Validation email en temps réel via API

En bref : une API de validation en temps réel contrôle chaque adresse email au moment où l’internaute la saisit, avant qu’elle n’entre dans votre base. Syntaxe, existence du domaine, boîte réellement active, adresse jetable : la vérification prend en général moins d’une seconde et bloque les erreurs à la source. C’est le complément logique du nettoyage de liste et du double opt-in, pas leur remplaçant.

Le contrôle du formulaire ne vérifie rien du tout

Un champ <input type="email"> en HTML, une regex côté serveur, et beaucoup d’équipes considèrent le sujet réglé. Le problème, c’est que ces contrôles ne regardent que la forme de l’adresse. La documentation MDN le dit d’ailleurs sans détour : la validation native du navigateur se limite à la syntaxe et ne garantit ni l’existence de l’adresse, ni sa fiabilité. Elle recommande de tout revérifier côté serveur.

Or une adresse peut être parfaitement conforme aux RFC 5321 et 5322, les deux standards de l’IETF qui définissent le format des adresses et le protocole SMTP, tout en étant inutilisable. Prenez jean.dupont@gmial.com. Cette adresse passe n’importe quelle regex, et le domaine gmial.com existe même techniquement. Sauf que votre prospect voulait écrire gmail.com. Vous venez de perdre un lead, et vous allez router des messages dans le vide pendant des mois.

Les retours du secteur convergent : une part significative des adresses saisies dans les formulaires web est erronée ou inexploitable, entre les fautes de frappe, les domaines inexistants et les adresses jetables créées pour l’occasion. Quand le formulaire est alimenté par une campagne payante, chaque adresse fausse représente un coût d’acquisition dépensé pour rien. Le CRM se remplit, mais pas de prospects.

Valider à la saisie ou nettoyer après coup ?

Deux approches coexistent et elles ne répondent pas au même besoin.

Critère	Validation temps réel (API)	Nettoyage par lot
Moment	À la saisie, avant l’entrée en base	Sur une base déjà constituée
Cible	Les nouvelles adresses	Le stock existant
Fréquence	En continu	Avant les campagnes importantes, ou 2 à 3 fois par an
Ce qui est traité	Fautes de frappe, jetables, adresses bidon	NPAI accumulés, adresses mortes, spamtraps

L’un ne remplace pas l’autre. Une base se dégrade naturellement : vos contacts changent d’employeur, abandonnent une boîte, ferment un compte. Selon les rapports annuels publiés par ZeroBounce, entre 22 et 28 % des adresses d’une liste deviennent obsolètes chaque année. Valider à l’entrée sans jamais traiter le stock revient à filtrer l’eau du robinet en laissant croupir la citerne. Pour la partie nettoyage du stock, notre guide complet de la validation d’emails détaille la démarche.

À l’inverse, nettoyer sa base deux fois par an sans rien contrôler à la saisie, c’est accepter des mois de bounces entre deux passages. La combinaison des deux ferme la boucle.

Ce qui se passe pendant l’appel API

Le principe tient en une phrase : votre formulaire envoie l’adresse à un endpoint HTTPS et reçoit un verdict. Entre les deux, l’API enchaîne plusieurs contrôles en cascade.

1. Analyse syntaxique : conformité au format défini par les RFC, bien au-delà d’une simple regex.
2. Vérification DNS et MX : le domaine existe-t-il, et déclare-t-il des serveurs capables de recevoir du courrier ?
3. Interrogation SMTP : un dialogue avec le serveur destinataire permet de savoir si la boîte accepte les messages, sans rien envoyer.
4. Détection des cas particuliers : adresse jetable, adresse de rôle (contact@, info@), domaine catch-all qui accepte tout sans distinction.

La réponse arrive au format JSON, avec un statut principal (valide, invalide, risqué, inconnu) et des attributs complémentaires. Certaines API renvoient aussi une suggestion de correction quand une faute de frappe est probable sur un domaine connu.

Côté rapidité, la majorité des fournisseurs traitent une vérification unitaire en moins d’une seconde. Mailgun s’engage par exemple contractuellement sur une réponse en moins de 200 millisecondes pour 95 % du volume, sur les résultats en cache. Il est vrai que l’interrogation SMTP d’un serveur lent ou capricieux peut prendre deux ou trois secondes, un point à anticiper dans votre intégration. La documentation de l’API CleanMyList décrit les statuts renvoyés et les modalités d’appel si vous voulez voir à quoi ressemble concrètement ce type d’échange.

Intégrer la vérification sans dégrader l’expérience

Le piège classique consiste à vérifier l’adresse à chaque frappe. Résultat : des dizaines d’appels inutiles et un formulaire qui rame. Déclenchez plutôt la vérification quand l’internaute quitte le champ email, en un seul appel asynchrone.

