plus, 100 messages au plus par utilisateur sur 24 h.
• FBL : s’inscrire à toutes les feedback loops disponibles ; minimum obligatoire : Microsoft JMRP, Comcast IP & Domain FBL, Yahoo FBL.

Seuils de performance (en dépasser un → suspension partielle ou totale)

Microsoft SRD (votes « courrier indésirable » du programme Sender Reputation Data), cumul sur 30 jours :

Le seuil de groupe s’applique dès qu’au moins 2 IP sont certifiées ; s’il est dépassé, toutes les IP ayant au moins 1 vote indésirable sont suspendues.

Taux de plaintes, moyenne sur 30 jours de tout le volume d’envoi (appliqués seulement au-delà d’un nombre minimal de plaintes) :

Adresses pièges, cumul sur 30 jours :

Listes de blocage (inscriptions en cours) : 1 inscription sur une liste de blocage critique ou 2 sur des listes importantes franchissent le seuil ; des inscriptions répétées ou excessives peuvent entraîner une suspension ou une résiliation.

---

Certified Senders Alliance (CSA)

La CSA est gérée par eco (association des professionnels de l’Internet) avec le DDV (association allemande du marketing direct), et a été fondée en 2004. C’est une certification de plateformes IP (IPv4 uniquement) : la partie certifiée est l’entreprise qui exploite et contrôle la plateforme d’envoi, c’est-à-dire exactement un ESP, à l’opposé du modèle de Validity. La CSA tient une liste d’IP certifiées diffusée aux fournisseurs de messagerie et de sécurité participants pour intégration dans leurs filtres, et ces partenaires renvoient des données de conformité en direct que les entreprises certifiées consultent dans le Certification Monitor. Les documents contractuels (critères, conditions de participation, règlement de procédure, grille tarifaire) sont publiés sur certified-senders.org/resources. Le droit allemand s’applique ; la juridiction compétente est Cologne.

Provenance : les anciennes URL de PDF de 2017 citées plus haut servent désormais les éditions de juin 2026 des critères et des conditions de participation (les anciens documents ont expiré le 19 juillet 2026) ; les chiffres ci-dessous sont donc à jour selon les versions de juin 2026, récupérées en juillet 2026.

Qui peut participer

• L’entreprise exploite la plateforme technique qui contrôle l’envoi d’emails en masse et en porte la responsabilité ; en général au moins 3 mois d’historique d’envoi sur l’infrastructure.
• La certification couvre toutes les IP utilisées pour l’email commercial en masse ; chaque IPv4 + FQDN doit être déclaré dans le Certification Monitor, et les IP déclarées ne peuvent servir qu’à l’email commercial en masse (pas aux emails internes de l’entreprise).
• ESP et fournisseurs de plateformes : seules les IP sous le contrôle exclusif de l’entreprise sont certifiables, et les serveurs sortants certifiés doivent être clairement séparables des serveurs non certifiés.
• Les marques qui exploitent leur propre plateforme doivent contrôler et surveiller entièrement la livraison sur celle-ci ; sinon, elles ne peuvent pas être certifiées.
• Les hébergeurs sont exclus pour les serveurs loués à l’usage autonome de leurs clients.
• Le modèle d’affaires ne doit pas entrer en conflit avec les principes éthiques d’eco et du DDV (motif de refus à part entière).

Processus de certification, frais et contrat

1. Renvoyer l’offre individuelle signée et payer les frais d’évaluation (selon la grille tarifaire de la CSA ; non remboursés en cas d’échec de la certification).
2. Évaluation : contrôle de réputation des IP déclarées à partir des données des partenaires participants, et examen de documents (exemples de newsletters, liste d’IP). Des erreurs non corrigées à plusieurs reprises peuvent entraîner la fixation d’un délai ; le manquer autorise la CSA à facturer de nouveaux frais d’évaluation.
3. Décision du Complaints and Certification Committee (CCC) : quatre membres, dont deux élus par eco et deux par le DDV ; la certification exige une majorité. En cas de refus (doutes sur la conformité ou conflit éthique) → possibilité de présenter une nouvelle candidature après 6 mois.
4. Les cotisations mensuelles (facturées trimestriellement, au prorata) commencent à l’approbation. La catégorie tarifaire dépend du chiffre d’affaires annuel total de l’entreprise ou de sa société mère (enquête annuelle sur le chiffre d’affaires ; absence de réponse → catégorie la plus élevée). Durée du contrat : 1 an, reconduction tacite, préavis de 3 mois.
5. Retard de paiement de plus de 30 jours → retrait temporaire des IP de la liste (réinscription environ 5 jours ouvrés après le paiement) ; plus de 60 jours → résiliation pour motif grave. Après la fin du contrat, toutes les références à la CSA doivent être supprimées dans un délai de 4 semaines (6 mois pour les imprimés) ; au-delà, pénalité contractuelle de 500 € par semaine.

