Questions fréquentes
Vos questions sur Duva, avec des réponses précises.
Ce que Duva fait, ce qu'il ne fait pas, et ce qu'il faut configurer pour envoyer. Un chiffre qui peut changer renvoie à la page qui le tient à jour.
Pour commencer
Duva, c'est quoi, et pour qui ?
Duva envoie les courriels transactionnels de votre application : ceux que la personne attend parce qu'elle vient de faire quelque chose (confirmation, reçu, réinitialisation de mot de passe, alerte). Vous les envoyez par API depuis vos propres domaines, avec votre propre signature DKIM, puis vous suivez chaque livraison : statut par destinataire, événements, webhooks signés et statistiques.
Duva s'adresse aux entreprises et aux professionnels ; il n'est pas offert aux consommateurs. Les serveurs sont hébergés au Canada, à Beauharnois (Québec), et les sauvegardes chiffrées sont gardées dans un centre de données canadien.
Puis-je envoyer des infolettres ou du marketing ?
Non, pas par défaut. Duva est un service transactionnel : ce n'est pas un outil d'infolettre ni de publipostage. Les conditions d'utilisation interdisent d'envoyer des infolettres, des promotions ou des messages en masse, sauf entente écrite préalable de notre part (section 4).
Si votre besoin sort de ce cadre, écrivez-nous avant d'envoyer : seule une entente écrite préalable peut faire exception.
Pourquoi mon compte est-il en bac à sable, et comment passer en production ?
Tout nouveau compte commence en bac à sable : un mode gratuit et limité pour essayer Duva. Ses limites actuelles :
- 100 courriels par mois ;
- 50 courriels par jour ;
- 5 destinataires au plus par message ;
- aucune pièce jointe.
Les limites en vigueur sur votre compte s'affichent dans la page « Mise en production » du tableau de bord.
Pour passer en production, faites vérifier le DNS d'au moins un domaine, puis demandez la mise en production depuis cette page (selon votre rôle dans le compte). La demande comprend un court formulaire (contexte d'utilisation, types de courriels, volume attendu, origine des adresses) qui nous aide à l'évaluer. Une personne de l'équipe Duva examine la demande et peut l'accepter ou la refuser ; nous ne promettons aucun délai. Pendant l'examen, les limites du bac à sable restent en vigueur, et le changement d'état apparaît dans le bandeau en haut du tableau de bord. Souscrire à un forfait payant ne remplace pas cette validation.
Que dois-je configurer sur mon domaine ?
Deux enregistrements DNS sont requis pour vérifier un domaine :
- la clé DKIM : un enregistrement TXT à
<sélecteur>._domainkey.votre-domaine, qui permet à Duva de signer vos courriels à votre nom ; - le CNAME de retour : un CNAME à
bounce.votre-domaine, vers la cible indiquée, par où reviennent les rebonds et les plaintes.
Sont facultatifs (recommandés, non requis pour envoyer) : le SPF à la racine du domaine, DMARC et le CNAME de suivi track.votre-domaine (voir la question sur le suivi). Si votre domaine a déjà un SPF, n'en créez pas un second : un domaine n'en admet qu'un seul, et l'écran DNS indique quoi ajouter à celui qui existe.
L'écran DNS de chaque domaine, dans le tableau de bord, donne les valeurs exactes à copier chez votre hébergeur DNS et permet de demander une nouvelle vérification une fois les enregistrements publiés. La propagation du DNS peut prendre un certain temps.
Dois-je durcir ma politique DMARC (quarantine, reject) ?
DMARC est facultatif pour envoyer avec Duva. Un enregistrement avec p=none ne bloque rien : il demande aux fournisseurs de vous envoyer des rapports, que Duva rassemble dans l'écran DMARC de chaque domaine du tableau de bord.
Durcir la politique (quarantine, puis reject) demande aux fournisseurs de mettre en quarantaine ou de refuser les messages qui usurpent votre domaine. Elle vise aussi vos propres outils d'envoi mal configurés : durcir trop tôt fait perdre du vrai courrier.
