Comment configurer le port SMTPS pour sécuriser l’envoi d’e-mails WordPress

Un formulaire de contact qui ne répond pas, une commande dont le message de confirmation n’arrive jamais, une réinitialisation de mot de passe perdue dans les limbes numériques : les courriels WordPress peuvent se montrer capricieux. La cause n’est pas toujours spectaculaire. Parfois, le site envoie simplement ses messages sans authentification ni chiffrement, une méthode que certains hébergeurs et fournisseurs de messagerie n’acceptent plus volontiers.

Configurer un envoi sécurisé par SMTP permet à WordPress de transmettre ses courriels par un serveur de messagerie authentifié. Le port 465, souvent associé au terme « SMTPS », est une option courante pour établir une connexion chiffrée dès le départ. Voici comment le configurer, ce qu’il faut vérifier et comment éviter les pièges les plus fréquents.

Pourquoi WordPress a besoin d’un serveur SMTP

À l’installation, WordPress s’appuie généralement sur la fonction d’envoi de courriels de PHP, le langage utilisé par le site. Cette méthode est pratique, mais elle ne garantit ni une authentification adaptée ni une bonne réputation auprès des services de messagerie. Selon l’hébergement, elle peut être désactivée, limitée ou considérée comme suspecte.

Résultat : un courriel peut partir du site sans parvenir à destination. Il peut être refusé, classé comme indésirable ou ne jamais être remis. C’est particulièrement gênant pour les messages de commande, les demandes de réinitialisation de mot de passe et les formulaires de contact. Un site qui ne transmet pas ses messages ressemble vite à une boutique fermée, même si sa vitrine est impeccable.

Avec SMTP, WordPress transmet les courriels à un serveur de messagerie au moyen d’un compte autorisé. Le serveur vérifie l’identité de l’expéditeur, puis envoie le message. Lorsque la connexion est chiffrée, les échanges entre le site et le serveur sont également mieux protégés.

Port 465 ou port 587 : quelle différence ?

Le port 465 est couramment utilisé pour une connexion SMTP chiffrée dès son établissement, appelée TLS implicite. Le chiffrement commence immédiatement : le serveur et le site négocient une connexion sécurisée avant d’échanger les informations de connexion et le contenu du message.

Le port 587 est une autre option très répandue. Il commence par établir une connexion SMTP, puis la transforme en connexion chiffrée à l’aide de STARTTLS. Dans la pratique, les deux ports peuvent convenir. Le bon choix dépend des réglages recommandés par votre hébergeur ou votre fournisseur de messagerie.

Le terme « SMTPS » est souvent employé pour désigner l’envoi SMTP chiffré sur le port 465. Il ne s’agit pas d’un protocole entièrement différent que WordPress activerait par magie : ce qui compte, c’est l’association correcte du serveur, du port, du mode de chiffrement et des identifiants.

• Port 465 : choisissez le chiffrement TLS implicite ou l’option SSL/TLS indiquée par votre extension.

• Port 587 : choisissez généralement STARTTLS ou TLS, selon les termes utilisés dans l’interface.

• Port 25 : il est souvent réservé à la transmission entre serveurs et peut être bloqué par les hébergeurs pour les envois depuis un site.

Attention : les interfaces des extensions ne nomment pas toujours les options de la même façon. « SSL » peut désigner, dans certaines interfaces, la connexion chiffrée sur le port 465, même si TLS est la technologie de sécurité actuelle. Ne devinez pas : fiez-vous aux paramètres fournis par votre prestataire.

Rassemblez les informations de votre messagerie

Avant d’ouvrir les réglages de WordPress, récupérez les paramètres SMTP auprès de votre hébergeur ou de votre fournisseur de messagerie. Les trouver dans un panneau d’administration peut prendre moins de temps que de jouer aux devinettes dans les réglages du site.

• Le nom du serveur SMTP, par exemple mail.exemple.ch.

• Le port recommandé : 465 ou 587, selon le service.

• Le type de chiffrement attendu : TLS implicite, SSL/TLS ou STARTTLS.

• Le nom d’utilisateur, généralement l’adresse électronique complète.

• Le mot de passe du compte ou un mot de passe d’application distinct.

• L’adresse qui apparaîtra comme expéditeur, par exemple contact@exemple.ch.

Utilisez une adresse appartenant à votre domaine. Si votre site est exemple.ch, un expéditeur comme contact@exemple.ch est généralement plus cohérent qu’une adresse gratuite extérieure. Le serveur doit toutefois autoriser cette adresse : l’identité affichée ne peut pas toujours être choisie librement.

Configurer SMTP dans WordPress avec une extension

WordPress ne propose pas, dans ses réglages standards, de formulaire complet pour configurer un serveur SMTP. Une extension dédiée est donc la solution la plus accessible. WP Mail SMTP est l’une des extensions utilisées pour cela, mais d’autres outils proposent des réglages comparables.

• Dans l’administration WordPress, ouvrez la section des extensions et ajoutez l’extension SMTP de votre choix.

• Activez-la, puis accédez à sa page de réglages.

• Indiquez le nom et l’adresse électronique de l’expéditeur. Activez, si cela convient à votre configuration, l’option qui impose ces valeurs aux autres extensions.

• Choisissez une méthode d’envoi par SMTP ou « autre SMTP » si votre extension propose plusieurs services.

• Saisissez le nom du serveur SMTP et le port fourni par votre prestataire.

• Pour le port 465, choisissez le mode de chiffrement correspondant à TLS implicite. Pour le port 587, sélectionnez généralement STARTTLS.

• Activez l’authentification SMTP, puis indiquez le nom d’utilisateur et le mot de passe.