Statuts des IP sur la liste certifiée : Active (tous les avantages + surveillance et rapports), Failed (exigences techniques non satisfaites : aucun avantage), Delisted (sanction : aucun avantage, la surveillance continue), Monitored (pendant la certification), Parked (attribué par l’entreprise aux IP inutilisées : inscrites mais envoi interdit, ce qui permet de préparer le DNS à l’avance). Preuve du contrôle de chaque IP, pour toute la durée de la certification : soit un enregistrement DNS TXT sur le FQDN du serveur de la forme CSA-certified-host=<token>, soit la correspondance entre l’organisation titulaire dans le WHOIS et le nom de l’entreprise sous contrat. Les serveurs sortants doivent avoir un FCrDNS complet (PTR → FQDN → A → même IP), annoncer le FQDN en HELO/EHLO, et avoir des noms d’hôte qui ne ressemblent pas à des identifiants codés de connexion commutée (server-80-12-54125.example.org échoue). Vérification absente ou résolutions en échec → statut « failed ».

Critères obligatoires (juin 2026)

Confiance et transparence : adresse postale et contact numérique faciles à trouver sur le site web ; informations sur la confidentialité accessibles ; messages et dialogue SMTP conformes aux RFC (actuellement RFC 6532, 2142, 2369, 5321, 5322, 7208, 6376, 8058).

Prévention des abus :

• Adresse abus de rôle (de préférence abuse@org-domain.tld) enregistrée dans le Certification Monitor ; répondre à l’eco Complaints Office dans les 24 heures, les jours ouvrés.
• Les fournisseurs de plateformes doivent pouvoir faire respecter la conformité client par client (blocage, limitation de débit, plafonds de volume, plafonds de domaines d’envoi) et protéger les comptes clients (par exemple par la double authentification, 2FA).
• Les liens de redirection et de suivi des clics doivent pouvoir être désactivés dans les 24 heures suivant une notification de phishing ou d’usage abusif.
• En-tête X-CSA-Complaints: csa-complaints@eco.de inséré et signé DKIM sur les seuls serveurs certifiés, dans les 4 semaines suivant la certification, confirmé par un envoi de test.
• Pas de relais ouvert, pas de proxy public, pas de backscatter ; surveillance continue ; livraison selon l’état de l’art actuel de TLS.

Authentification :

• SPF pour le domaine MAIL FROM se terminant par -all ou ~all.
• Signature DKIM valide sur chaque email (RFC 6376). Pour les ESP, d= doit pouvoir être rattaché au domaine d’envoi du client (une double signature supplémentaire avec le domaine de l’ESP est autorisée) ; la signature doit couvrir au moins From, X-CSA-Complaints, Date, To ; le paramètre de longueur l= est interdit.
• Alignement DKIM souple obligatoire : le domaine organisationnel de d= doit correspondre au domaine de l’en-tête From (exception pour les ESP uniquement quand le client n’a pas de domaine à lui).

Hygiène de base de données :

• La plateforme doit pouvoir insérer List-Unsubscribe (méthode URL de la RFC 2369 avec POST HTTPS, combinable avec List-Unsubscribe-Post / désabonnement en un clic de la RFC 8058) et List-Help (lien mailto: ou HTTPS ; HTTP non autorisé) dans chaque email.
• Chaque email publicitaire doit comporter un lien de désabonnement fonctionnel sans connexion ; les ESP doivent offrir à leurs clients une fonction simple de désabonnement par lien dans le corps (pages de préférences ou de sélection autorisées).
• Gestion des rebonds conforme à la RFC 5321, avec un enregistrement MX (enregistrement A en solution de repli) sur le domaine de l’expéditeur d’enveloppe ; les envois vers des boîtes connues comme inexistantes doivent être empêchés.

