Loi CAN-SPAM : exigences pour le cold email

Cette page explique ce que la loi CAN-SPAM exige de l'expéditeur d'un cold email. Elle s'appuie sur le CAN-SPAM Act Compliance Guide for Business de la Federal Trade Commission américaine (FTC), dans sa version de janvier 2024 consultée en octobre 2026, et sur le texte réglementaire du 16 CFR Part 316 publié dans l'eCFR. Elle présente les règles et ne constitue pas un conseil juridique. Savoir si votre prospection les respecte dépend de ce que vous écrivez et de la façon dont vous gérez votre liste : aucun outil ne tranche cette question à votre place.

Que demande la loi CAN-SPAM ?

Le guide de conformité de la FTC fixe sept exigences principales pour l'e-mail commercial. Elles s'appliquent à chaque message envoyé, et non à la campagne dans son ensemble. Un e-mail sans mention de désinscription pose donc problème, même si tous les autres e-mails de la séquence en comportent une. Le tableau reprend chaque exigence et ce qu'elle signifie concrètement pour un expéditeur de cold email.

Exigence (guide CAN-SPAM de la FTC)	Ce que cela implique pour un cold email
Aucune information d'en-tête fausse ou trompeuse	Les champs From, To, Reply-To et les informations de routage doivent être exacts et identifier la personne ou l'entreprise qui a envoyé le message.
Aucun objet trompeur	L'objet doit refléter le contenu réel de l'e-mail. Un faux « Re: » sur un premier contact laisse croire à une conversation qui n'a jamais eu lieu.
Identifier le message comme publicitaire	Un message commercial doit pouvoir être identifié comme de la publicité. Le guide n'impose pas de formulation précise.
Indiquer une adresse postale physique valide	Votre adresse postale actuelle, une boîte postale ou une boîte aux lettres privée enregistrée conformément à la réglementation postale.
Expliquer aux destinataires comment se désinscrire	Une explication claire et bien visible sur la façon de ne plus recevoir vos e-mails marketing.
Traiter les désinscriptions sous 10 jours ouvrés	Une fois ce délai écoulé, la personne désinscrite ne reçoit plus aucun e-mail marketing de votre part.
Surveiller ce que d'autres font pour votre compte	Si quelqu'un d'autre envoie pour vous, vous restez juridiquement responsable.

Exigences CAN-SPAM pour les en-têtes et l'objet de l'e-mail

Deux des exigences de la loi CAN-SPAM portent sur ce que le destinataire voit avant même d'ouvrir le message : l'en-tête et l'objet. La règle sur l'en-tête couvre le nom d'expéditeur, l'adresse d'expéditeur, le Reply-To et les informations de routage, c'est-à-dire le domaine et les serveurs par lesquels le message est passé. L'ensemble doit identifier l'expéditeur réel de l'e-mail. Envoyer sous un personnage inventé, ou depuis un domaine qui masque votre entreprise, va à l'encontre de cette règle.

CAN-SPAM n'impose ni SPF, ni DKIM, ni DMARC. Ce sont des standards techniques, pas des obligations légales. Au niveau des serveurs, ils poursuivent pourtant le même but : ils permettent à un serveur de réception de vérifier qu'un message signé pour votre domaine provient bien d'un serveur que vous avez autorisé. Si votre domaine d'expéditeur, votre signature DKIM et votre politique DMARC sont alignés, les informations de routage correspondent à l'identité que vous annoncez. Notre guide DKIM, DMARC et SPF pour le cold emailing détaille les enregistrements à publier dans votre DNS.

Pour l'objet, le critère est simple : l'objet induit-il en erreur sur le contenu ? « Petite question sur vos recrutements du T3 » au-dessus d'une présentation de logiciel de recrutement se défend. « Re: » ou « Votre facture » au-dessus d'un argumentaire commercial, non. Les exemples d'objets de mail de prospection que nous avons réunis suivent cette règle.

La loi CAN-SPAM s'applique-t-elle aux e-mails B2B ?

