Créer une adresse mail professionnelle : domaine et sécurité

1. Une adresse à votre nom inspire confiance et reste à vous

La crédibilité. Une adresse en @votre-entreprise.fr montre que l'entreprise existe au-delà d'une boîte personnelle. Elle reprend le nom de votre site et de vos factures. Le client fait le lien sans effort.

La délivrabilité, c'est-à-dire la chance qu'un message arrive dans la boîte de réception plutôt que dans les indésirables. Avec votre propre domaine, vous pouvez publier des réglages qui prouvent que vos messages viennent bien de vous (SPF, DKIM et DMARC, expliqués partie 5). Les serveurs qui reçoivent vos mails s'en servent pour trier le vrai du faux (ANSSI).

La continuité. Vous changez d'hébergeur, de fournisseur d'accès ou de logiciel ? Le domaine reste le vôtre, donc l'adresse aussi. Une adresse attachée à un abonnement internet ou à un service gratuit, elle, disparaît avec lui. Et avec elle, le contact que vos clients ont noté depuis des années.

Prévoyez deux sortes d'adresses. Des adresses de fonction, comme contact@, devis@ ou factures@, que l'on transmet d'une personne à l'autre. Et des adresses nominatives, prenom.nom@, pour chaque personne. La différence compte au moment du RGPD (partie 6) et du départ d'un salarié (partie 8).

2. Le nom de domaine : court, lisible, et enregistré au bon nom

Choisir le nom

Le bon nom se dicte au téléphone sans l'épeler. Il reprend le nom de l'entreprise ou le nom commercial, sans abréviation obscure. Avant de le réserver, vérifiez qu'il ne reproduit pas une marque ou le nom d'une autre entreprise : voir nos guides Dénomination sociale, nom commercial et enseigne et Marque INPI : déposer une marque, classes, coût et pièges.

Les règles techniques du .fr tiennent en trois lignes (charte de nommage de l'Afnic, version du 6 juillet 2026) :

• des lettres, des chiffres et le tiret ; les lettres accentuées sont admises (é, è, ç, œ…) ;
• pas de tiret au début ni à la fin ;
• 63 caractères au plus.

Un nom accentué est permis, mais une adresse mail se tape souvent vite, sur un téléphone, par quelqu'un qui ne sait pas où sont les accents. Si vous prenez la version accentuée, réservez aussi la version sans accent.

Choisir l'extension : le .fr et l'Afnic

L'extension est la fin du nom : .fr, .com, .eu… Le .fr est géré par l'Afnic, l'office d'enregistrement français. Il parle à une clientèle française, et ses règles sont publiques : la charte de nommage. Les demandes sont traitées dans l'ordre d'arrivée : premier arrivé, premier servi (article 2.3). Si le nom vous tient à cœur, réservez aussi le .com, pour éviter qu'un autre l'utilise.

Le bureau d'enregistrement

On ne réserve pas un .fr auprès de l'Afnic directement, mais auprès d'un bureau d'enregistrement (en anglais, registrar). Il en existe environ 400, chacun avec ses tarifs et ses conditions (guide du titulaire de l'Afnic). Beaucoup sont aussi hébergeurs de sites et de messageries. L'Afnic publie un annuaire des bureaux d'enregistrement et un outil pour vérifier si un nom est libre.

Au nom de qui ?

Le titulaire est la personne inscrite dans la base Whois, l'annuaire des noms de domaine. C'est lui qui détient les droits : céder le nom, le garder, décider de ce qu'il affiche. L'Afnic cite deux histoires qui reviennent souvent. Un salarié réserve le domaine à son nom, de bonne foi, puis quitte l'entreprise : litige. Un prestataire informatique l'enregistre au sien, « par simplicité » : même problème.

La règle pratique est simple. En société, le titulaire est la société. En entreprise individuelle, c'est vous, l'entrepreneur. Votre prestataire peut gérer la partie technique ; il ne doit pas être titulaire. Vérifiez le nom du titulaire dans votre espace client chez le bureau d'enregistrement, ou demandez une capture de la fiche.

Ne vous étonnez pas de ne pas voir votre nom dans le Whois public si vous êtes entrepreneur individuel : pour une personne physique, l'Afnic applique par défaut une « diffusion restreinte », qui masque les données personnelles (charte, article 8.4).

Le renouvellement : le piège du domaine qui expire

Un .fr se réserve pour 1 à 10 ans (charte, article 2.8). Le renouvellement passe toujours par votre bureau d'enregistrement, selon ses conditions. Même avec un renouvellement automatique, l'Afnic conseille de vérifier avant l'échéance s'il faut intervenir ou payer. Une carte bancaire expirée suffit à faire échouer un prélèvement.