Prévoyez ensuite un délai de garde. Si l’API ne répond pas dans le temps imparti, disons 2 secondes, laissez l’inscription se poursuivre et vérifiez l’adresse ensuite, en arrière-plan. Un prospect bloqué par un sablier qui tourne est un prospect perdu, ce qui serait un comble pour un dispositif censé protéger votre acquisition.

Reste la question la plus délicate : que faire du verdict ?

• Adresse invalide : bloquez la soumission, avec un message clair du type « cette adresse semble erronée, pouvez-vous la vérifier ? ». Affichez la suggestion de correction si l’API en propose une.
• Adresse jetable : tout dépend de votre modèle. Un média peut les tolérer, un SaaS B2B qui offre un essai gratuit a de bonnes raisons de les refuser.
• Catch-all ou inconnu : laissez passer, mais marquez l’adresse dans votre CRM. Ces contacts méritent une surveillance particulière lors des premiers envois.

Bloquer systématiquement tout ce qui n’est pas « valide » serait une erreur : vous fermeriez la porte à des adresses légitimes hébergées sur des domaines catch-all, fréquents en B2B.

Les seuils imposés par Gmail et Yahoo ont changé la donne

Depuis février 2024, Google impose aux expéditeurs de volume des exigences chiffrées : le taux de plaintes pour spam mesuré dans Postmaster Tools doit rester sous 0,3 %, et Google recommande de ne pas dépasser 0,1 % pour conserver une marge de sécurité. Yahoo a aligné ses exigences sur les mêmes seuils. Côté rebonds, le consensus des professionnels de la délivrabilité situe la limite à ne pas franchir autour de 2 % de hard bounces par campagne.

Le lien avec la validation en temps réel est direct. Une base qui se remplit d’adresses fausses finit mécaniquement par produire des rebonds, et les rebonds répétés dégradent votre réputation d’expéditeur auprès des FAI. La sanction ne prévient pas : vos messages glissent vers le dossier spam, y compris pour vos destinataires les plus fidèles. Filtrer les adresses à la source coûte quelques centimes par vérification. Reconstruire une réputation d’expéditeur prend des mois.

API temps réel et double opt-in : un duo, pas un choix

On oppose parfois les deux mécanismes. À tort, car ils ne vérifient pas la même chose. L’API confirme qu’une adresse existe techniquement et accepte le courrier. Le double opt-in confirme qu’un humain consent à recevoir vos messages et accède réellement à cette boîte.

Le bon ordre : l’API d’abord, l’opt-in ensuite. Sans validation préalable, votre email de confirmation part vers des adresses mortes et génère lui-même des bounces, ce qui abîme la réputation du domaine qui porte vos messages transactionnels. Avec la validation en amont, l’email de confirmation ne part que vers des boîtes actives, et votre taux de confirmation devient un indicateur d’engagement fiable plutôt qu’un mélange de désintérêt et d’adresses fantômes.

Questions fréquentes sur la validation email par API

Qu’est-ce qu’une API de validation email en temps réel ?

C’est un service web que votre formulaire ou votre application interroge à chaque nouvelle adresse saisie. L’API vérifie la syntaxe, l’existence du domaine, la présence de serveurs de messagerie et l’acceptation de la boîte, puis renvoie un verdict en une fraction de seconde, avant l’enregistrement du contact.

Combien de temps prend une vérification en temps réel ?

La plupart des fournisseurs répondent en moins d’une seconde, certains en moins de 200 millisecondes sur les résultats en cache. Les cas nécessitant une interrogation SMTP complète d’un serveur lent peuvent prendre deux à trois secondes. Prévoyez un délai de garde pour ne jamais bloquer l’internaute.

Que faire quand l’API renvoie « catch-all » ou « inconnu » ?

Laissez l’inscription aboutir, mais marquez l’adresse dans votre CRM. Un domaine catch-all accepte tout le courrier sans confirmer l’existence de la boîte, ce qui est courant en B2B. Bloquer ces adresses vous ferait perdre des prospects légitimes. Surveillez leur comportement lors des premiers envois.

Une API de validation email est-elle conforme au RGPD ?

La vérification technique d’une adresse constitue un traitement de donnée personnelle. Vérifiez que le fournisseur agit comme sous-traitant au sens du RGPD : localisation des serveurs, durée de conservation des requêtes, accord de traitement des données. La CNIL rappelle par ailleurs l’obligation d’informer la personne dès la collecte.

Faut-il garder le double opt-in si on valide par API ?

Oui, les deux se complètent. L’API garantit que l’adresse existe et accepte le courrier, le double opt-in garantit le consentement et l’accès réel à la boîte. Valider avant d’envoyer l’email de confirmation évite les bounces sur vos messages transactionnels et fiabilise votre taux de confirmation.

Combien coûte une vérification d’email par API ?

Les tarifs se comptent en fractions de centime par appel, dégressifs au volume. Le calcul se fait dans l’autre sens : comparez ce coût à celui d’un lead payant perdu pour une faute de frappe, ou aux dégâts d’une réputation d’expéditeur dégradée par les rebonds. La vérification est presque toujours rentable.