Beaucoup d'expéditeurs B2B pensent que la loi ne concerne que les newsletters grand public. Le guide de la FTC indique pourtant qu'elle ne prévoit aucune exception pour l'e-mail entre entreprises. Un cold email envoyé à l'adresse professionnelle d'un responsable des achats doit réunir les mêmes éléments qu'une promotion destinée aux particuliers : des en-têtes exacts, un objet honnête, une mention publicitaire, une adresse postale et un moyen de se désinscrire.

Chaque e-mail d'une séquence de prospection est évalué individuellement. Cela a trois conséquences pratiques :

• Les relances doivent elles aussi contenir l'explication de désinscription et l'adresse postale, pas seulement le premier envoi. Une relance rattachée au fil par des en-têtes In-Reply-To reste un message commercial.
• La personnalisation ne rend pas un message non commercial. Un e-mail rédigé pour un seul destinataire reste commercial si son objectif est de promouvoir votre produit.
• Selon le guide de la FTC, les abonnés et les membres peuvent eux aussi se désinscrire. Une relation existante avec le destinataire ne supprime pas l'obligation de désinscription.

Dans quel délai traiter une demande de désinscription ?

Le guide de la FTC vous accorde 10 jours ouvrés à compter de la demande de désinscription. Passé ce délai, la personne ne doit plus recevoir aucun e-mail marketing de votre part. Le guide exige aussi que l'explication de désinscription soit claire et bien visible, pour que le destinataire la trouve sans avoir à chercher. Un lien noyé en gris clair sous la signature, ou une consigne qui n'apparaît que dans le premier e-mail d'une séquence, rend cette exigence plus difficile à défendre.

En prospection à froid, les désinscriptions échouent le plus souvent parce que la liste existe à plusieurs endroits. Quelqu'un répond « retirez-moi » à votre premier e-mail, mais une relance programmée dans un autre système part quand même. Avant de lancer une séquence, choisissez une seule liste de référence et excluez-y l'adresse, pour que chaque étape planifiée l'ignore. Les désinscriptions jouent aussi sur la délivrabilité : un destinataire qui ne trouve pas comment se désinscrire clique souvent sur « spam », et les plaintes font partie des signaux que pèsent les serveurs de réception. Notre article sur pourquoi vos mails arrivent en spam traite de cet aspect.

Qui est responsable quand un tiers envoie vos e-mails ?

Le guide de la FTC précise que si vous confiez votre e-mail marketing à quelqu'un, vous ne pouvez pas vous décharger contractuellement de votre responsabilité juridique. L'entreprise dont le produit est promu et celle qui envoie réellement le message peuvent toutes deux être tenues responsables. Pour une équipe B2B, cela vise un freelance qui gère vos séquences, un prestataire qui constitue vos listes ou une plateforme qui envoie pour vous depuis sa propre adresse.

Vous ne pouvez pas faire aveuglément confiance à tout ce qui part sous votre nom. Vérifiez vous-même la ligne d'expéditeur, les objets, le pied de page avec votre adresse postale et le traitement des désinscriptions. Vous devez aussi savoir depuis quel domaine les e-mails sont envoyés : si vous ne pouvez pas dire quel domaine signe le message, vous ne pouvez pas vérifier l'exigence relative à l'en-tête. Vos rapports agrégés DMARC listent les serveurs qui envoient des e-mails au nom de votre domaine, et lire un rapport DMARC vous permet de repérer un expéditeur que vous n'avez pas autorisé.

Les limites de CAN-SPAM : destinataires en Allemagne et dans l'UE

CAN-SPAM est une loi américaine fondée sur l'opt-out. Aucune des exigences listées par la FTC n'est un consentement préalable : vous pouvez envoyer un premier message tant que vous respectez les règles et traitez les désinscriptions. Ce modèle ne se transpose pas aux autres pays. Pour les destinataires en Allemagne, le § 7 (2) n° 2 de la loi contre la concurrence déloyale (UWG) considère la publicité par e-mail sans consentement préalable et exprès du destinataire comme une nuisance inacceptable. Le § 7 (3) UWG prévoit une exception étroite pour les clients existants, qui ne couvre pas un premier contact avec un prospect.

