Bit.ly, TinyURL... pourquoi un simple lien raccourci peut envoyer vos emails en spam ? Ce que les filtres détectent et les alternatives pour vos campagnes.
Un lien raccourci, c’est pratique. Plus court, plus discret, avec des statistiques de clics en prime. Sur les réseaux sociaux, personne n’y trouve à redire. Dans un email, c’est une autre histoire : ce petit lien bit.ly peut suffire à envoyer toute votre campagne en spam, parfois même à la faire rejeter avant d’atteindre la boîte de réception. Voyons ce que les filtres voient réellement derrière un lien court, chiffres à l’appui, et comment conserver vos statistiques de clics sans sacrifier votre délivrabilité.
Pour évaluer un email, un filtre anti-spam analyse entre autres la réputation des domaines présents dans le message. Or un raccourcisseur remplace votre URL par une adresse du type bit.ly/3xYz. Le filtre ne voit plus votre domaine, il voit celui du raccourcisseur. Impossible de juger la destination réelle sans aller la résoudre.
Google ne fait pas dans la nuance sur ce point. Sa documentation destinée aux expéditeurs de masse précise que toute tentative de masquer la véritable page de destination d’un lien peut entraîner la non-remise du message, et déconseille explicitement les services de raccourcissement d’URL dans les envois en volume. Non-remise, pas dossier spam : le serveur peut refuser le message purement et simplement.
La logique tient en une phrase. Un expéditeur légitime n’a aucune raison de cacher où pointent ses liens, et celui qui le fait ressemble, aux yeux des filtres, à quelqu’un qui a quelque chose à dissimuler.
Si les filtres se méfient autant des liens courts, c’est que les spammeurs en raffolent. L’éditeur de sécurité Cofense a analysé les campagnes malveillantes observées entre juillet 2024 et juin 2025 : TinyURL arrive en tête des services les plus détournés, sans doute parce qu’il ne demande aucune création de compte. Sur la même période, 89 % des campagnes passant par le raccourcisseur Goo.su distribuaient un malware. Le chiffre tombe à 49 % pour Is.gd, ce qui reste énorme.
Le rapport 2026 d’Abnormal AI complète le tableau : 21,6 % des attaques de phishing utilisent des liens de redirection, et environ une sur dix parmi elles s’appuie sur un service de raccourcissement.
Le problème pour vous, c’est la mutualisation. Le domaine bit.ly porte la réputation de tous ceux qui l’utilisent. Votre lien parfaitement légitime partage donc le même domaine que des campagnes de phishing parties le jour même. Et quand ce domaine finit sur une liste noire, vos emails trinquent avec.
Les filtres ne se contentent plus de repérer la présence d’un raccourcisseur. SpamAssassin, moteur anti-spam open source déployé chez de nombreux hébergeurs, embarque un plugin nommé DecodeShortURLs. Son travail : suivre la redirection, récupérer l’URL de destination réelle, puis la confronter aux listes noires de domaines. Des règles dédiées ajustent ensuite le score du message, avec un signal aggravant si l’expéditeur enchaîne plusieurs raccourcisseurs les uns derrière les autres, une technique classique des spammeurs.
Côté listes noires justement, Spamhaus a créé au sein de sa Domain Blocklist une zone spécifique pour les domaines de redirection abusés. Chaque concepteur de filtre choisit ensuite de bloquer ces domaines ou de simplement alourdir le score des messages qui les contiennent.
Gmail applique le même genre de défense, sans en publier le détail. Le prestataire d’emailing transactionnel Postmark a documenté un cas parlant : des envois contenant des liens bit.ly revenaient avec le message « this message is suspicious due to the nature of the content and/or the links within ». Une fois les liens courts remplacés par les URL d’origine, plus aucun blocage.
Faut-il pour autant bannir toute redirection ? Non, et heureusement : le suivi des clics de votre plateforme emailing repose lui aussi sur une réécriture des liens. La différence tient au domaine utilisé.
Un raccourcisseur public mutualisé, type bit.ly ou tinyurl, vous rend dépendant de la réputation de milliers d’inconnus. Un domaine de tracking personnalisé, du genre click.votredomaine.fr configuré via une simple entrée CNAME, ne porte que votre propre historique d’envoi. Vous gardez la mesure des clics, vous perdez le risque mutualisé. Les routeurs professionnels proposent tous cette option. Certains l’imposent, à raison.
Ce choix de domaine rejoint plus largement les pièges à éviter en emailing : en délivrabilité, ce sont rarement les grandes décisions qui pénalisent une campagne, plutôt l’accumulation de détails techniques négligés.
Premier réflexe : utilisez l’URL complète de votre site chaque fois que possible. Vos destinataires voient où ils mettent les pieds, les filtres aussi. Deuxième réflexe : activez un domaine de tracking personnalisé chez votre routeur. L’opération demande quelques minutes et une entrée DNS, rien de plus. Enfin, si un lien de redirection doit absolument figurer dans votre message, vérifiez au préalable que son domaine n’apparaît ni dans la Spamhaus DBL, ni chez SURBL ou URIBL. Il suffit d’un lookup gratuit sur un outil comme MXToolbox.
Un dernier point, souvent oublié : les signatures et les anciens modèles. Un lien bit.ly qui traîne dans une signature commerciale depuis 2019 pénalise chaque email qui la contient, y compris les réponses individuelles de vos commerciaux.
Chez Ediware, chaque client dispose d’un domaine de tracking dédié dès la mise en place de son compte. Si vous voulez faire le point sur vos liens et votre délivrabilité, contactez notre équipe.
Gmail associe les raccourcisseurs publics aux campagnes de phishing qui les détournent massivement. Sa documentation pour expéditeurs en volume déconseille explicitement ces services, car ils masquent la destination réelle du lien. Un email qui en contient peut finir en spam, voire refusé dès la connexion au serveur.
Non, tant que votre domaine conserve une bonne réputation. Un lien court du type go.votredomaine.fr ne partage sa réputation avec personne d’autre que vous. C’est tout l’intérêt du domaine de tracking personnalisé proposé par les routeurs professionnels : garder la mesure des clics sans le risque mutualisé.
Interrogez les principales listes noires de domaines, à savoir Spamhaus DBL, SURBL et URIBL. Des outils gratuits comme MXToolbox font le contrôle en quelques secondes. Testez le domaine du raccourcisseur, mais aussi celui de la destination finale, car les filtres résolvent la redirection avant d’évaluer le message.
Oui, techniquement, puisque le suivi des clics repose sur une redirection. Si votre plateforme utilise un domaine de tracking mutualisé entre tous ses clients, vous héritez de la réputation des autres expéditeurs. Demandez un domaine de tracking dédié, configuré via une entrée CNAME sur votre propre nom de domaine.
Oui, et le phénomène s’amplifie. Le phishing par QR code a dépassé les 4 millions de tentatives en France en 2024 selon Cybermalveillance.gouv.fr. Les raccourcisseurs spécialisés dans les QR codes figurent parmi les plus détournés. La prudence s’impose donc autant qu’avec un lien texte classique.
Les emails déjà partis ne se corrigent pas, mais nettoyez vos modèles, vos signatures et vos scénarios automatisés. Chaque nouvel envoi contenant un lien raccourci public expose votre réputation d’expéditeur. Remplacez-les par l’URL complète ou par un lien sur votre domaine de tracking.
Ce contenu est réalisé par Ediware. Consultez les sites officiels pour les informations les plus récentes.