La charte impose aussi d'être joignable : le titulaire et le contact administratif doivent tenir à jour un téléphone et une adresse électronique qui fonctionnent (article 5.1). Des coordonnées fausses ou périmées peuvent conduire, au terme d'une procédure de justification, à la suppression de tous vos noms : gel de 7 jours au plus, blocage de 30 jours au plus, puis suppression (charte, n° 69). Vous pouvez régulariser à tout moment en envoyant les justificatifs (n° 71). Mais une suppression de ce type ne laisse pas de période de rédemption : celle-ci ne vaut que lorsque c'est le bureau d'enregistrement qui demande la suppression (article 6.8).

3. Les boîtes : chez l'hébergeur ou dans une suite bureautique

Une fois le domaine réservé, il faut un service qui reçoit, stocke et envoie les messages. Deux grandes familles existent.

Dans les deux cas, posez les mêmes questions avant de signer :

• combien de boîtes, quel espace par boîte, combien d'alias (adresses secondaires) ;
• la double authentification est-elle proposée pour chaque compte ;
• où sont hébergées les données, et le contrat prévoit-il le respect du RGPD ;
• peut-on exporter tous les messages, le jour où l'on veut partir ;
• quel est le prix au renouvellement, et pas seulement la première année.

Le domaine et les boîtes peuvent être chez deux prestataires différents. C'est même un bon réflexe : changer de messagerie ne vous oblige pas à déplacer le domaine.

4. Ce que « gratuit » veut dire

La recherche « créer une adresse mail professionnelle gratuite » est très fréquente. La réponse honnête tient en une phrase : le nom de domaine se paie, puisque c'est un droit d'utilisation à renouveler. Même « offert » la première année avec un hébergement, il se paie au renouvellement. Ce qui peut être gratuit, ce sont certains services autour.

• Une adresse gratuite chez un grand service de messagerie, avec le nom de l'entreprise devant l'arobase. Pratique pour démarrer, mais l'adresse finit par le nom du service, pas par le vôtre. Elle n'est pas professionnelle au sens de ce guide.
• La redirection : le bureau d'enregistrement fait suivre contact@votre-entreprise.fr vers une boîte que vous avez déjà. Vous recevez, mais vous répondez depuis votre adresse personnelle. Le client voit les deux. Certaines boîtes permettent d'envoyer « en tant que » l'adresse du domaine ; il faut alors que les réglages SPF autorisent ce serveur d'envoi.
• Les alias : des adresses secondaires rattachées à une même boîte (Cybermalveillance.gouv.fr). devis@ et factures@ peuvent arriver dans la même boîte que contact@. C'est souvent inclus, et bien utile.
• Une boîte incluse avec le nom de domaine ou l'hébergement du site, souvent de petite taille. Lisez les limites : espace, nombre de boîtes, durée de l'offre.

Un prix d'appel la première année n'a rien d'anormal. Comparez surtout le prix des années suivantes : c'est celui que vous paierez pendant dix ans.

5. Sécuriser : double authentification, SPF, DKIM et DMARC

Le compte d'abord

Cybermalveillance.gouv.fr observe chaque année que le piratage de comptes, surtout de messagerie, est l'une des principales menaces pour les professionnels. Pour une TPE, le scénario type est connu : un message d'hameçonnage (phishing, un faux message qui imite un expéditeur de confiance), un mot de passe volé, une boîte sans double authentification. L'escroc lit les échanges, récupère une facture, change le RIB, et l'envoie à vos clients (mémento TPE-PME de Cybermalveillance.gouv.fr).

• Double authentification sur chaque boîte, sur le compte du bureau d'enregistrement et sur celui de l'hébergeur : à chaque connexion depuis un nouvel appareil, une confirmation est demandée : code reçu par SMS ou par mail, application, clé de sécurité ou reconnaissance biométrique. Gardez les codes de secours à part.
• Un mot de passe solide et unique par compte : 12 signes au minimum, mélangeant majuscules, minuscules, chiffres et caractères spéciaux, rangé dans un gestionnaire de mots de passe. Soignez d'abord celui de la messagerie : c'est elle qui reçoit les liens « mot de passe oublié » de tous vos autres comptes (Cybermalveillance.gouv.fr). « Soleil83 » protège mal, même dans le Var.
• Vérifiez de temps en temps les règles de filtrage et de redirection, l'historique des connexions et les moyens de récupération du compte (téléphone, adresse de secours). Un pirate installe souvent une redirection discrète pour suivre vos échanges.

