Désabonnement en un clic : vérifier List-Unsubscribe pour Gmail et Yahoo
Les expéditeurs de plus de 5 000 messages par jour vers Gmail doivent proposer le désabonnement en un clic sur leurs messages marketing et d'abonnement. Yahoo demande aussi un en-tête List-Unsubscribe fonctionnel. L'erreur classique : l'en-tête est présent, mais la signature DKIM ne le couvre pas, ou il manque le List-Unsubscribe-Post. Collez les en-têtes bruts d'un message reçu (« afficher l'original » dans Gmail) pour le savoir. Le contrôle se fait dans votre navigateur, rien n'est envoyé.
Contrôler un message
Ce que les règles exigent
| Point | Gmail (plus de 5 000 messages par jour) | Yahoo (expéditeurs en masse) |
|---|---|---|
| Désabonnement | Un clic obligatoire pour les messages marketing et d'abonnement, plus un lien visible dans le corps du message | En-tête List-Unsubscribe fonctionnel ; méthode POST (RFC 8058) fortement recommandée, mailto: accepté ; lien visible dans le corps |
| Délai | Non précisé sur la page lue | Désabonnements traités sous 2 jours |
| Authentification | SPF, DKIM et DMARC (politique none suffisante) | SPF et DKIM, DMARC avec au moins p=none ; alignement relâché accepté |
| Taux de spam | Sous 0,30 %, viser sous 0,10 % | Sous 0,3 % |
Sources lues le 7 novembre 2026 : Google, règles pour les expéditeurs Gmail, Yahoo, bonnes pratiques expéditeurs et RFC 8058. Ces règles changent : relisez les pages avant de vous y fier.
Ce que dit la RFC 8058
- L'en-tête List-Unsubscribe contient une URI HTTPS (d'autres URI comme mailto: sont permises en plus).
- L'en-tête List-Unsubscribe-Post contient la seule paire
List-Unsubscribe=One-Click. - Une signature DKIM valide doit couvrir les deux en-têtes, c'est-à-dire qu'ils figurent dans la balise
h=. Sans cela, le destinataire ne doit pas proposer le bouton. - L'URI doit identifier le destinataire et la liste, sans cookie ni authentification : la requête POST ne porte aucun autre contexte. Pas de redirection HTTPS sur cette URI.
Limite de l'outil : il lit la balise h= mais ne vérifie pas la signature elle-même, et il ne teste pas que l'URI répond au POST. Pour la signature, regardez le résultat « dkim=pass » dans Authentication-Results.
Voir aussi l'alignement DMARC, le générateur DMARC et l'analyseur d'en-têtes.