CAN-SPAM et cold email : les 7 règles que les expéditeurs américains doivent suivre (2026)

Le cold email est-il légal selon CAN-SPAM ?

CAN-SPAM couvre tous les messages commerciaux, que la loi définit comme « tout message électronique dont l'objectif principal est la publicité ou la promotion d'un produit ou service commercial ». Cela inclut la prospection B2B à froid. La loi ne prévoit aucune exception pour les emails inter-entreprises.

Ce qui surprend souvent : CAN-SPAM est permissive. Vous pouvez contacter un prospect à froid, à condition de vous identifier, de ne pas induire en erreur et de proposer un moyen de se désinscrire. Il n'y a aucune obligation de consentement préalable. La loi exige simplement que vous offriez aux destinataires un moyen de se retirer après l'envoi du message.

C'est la différence fondamentale entre la législation américaine et les règles en Europe ou au Canada. Sous le RGPD, vous devez généralement vous appuyer sur une base légale comme l'« intérêt légitime » avant de contacter un prospect B2B par email. Sous CASL, vous devez généralement obtenir un consentement exprès ou implicite avant d'envoyer des messages commerciaux à des destinataires canadiens. Le « consentement implicite » existe si vous avez eu une relation commerciale antérieure avec le contact, mais il expire au bout de deux ans. La prospection à froid sans relation préalable nécessite un consentement exprès.

Si vous contactez des prospects basés aux États-Unis sans relation préalable, CAN-SPAM l'autorise. Mais « autorisé » s'accompagne de sept règles précises.

Les 7 exigences CAN-SPAM que tout expéditeur de cold emails respecte

Chaque email individuel en infraction avec le CAN-SPAM Act peut entraîner des pénalités allant jusqu'à 53 088 $. Voici les exigences, tirées du guide de conformité de la FTC:

1. Ne pas utiliser d'informations d'en-tête fausses ou trompeuses

Vos informations « De », « À », « Répondre à » et de routage, y compris le nom de domaine d'origine et l'adresse email, doivent être exactes et identifier la personne ou l'entreprise à l'origine du message.

Concrètement, votre domaine d'envoi, votre nom d'affichage et votre adresse de réponse doivent tous correspondre à votre vraie identité. Envoyer depuis « john@bigcorp.com » alors que vous travaillez dans une autre entreprise constitue une infraction.

2. Ne pas utiliser d'objets trompeurs

L'objet doit refléter fidèlement le contenu du message. Des objets comme « Re: notre appel d'hier » alors qu'aucun appel n'a eu lieu, ou « Votre facture » sans facture réelle, enfreignent la loi.

Vous vous demandez peut-être : où est la limite entre « créatif » et « trompeur » ? Un bon test : est-ce qu'une personne raisonnable se sentirait induite en erreur après avoir ouvert l'email ? Si oui, réécrivez l'objet.

3. Identifier le message comme une publicité si nécessaire

La loi vous laisse beaucoup de latitude sur la manière de le faire, mais vous devez indiquer clairement et visiblement que votre message est une publicité. En cold email B2B, c'est rarement un problème, car la plupart des emails de prospection ressemblent à une conversation professionnelle plutôt qu'à un envoi promotionnel. Cela dit, si votre email vend principalement un produit ou un service, la nature commerciale doit être évidente dans le contexte.

4. Inclure une adresse postale physique valide

Votre message doit inclure une adresse postale physique valide. Il peut s'agir de votre adresse actuelle, d'une boîte postale enregistrée auprès du service postal américain (U.S. Postal Service) ou d'une boîte aux lettres privée enregistrée auprès d'une agence de réception de courrier commercial.

La plupart des expéditeurs de cold emails ajoutent cette information dans leur signature. Une boîte postale ou une boîte aux lettres virtuelle enregistrée suffit.

5. Indiquer aux destinataires comment se désinscrire

La loi exige que chaque email commercial inclue un mécanisme de désinscription clair et visible, mais elle n'impose pas spécifiquement un lien de désinscription cliquable.

Vous pouvez vous conformer en ajoutant une ligne en texte brut comme « Répondez à cet email si vous souhaitez vous désinscrire. » Tant que les destinataires disposent d'un moyen clair et fonctionnel de se retirer de votre prospection, vous êtes en règle.