Seuils de performance (fenêtres de 7 jours) :

Recommandé (non obligatoire) : s’inscrire aux FBL publiques et mettre en œuvre l’en-tête CFBL (RFC 9477) ; HTML + texte en multipart ; DMARC avec un rua exploitable, p=reject recommandé ; DANE (RFC 7671 + DNSSEC), avec MTA-STS (RFC 8461) en solution de repli quand DNSSEC n’est pas envisageable ; DKIM 2048 bits SHA-256 ; double opt-in (l’email de confirmation ne doit contenir aucune publicité) ; indiquer la fréquence d’envoi lors de l’inscription ; reply-to fonctionnel ; IP distinctes pour les newsletters et le transactionnel ; éviter les raccourcisseurs d’URL ; alignement DKIM étendu au MAIL FROM, et domaines cohérents dans les en-têtes List-, Reply-To et Sender.

La CSA publie une liste de contrôle d’autoévaluation (certified-senders.org/csa-checklist) qui transpose ces critères en questions de préparation à réponse oui/non ; utile à passer avant de payer les frais d’évaluation.

L’Email Directive de la CSA : le socle juridique allemand transposé en contenu de certification

Les critères de certification de la CSA renvoient à son « Email Marketing Directive » (directive sur le marketing par email), qui résume le droit allemand et européen. C’est ce qui donne à la certification CSA une portée juridique en Allemagne, et c’est utile pour la prise de décision même pour les expéditeurs non certifiés qui écrivent à des utilisateurs allemands (cf. l’attente de double opt-in (DOI) signalée dans les exigences de GMX/WEB.DE).

Permission (chapitre 2 de la directive) : fondée sur le RGPD + la directive ePrivacy 2002/58/CE telle que transposée dans l’UWG, la TMG/TTDSG et le BDSG :

• La « publicité » s’entend largement (newsletters, vœux d’anniversaire, études de marché, promotion de la marque, appels aux dons). Les emails transactionnels n’exigent pas de consentement, jusqu’à ce qu’un élément publicitaire y soit ajouté ; les règles complètes du consentement s’appliquent alors.
• Le consentement doit être transparent (quelle entreprise, quels produits, quels canaux ; pas de consentement en blanc ; BGH : un consentement nommant environ 8 entreprises peut être valable ; OLG Frankfurt : 59 partenaires, c’est trop), actif (pas de cases précochées ni de montages en opt-out), libre et documenté (texte du consentement, lieu, horodatage + IP de l’inscription et du clic de confirmation DOI).
• Le double opt-in est la norme de preuve de fait (reconnu par le BGH comme preuve que la demande provient de l’adresse). L’email de confirmation DOI ne doit contenir aucune publicité (des tribunaux ont même sanctionné des logos en pied de page) ; les inscriptions non confirmées doivent être supprimées dans un délai d’environ 2 semaines.
• Le consentement n’a pas de date d’expiration légale, mais le LG München I a considéré qu’un consentement inutilisé pendant environ 1,5 an était caduc.
• Le retrait du consentement doit être plus facile que son octroi ; la documentation du consentement est conservée 3 ans après le retrait (délai de prescription du §195 BGB) pour se défendre en cas de réclamation.
• L’exception pour les clients existants du §7(3) UWG (publicité par email sans consentement) exige les quatre conditions : adresse obtenue dans le cadre d’une vente conclue ; publicité limitée à des biens ou services propres similaires ; mention claire du droit d’opposition lors de la collecte et dans chaque email ; aucune opposition exprimée.
• Le B2B n’est pas exempté : le droit allemand exige aussi l’opt-in pour la publicité par email en B2B (l’assouplissement du consentement présumé en B2B n’existe que pour le téléphone).

Mentions légales / Impressum (chapitre 3 de la directive) : directive sur le commerce électronique 2000/31/CE + loi sur les télémédias : chaque email commercial doit comporter des mentions légales complètes, en texte intégral, dans l’email lui-même (et non derrière des liens) : raison sociale avec forme juridique, adresse postale complète, représentants légaux, tribunal d’immatriculation et numéro, adresse email (téléphone recommandé), numéro de TVA le cas échéant. L’identité de l’expéditeur et le caractère commercial doivent être évidents ; les infractions sont passibles d’amendes jusqu’à 50 000 €.