Pour reconnaître une fraude au faux RIB et réagir, lisez notre guide Fraude au président et faux RIB : la reconnaître, s'en protéger, réagir.

Le domaine ensuite : SPF, DKIM et DMARC en clair

Par construction, n'importe quel serveur peut écrire n'importe quelle adresse dans le champ « De » d'un message (ANSSI). Trois réglages, publiés dans la zone DNS de votre domaine, permettent aux destinataires de vérifier qu'un message vient bien de vous.

D'après le guide de l'ANSSI « Recommandations relatives à l'interconnexion d'un système d'information à Internet » (2020), § 5.4, qui recommande de configurer les trois pour ses domaines. Cybermalveillance.gouv.fr propose aussi un guide de configuration de DMARC destiné aux professionnels.

L'ANSSI conseille de commencer DMARC en mode p=none, d'observer les rapports, puis de passer à une politique plus stricte. DMARC s'appuie sur les deux autres : mettez SPF et DKIM en place d'abord. En pratique, votre hébergeur de messagerie fournit les valeurs à copier ; votre bureau d'enregistrement, ou la personne qui gère votre DNS, les colle. Demandez-le dès l'ouverture des boîtes, et notez la date sur la fiche « mes accès ».

Ces protocoles ont leurs limites, que l'ANSSI rappelle : ils ne voient pas une adresse qui imite la vôtre à une lettre près, ni le contenu piégé d'un message. Et si un escroc est entré dans votre boîte, ses messages partent de vos vrais serveurs : ils passent les trois contrôles sans difficulté. D'où la double authentification d'abord. Votre vigilance reste le dernier filtre.

6. RGPD : l'adresse prenom.nom@ est une donnée personnelle

Une adresse nominative, comme pauline.martin@votre-entreprise.fr, permet d'identifier une personne : c'est une donnée personnelle, protégée par le RGPD. Les adresses de fonction ont un statut à part sur un point précis : pour la prospection par courriel entre professionnels, la CNIL rappelle que les adresses génériques de type info@, contact@ ou commande@, qui concernent des personnes morales, ne sont pas soumises aux règles qu'elle détaille. Cela ne les sort pas du RGPD pour autant. Et si contact@ est en réalité la boîte d'une seule personne identifiable, un entrepreneur individuel par exemple, mieux vaut la traiter comme une donnée personnelle.

Trois conséquences pratiques :

• sur votre site, publiez plutôt une adresse de fonction ; un formulaire de contact qui collecte des adresses impose une information claire du visiteur. Voir notre guide Mentions légales et RGPD du site d'une petite entreprise ;
• votre fournisseur de messagerie traite les messages pour votre compte : vérifiez dans son contrat où sont stockées les données et ce qu'il s'engage à faire en matière de protection des données ;
• pour envoyer de la publicité par mail, les règles de la prospection s'appliquent : consentement préalable des particuliers, sauf exceptions ; information et droit d'opposition simple pour les professionnels, si le message concerne leur métier (CNIL). Une adresse professionnelle ne dispense pas de les respecter.

7. Archiver ses mails : exporter avant de fermer

Un mail peut prouver une commande, un accord sur un prix, une réclamation. Ceux qui ont une valeur de preuve se gardent comme les autres documents de l'entreprise, pendant les durées que rappelle notre guide Combien de temps garder ses papiers d'entreprise.

• Rangez les échanges importants dans le dossier du client ou du chantier, pas seulement dans la boîte.
• Faites un export complet de chaque boîte au moins une fois par an, et avant tout changement de fournisseur : selon les contrats, une boîte résiliée emporte tout son historique.
• Gardez l'export sur un support que vous contrôlez, et sauvegardé ailleurs.

8. Le départ d'un salarié : prévenir, trier, supprimer

La CNIL est claire sur la marche à suivre. L'employeur prévient le salarié de la date de fermeture de son compte, pour qu'il fasse le tri et transfère ses messages privés vers sa messagerie personnelle. Une fois le salarié parti, l'employeur supprime son adresse électronique nominative.

Les règles se fixent à l'avance, dans une charte informatique connue de tous : consultation de la boîte pendant une absence, fermeture au départ. Les messages envoyés ou reçus depuis le poste de travail sont présumés professionnels. Un message clairement marqué « personnel » ou « privé » ne doit pas être ouvert par l'employeur, au nom du secret des correspondances (CNIL).