Pour le cold email en particulier, de nombreuses équipes outbound préfèrent une désinscription par réponse, car cela donne au message un ton de conversation 1:1 plutôt qu'un envoi marketing. Cependant, les règles des fournisseurs de messagerie pour les expéditeurs en volume (Gmail et Yahoo depuis 2024) exigent des en-têtes de désinscription en un clic au-delà d'un certain volume. Si vous envoyez à grande échelle, un lien de désinscription est l'approche la plus sûre.

Astuce : Des outils comme lemlist vous permettent d'ajouter automatiquement un lien de désinscription ou une option de désinscription par réponse à chaque email d'une séquence, et de synchroniser les listes de suppression sur toute votre infrastructure d'envoi. Résultat : les désinscriptions sont prises en compte partout en même temps.

6. Traiter les demandes de désinscription sous 10 jours ouvrés

Tout mécanisme de désinscription que vous proposez doit être capable de traiter les demandes pendant au moins 30 jours après l'envoi de votre message. Vous devez honorer la demande de désinscription d'un destinataire sous 10 jours ouvrés.

Dix jours, c'est le maximum légal. En pratique, traitez les désinscriptions immédiatement. Un destinataire qui s'est désinscrit et reçoit un autre email dans cet intervalle déposera plus probablement une plainte pour spam qu'une plainte juridique formelle. Les plaintes pour spam nuisent directement à votre réputation d'expéditeur.

Si un prospect répond « retirez-moi » et que votre équipe le réajoute deux semaines plus tard, c'est une infraction. Cela arrive souvent quand les équipes gèrent leur prospection sur plusieurs outils sans liste de suppression unifiée.

7. Contrôler ce que font les tiers en votre nom

La loi précise clairement que même si vous engagez une autre entreprise pour gérer vos emails marketing, vous ne pouvez pas déléguer contractuellement votre responsabilité légale. Si vous utilisez une agence, un freelance ou un outil outbound pour envoyer des emails à votre place, vous restez responsable de chaque message.

Pénalités CAN-SPAM et application réelle

L'amende peut atteindre 53 088 $ par email pour le reste de l'année 2026. La FTC a confirmé dans le Federal Register le 15 septembre que les montants de ses pénalités civiles ne changeront pas cette année et qu'elle continuera d'appliquer les niveaux de 2025.

C'est par email individuel. La pénalité est calculée par email, pas par campagne. Une campagne de 1 000 emails où chaque message est non conforme représente une exposition théorique de plus de 53 millions de dollars.

Et la FTC agit. Verkada a dû payer une pénalité de 2,95 millions de dollars pour régler des accusations selon lesquelles l'entreprise avait inondé des prospects d'emails commerciaux en violation du CAN-SPAM Act, la plus grosse amende jamais obtenue par la FTC pour une infraction CAN-SPAM. La plainte alléguait que Verkada avait enfreint CAN-SPAM en noyant des prospects sous des emails commerciaux, sans inclure d'option de désinscription, sans honorer les demandes de retrait et sans fournir d'adresse postale physique.

Au-delà de la FTC, le CAN-SPAM Act prévoit certaines infractions aggravées pouvant entraîner des amendes supplémentaires. La loi prévoit des sanctions pénales, y compris des peines d'emprisonnement, pour l'accès non autorisé à l'ordinateur d'un tiers pour envoyer du spam, l'utilisation de fausses informations pour enregistrer plusieurs comptes email ou noms de domaine, et le harvesting d'adresses email.

CAN-SPAM vs RGPD vs CASL pour le cold email

Si vos prospects sont uniquement aux États-Unis, CAN-SPAM est la loi applicable. Mais la plupart des équipes outbound contactent des personnes dans plusieurs pays. Voici comment les trois principaux cadres se comparent :

Sous CASL, le consentement peut être implicite plutôt qu'exprès dans des fenêtres définies. Un achat crée un consentement implicite de 2 ans, et une demande d'information crée un consentement implicite de 6 mois. En dehors de ces fenêtres, vous ne pouvez généralement pas envoyer de cold emails à des destinataires canadiens.