Quels serveurs de réception reconnaissent la CSA

Les fournisseurs de messagerie participants (selon certified-senders.org/participants, récupéré en juillet 2026) comprennent la totalité du marché grand public germanophone (GMX, WEB.DE, mail.com, 1&1, freenet, mail.de, T-Online, Arcor, Kabel Deutschland/Vodafone, unitymedia, Swisscom), plus des acteurs internationaux : Microsoft (Outlook.com, Office 365), Yahoo, AOL, Comcast, Orange, Seznam.cz, Fastmail et divers hébergeurs. Les participants de sécurité et de filtrage comprennent Cloudmark, Cisco Talos, abusix, Hornetsecurity, Open-Xchange, Halon, Excello/virusfree. Le poids accordé varie : les fournisseurs allemands (GMX/WEB.DE orientent activement les expéditeurs de gros volumes vers la CSA et font transiter les retours de plaintes par elle ; ils n’exploitent pas de FBL publique en interne) en font un signal de premier plan ; pour les grands participants internationaux, c’est une donnée parmi d’autres, et non un contournement des filtres par liste blanche.

---

La certification en vaut-elle la peine ?

Une évaluation honnête des coûts et des bénéfices pour un opérateur d’ESP :

• Gmail : non. Gmail ne participe à aucun des deux programmes et ignore la certification et les listes de blocage de tiers au profit de ses propres systèmes. Si le problème est le placement chez Gmail, la certification n’apporte rien : corrigez plutôt les fondamentaux de l’engagement et du taux de spam.
• La certification est un plancher, pas un coup de pouce. Les critères d’admission des deux programmes reprennent pour l’essentiel le M3AAWG Senders BCP, plus une surveillance : un expéditeur qui les respecte réellement a généralement déjà une bonne délivrabilité. La valeur ajoutée tient à (a) les flux de données (flux d’adresses pièges, de plaintes et SRD de Validity ; le Certification Monitor de la CSA avec les données des partenaires, notable parce que les retours de plaintes de GMX/WEB.DE ne sont pas disponibles autrement), (b) le bénéfice du doute pendant les incidents et la chauffe, et (c) une position de conformité documentée.
• CSA : à étudier pour tout ESP ayant un volume significatif en Allemagne ou dans la zone DACH. C’est le seul programme conçu pour la certification de plateformes et d’ESP, c’est de fait le canal de FBL et d’escalade de GMX/WEB.DE, et ses critères transposent le régime juridique allemand (DOI, Impressum) que vous devez de toute façon respecter pour écrire en Allemagne en toute sécurité. Les coûts augmentent avec le chiffre d’affaires de l’entreprise (frais d’évaluation + cotisations mensuelles) ; attention aux obligations de conformité (réponse aux abus en 24 h, désactivation des liens en 24 h, seuils sur 7 jours) : une décertification après une participation publique est en soi un signal de réputation.
• Validity : une décision par marque, pas une décision d’ESP. Les ESP sont une catégorie exclue ; seuls les clients sur IP dédiées qui possèdent leur marque, ont au moins 1 an d’existence, au moins 60 jours seuls sur leurs IP et un volume soutenu vers Microsoft et Yahoo sont éligibles. Il convient aux marques B2C à fort volume dont les problèmes se situent chez Microsoft (SRD/JMRP), Yahoo/AOL, Comcast ou les fournisseurs d’accès régionaux filtrés par Cloudmark. Ses seuils (0,2 % de plaintes chez Microsoft et Yahoo, 3 adresses pièges critiques touchées sur 30 jours, 1 inscription sur une liste de blocage critique) sont plus stricts que les objectifs d’exploitation habituels : traitez-les comme un engagement de niveau de service à tenir, sous peine de suspension en cours de contrat.
• Aucun des deux ne remplace la qualité du consentement. Les deux programmes interdisent purement et simplement les listes achetées, louées ou enrichies ; la certification ne peut pas blanchir une mauvaise pratique d’acquisition, et les deux révoquent plus vite que les fournisseurs de messagerie ne pardonnent.