N'envoyez donc pas de cold email à des destinataires en Allemagne, même si le message remplit toutes les exigences CAN-SPAM. Triez votre liste de prospects par pays de destination avant de planifier une séquence, et vérifiez les règles de chaque pays que vous ciblez. N'appliquez pas les règles américaines partout.

Comment EmailFlow OS envoie, et ce qui reste à votre charge

EmailFlow OS envoie des e-mails vidéo personnalisés pour la prospection B2B à froid. Vous enregistrez une seule vidéo, vous la téléversez dans EmailFlow OS, vous connectez votre propre compte Brevo et votre domaine d'envoi, puis vous importez votre liste de prospects dans EmailFlow OS. EmailFlow OS crée ensuite une version personnalisée de cet enregistrement pour chaque destinataire, et pas seulement pour chaque entreprise, et envoie chaque version depuis votre propre boîte, via votre compte Brevo et votre domaine d'envoi. Rien ne part d'une adresse d'expéditeur partagée de la plateforme.

Pour CAN-SPAM, l'essentiel est que les informations d'en-tête renvoient à votre domaine et à votre compte Brevo. Vous gardez la main sur les deux et pouvez les vérifier dans votre propre DNS et vos rapports DMARC. Le reste dépend de votre usage du produit : un objet honnête, une mention publicitaire, votre adresse postale, une explication claire de désinscription dans chaque message, et le retrait sous 10 jours ouvrés de toute personne qui se désinscrit, y compris de la liste importée dans EmailFlow OS. Utiliser EmailFlow OS ne rend pas votre prospection conforme à CAN-SPAM ni à aucune autre loi. Cela signifie simplement que le chemin d'envoi vous appartient et que vous pouvez le vérifier.

Questions fréquentes

? La loi CAN-SPAM impose-t-elle un consentement avant l'envoi d'un cold email ?

Non. Aucune des exigences du guide CAN-SPAM de la FTC n'est un consentement préalable. C'est un modèle d'opt-out : vous pouvez envoyer un premier e-mail commercial s'il comporte des en-têtes exacts, un objet honnête, une mention publicitaire, une adresse postale et une mention de désinscription. L'Allemagne fonctionne à l'inverse : le § 7 (2) n° 2 UWG exige un consentement préalable et exprès.

? CAN-SPAM s'applique-t-elle aux e-mails B2B ?

Oui. Le guide de conformité de la FTC indique que la loi ne prévoit aucune exception pour l'e-mail entre entreprises. Un cold email envoyé à une adresse professionnelle doit réunir les mêmes éléments qu'une promotion grand public : des informations d'en-tête véridiques, un objet non trompeur, une mention publicitaire, une adresse postale physique valide et une désinscription traitée sous 10 jours ouvrés.

? Puis-je indiquer une boîte postale comme adresse dans un cold email ?

Oui, selon le guide de la FTC. Une adresse postale physique valide peut être votre adresse actuelle, une boîte postale enregistrée auprès de l'US Postal Service ou une boîte aux lettres privée enregistrée auprès d'une agence commerciale de réception de courrier conformément à la réglementation postale. Une adresse inventée ou obsolète ne compte pas, car les destinataires doivent pouvoir vous joindre.

? SPF, DKIM et DMARC font-ils partie des exigences CAN-SPAM ?

Non. Ni le 16 CFR Part 316 ni le guide de la FTC ne mentionnent ces standards DNS. CAN-SPAM exige des informations d'en-tête et de routage qui ne soient ni fausses ni trompeuses. SPF, DKIM et DMARC sont des standards techniques distincts qui permettent aux serveurs de réception de vérifier que les e-mails de votre domaine proviennent de serveurs que vous avez autorisés : ils servent donc le même objectif au niveau des serveurs.