Ce qu'il faut retenir : segmentez vos listes par pays du destinataire et appliquez la loi la plus stricte à chaque segment. Si un contact est au Canada, suivez CASL. S'il est dans l'UE, suivez le RGPD. S'il est aux États-Unis, suivez CAN-SPAM.

Checklist de conformité CAN-SPAM pour vos campagnes de cold email

Voici une référence rapide à utiliser avant de lancer chaque séquence :

• •

  Nom « De » et adresse de réponse exacts : Les deux correspondent à votre vraie identité et à votre entreprise

• •

  Objet honnête : Reflète le contenu réel de l'email, pas de faux « Re: » ou « Tr: »

• •

  Adresse postale physique : Dans la signature ou le pied de page de l'email (une boîte postale suffit)

• •

  Mécanisme de désinscription clair : Soit une désinscription par réponse, soit un lien de désinscription

• •

  Désinscriptions traitées immédiatement : Suppression appliquée en quelques heures, synchronisée sur tous les outils

• •

  Liste de suppression globale : Une seule liste qui empêche le réenrôlement sur toutes les campagnes et tous les outils

• •

  Contrôle des tiers : Si des agences ou prestataires envoient en votre nom, vous avez vérifié leur conformité

Le plus gros risque opérationnel sur cette liste : la synchronisation des suppressions. Si un prospect se désinscrit dans un outil mais reste actif dans un autre et se retrouve réenrôlé dans une nouvelle séquence deux mois plus tard, c'est une violation de l'exigence CAN-SPAM de désinscription sous 10 jours.

Dans lemlist, la fonctionnalité de liste noire synchronise les suppressions sur toutes les campagnes et tous les comptes d'envoi. Un contact qui se désinscrit d'une séquence est automatiquement bloqué pour tous les envois futurs. Que la désinscription provienne d'un lien ou d'une réponse manuelle.

→ Essayer lemlist (sans carte bancaire)

Conformité et délivrabilité se renforcent mutuellement

Respecter CAN-SPAM ne sert pas qu'à éviter les amendes. Les mêmes pratiques qui vous gardent en règle empêchent aussi vos emails d'atterrir en spam.

Des objets honnêtes et des informations « De » exactes réduisent les plaintes pour spam. Un mécanisme de désinscription fonctionnel que vous honorez rapidement indique aux fournisseurs de messagerie (Gmail, Outlook) que vous êtes un expéditeur légitime. Des listes vérifiées et ciblées font baisser le taux de bounce, ce qui protège la réputation de votre domaine.

À l'inverse, le moyen le plus rapide de détruire votre délivrabilité est aussi le plus rapide pour enfreindre CAN-SPAM : des en-têtes trompeurs, pas de désinscription et une liste mal entretenue.

Les exigences de Gmail pour les expéditeurs en volume imposent l'authentification SPF, DKIM et DMARC, la prise en charge de la désinscription en un clic et un taux de plaintes bas. Ces exigences recoupent presque parfaitement la conformité CAN-SPAM. Si vous avez construit votre outbound autour de la loi, vous êtes déjà en grande partie prêt pour un bon placement en inbox.

Le Deliverability Hub de lemlist surveille la santé de vos boîtes et de vos domaines, vérifie vos campagnes avant envoi pour détecter les contenus à risque, et alterne entre les boîtes d'envoi pour protéger votre réputation à grande échelle. Chaque compte inclut aussi lemwarm, qui construit automatiquement la réputation d'expéditeur pour les nouveaux domaines et boîtes.

Envoyez des cold emails qui arrivent en inbox et restent conformes

CAN-SPAM offre aux expéditeurs américains un cadre clair et applicable : dites la vérité, donnez aux gens un moyen de se retirer, et honorez-le rapidement. La loi n'est pas compliquée. Le vrai défi, c'est de l'appliquer sur chaque campagne, chaque outil et chaque membre de l'équipe.

C'est là qu'une plateforme tout-en-un fait la différence. lemlist couvre la recherche de leads, la vérification d'emails, le séquençage multicanal, la gestion des désinscriptions et le suivi de la délivrabilité dans un seul workflow. La conformité ne dépend plus de checklists manuelles ou de bricolages multi-outils.

→ Essayer lemlist (sans carte bancaire, résiliable à tout moment)