• Enregistrez les réglages et envoyez un courriel de test depuis l’extension.

Les intitulés varient d’une extension à l’autre. Une case appelée « chiffrement » ne suffit pas à déterminer la bonne option : vérifiez qu’elle correspond au port choisi. Associer le port 465 à STARTTLS, par exemple, risque d’empêcher la connexion. C’est un peu comme essayer la mauvaise clé dans la bonne serrure : l’intention est là, mais la porte reste fermée.

Vérifier que les messages arrivent vraiment

Un message de test annoncé comme « envoyé » ne prouve pas à lui seul que tout fonctionne. Cela indique souvent que WordPress a réussi à transmettre la demande au serveur, pas nécessairement que le destinataire l’a reçue dans sa boîte de réception.

Envoyez le test vers une adresse que vous pouvez consulter, puis vérifiez la boîte de réception, les courriers indésirables et, si disponible, les détails du message. Examinez aussi les courriels produits par les fonctions importantes du site : formulaire de contact, inscription, commande ou demande de nouveau mot de passe.

Le test le plus utile est souvent celui qui ressemble à la vraie vie. Demandez à une personne de remplir le formulaire du site, puis vérifiez que vous recevez la demande et que l’adresse de réponse permet de lui répondre. Un message de test technique ne reproduit pas forcément tous les réglages de vos extensions.

Sécuriser les identifiants et l’expéditeur

Le mot de passe SMTP donne accès à un compte de messagerie : traitez-le comme un identifiant sensible. Évitez de le copier dans un document public, de le transmettre dans un courriel non protégé ou de le laisser accessible à des personnes qui n’administrent pas le site.

Si votre fournisseur le permet, créez un mot de passe d’application réservé à WordPress. Il pourra être révoqué sans modifier le mot de passe principal de votre boîte. Pour une configuration sur mesure, il est aussi possible de conserver les informations sensibles dans le fichier de configuration de WordPress ou dans des variables d’environnement, plutôt que de les exposer inutilement dans l’administration.

Choisissez une adresse d’expéditeur fixe et autorisée par le serveur. Évitez d’utiliser comme expéditeur l’adresse saisie par le visiteur dans un formulaire : elle ne vous appartient pas et peut déclencher un refus ou dégrader la réputation du domaine. Pour répondre à la personne, utilisez plutôt son adresse dans le champ « Répondre à », lorsque votre extension de formulaire le permet.

Améliorer la délivrabilité avec SPF, DKIM et DMARC

Une connexion SMTP sécurisée protège la transmission entre WordPress et le serveur de messagerie. Elle ne garantit pas, à elle seule, que tous les fournisseurs considéreront les messages comme légitimes. Pour aider à prouver que votre domaine autorise ces envois, vérifiez également ses réglages DNS.

• SPF indique quels serveurs sont autorisés à envoyer des courriels pour votre domaine.

• DKIM ajoute une signature vérifiable aux messages, afin d’aider à confirmer leur origine et leur intégrité.

• DMARC précise aux services de réception comment traiter les messages qui ne passent pas les contrôles liés au domaine, et peut fournir des rapports.

Ces réglages sont généralement ajoutés dans la zone DNS de votre domaine. Ne copiez pas une valeur trouvée dans un exemple au hasard : les enregistrements dépendent du fournisseur utilisé. Demandez-lui les valeurs exactes et évitez de créer plusieurs entrées SPF distinctes pour le même domaine, une erreur fréquente qui peut invalider la vérification.

Résoudre les erreurs les plus fréquentes

Si le courriel de test échoue, commencez par vérifier les éléments les plus simples : nom du serveur, port, chiffrement, nom d’utilisateur et mot de passe. Une seule faute de frappe suffit à transformer un réglage presque correct en porte close.

• Échec de connexion : vérifiez le serveur et le port. Certains hébergeurs bloquent les connexions sortantes vers des serveurs SMTP externes ; leur assistance peut confirmer la règle.

• Erreur de chiffrement : vérifiez la correspondance entre le port et le mode choisi. Essayez le port recommandé plutôt que d’alterner les options sans méthode.

• Identifiants refusés : utilisez l’adresse complète comme nom d’utilisateur et vérifiez si un mot de passe d’application est requis.

• Message reçu dans les indésirables : contrôlez l’adresse d’expéditeur, SPF et DKIM, puis demandez au fournisseur si le domaine est correctement authentifié.

• Courriels de formulaire absents : vérifiez les réglages de l’extension de formulaire, les journaux d’envoi et l’adresse destinataire. SMTP ne corrige pas une règle de formulaire mal configurée.

En cas de doute, consultez les journaux d’erreurs de l’extension ou transmettez le message d’erreur complet à votre hébergeur. « Ça ne marche pas » est une émotion compréhensible ; le code d’erreur, lui, est souvent beaucoup plus utile.

Une configuration discrète, mais essentielle

Pour sécuriser l’envoi des courriels WordPress, retenez l’essentiel : choisissez le port recommandé par votre fournisseur, associez-le au bon mode de chiffrement, activez l’authentification et testez les messages réellement utilisés par votre site. Le port 465 convient souvent au TLS implicite ; le port 587 est généralement associé à STARTTLS. Aucun des deux n’est universellement supérieur : c’est la configuration du service qui décide.

Une fois l’envoi fonctionnel, vérifiez aussi l’authentification DNS de votre domaine et protégez les identifiants du compte. Ce réglage ne se voit pas dans le design de votre site, mais il se remarque immédiatement quand les messages arrivent à bon port. Et dans le monde du web, c’est parfois le détail invisible qui évite le plus de mauvaises surprises.