C'est ici que les adresses de fonction montrent leur intérêt. Si les clients écrivent à devis@ ou à contact@, la relation continue quand la personne change. Pensez aussi aux comptes que le salarié avait ouverts avec son adresse : fournisseurs, plateformes, outils. Changez leur adresse de connexion avant de fermer la boîte.

9. La check-list et la fiche « mes accès »

La check-list suit l'ordre de la mise en place. La fiche « mes accès » rassemble ce qu'il faut savoir le jour où quelque chose cloche : qui détient le domaine, chez qui, jusqu'à quand. Vous retrouvez les deux dans le document Word offert avec ce guide. Gardez la fiche à jour et rangez-la avec vos papiers importants.

10. Questions fréquentes

Peut-on créer une adresse mail professionnelle gratuite ?

Sans nom de domaine, oui, mais l'adresse finit par le nom du service de messagerie. Avec votre propre domaine, il faut payer au moins le nom de domaine, qui se renouvelle. Certaines offres incluent une boîte ou une redirection ; lisez les limites et le prix des années suivantes (partie 4).

Faut-il une société pour avoir un .fr ?

Non. Une personne physique qui réside dans l'Union européenne, en Islande, au Liechtenstein, en Norvège ou en Suisse peut être titulaire ; une personne morale doit y avoir son siège ou son établissement principal (charte de nommage, article 5.1). Un entrepreneur individuel réserve donc le domaine à son nom.

Mon nom de domaine a expiré : est-il perdu ?

Pas forcément. Après la demande de suppression, une période de rédemption de 30 jours permet encore de le récupérer par votre bureau d'enregistrement. Appelez-le tout de suite. Passé ce délai, le nom revient au premier qui le demande (Afnic).

Puis-je garder mon adresse si je change d'hébergeur ?

Oui, si le domaine est à votre nom. Vous ouvrez les boîtes chez le nouveau fournisseur, vous exportez puis importez vos messages, et vous modifiez les réglages DNS du domaine. Vérifiez ensuite SPF, DKIM et DMARC : ils changent souvent avec le fournisseur.

Que faire si ma boîte est piratée ?

Cybermalveillance.gouv.fr recommande de :

• vérifier et supprimer les règles de filtrage ou de redirection posées à votre insu ;
• changer le mot de passe, et partout où vous utilisiez le même ; activer la double authentification ;
• dans l'historique des connexions, faire une capture d'écran des appareils inconnus, puis les déconnecter ;
• vérifier le téléphone et l'adresse de récupération du compte ;
• prévenir vos contacts, alerter votre banque et surveiller vos comptes ;
• déposer plainte selon le préjudice subi.

Si vous ne pouvez plus vous connecter, contactez votre fournisseur de messagerie. L'assistance en ligne 17Cyber, sur Cybermalveillance.gouv.fr, vous guide pas à pas et peut vous orienter vers un professionnel.

Sources. Afnic : « Charte de nommage de l'Afnic », version du 6 juillet 2026, articles 2.2, 2.3, 2.8, 5.1, 6.8 et 8.4 ; « Guide pratique du titulaire d'un nom de domaine en .fr », 2024 ; « Supprimez votre nom de domaine » · Cybermalveillance.gouv.fr : « Que faire en cas de piratage d'une boîte mail ? », mis à jour le 5 octobre 2026 ; « Que faire en cas de phishing ou hameçonnage ? », mis à jour le 7 mai 2026 ; « Cybersécurité : mémento à l'attention des dirigeants de TPE-PME » ; « Mots de passe », mis à jour le 5 octobre 2026 ; « Double authentification », mis à jour le 25 février 2026 ; « Guide de configuration de DMARC », 12 juillet 2023 · CNIL : « L'accès à la messagerie d'un salarié en son absence » ; « Messagerie professionnelle : quelles précautions avant de fermer le compte d'un employé ? » ; « La prospection commerciale par courrier électronique », 10 juin 2026 · ANSSI : « Recommandations relatives à l'interconnexion d'un système d'information à Internet », ANSSI-PA-066 du 19 juin 2020, § 5.4 ; pages et documents lus le 16 octobre 2026. Avertissement. Ce guide ne constitue pas un conseil juridique ou technique. Il ne recommande aucun prestataire : les tarifs et conditions des bureaux d'enregistrement et des hébergeurs sont libres et varient. Réseau Actif n'est pas un service de l'administration. Version. Document établi le 16 octobre 2026 par Réseau Actif.