- Duva ne suggère une étape que lorsque ses rapports montrent que le courrier connu passe DMARC, et il ne modifie jamais votre DNS : le changement est à faire chez votre hébergeur.
- Une étape à la fois, avec au moins une semaine d'écart, en surveillant l'écran DMARC : part du courrier de Duva qui passe, sources non alignées, messages mis en quarantaine ou rejetés.
- Une source que vous reconnaissez doit être configurée chez son outil avant de durcir ; une source inconnue est sans doute de l'usurpation.
- Pour revenir en arrière, remettez la valeur précédente dans l'enregistrement ; l'effet dépend de la durée de vie (TTL) de l'enregistrement.
Évitez la balise pct pour procéder par pourcentages : la norme DMARC en vigueur (RFC 9989, mai 2026) l'a retirée, car les fournisseurs l'appliquaient de façon inégale sauf à 0 et à 100. Ceci n'est pas un avis professionnel, et durcir la politique n'est pas une garantie de livraison.
Forfaits, facturation, annulation : comment ça marche ?
Chaque forfait payant a un prix mensuel fixe, en dollars canadiens, taxes en sus (TPS, TVQ). Les prix et les limites de chaque forfait sont sur la page Forfaits. Si une limite est atteinte, les envois sont refusés : rien n'est facturé en supplément, et les volumes non utilisés ne se reportent pas.
Un abonnement est payé d'avance chaque mois et se renouvelle automatiquement jusqu'à son annulation. Le paiement est traité par Stripe : Duva ne reçoit ni ne conserve votre numéro de carte. Il n'y a pas de période d'essai ; le bac à sable, lui, est gratuit.
Vous pouvez annuler en tout temps depuis le portail de facturation (page Facturation du tableau de bord). L'annulation prend effet à la fin de la période payée et vous gardez l'accès jusque-là ; le compte revient ensuite au bac à sable gratuit.
Envoyer et suivre vos courriels
Mon courriel n'est pas arrivé : que vérifier ?
Duva accepte votre courriel puis le transmet au serveur du destinataire ; c'est ce serveur qui l'accepte, le classe ou le refuse. Duva ne garantit ni la livraison ni le placement dans la boîte de réception. Voici dans l'ordre ce qu'il faut vérifier :
- Le statut du message, dans la page Messages du tableau de bord ou par l'API (
GET /v1/{domaine}/messages/{id}) :queued(en attente d'envoi),sent(remis au serveur d'envoi, livraison en cours),delivered(accepté par le serveur du destinataire),bounced(refus définitif),failed(abandonné) ousuppressed(jamais envoyé, voir plus bas). - Les événements du message : un rebond (
bounced) donne le code de refus du serveur du destinataire ; un échec temporaire (deferred) sera réessayé ; un message peut expirer (expired) après 24 heures de tentatives ; une plainte (complained) veut dire que le destinataire a signalé le message. - La liste de suppression du domaine : une adresse qui a rebondi définitivement à cause de l'adresse elle-même, ou qui s'est plainte, n'est plus contactée, et le message affiche le statut
suppressed. Retirez une adresse de la liste seulement si vous êtes certain qu'elle est valide. - Le dossier pourriel du destinataire : un message
delivereda été accepté par le serveur du destinataire, ce qui ne dit pas dans quel dossier il a été placé. - Les limites de votre compte : au-delà des limites du forfait (ou du bac à sable), l'envoi est refusé avec une erreur. Pour un volume inhabituel, un message peut aussi rester en file le temps d'une vérification avant son envoi.
Que se passe-t-il si mes taux de rebonds ou de plaintes sont trop élevés ?
Pour chaque compte et chaque domaine, Duva mesure les taux de plaintes et de rebonds sur les courriels acceptés, sur 24 heures ou sur 7 jours, dès 100 courriels acceptés. Les seuils publiés dans les conditions d'utilisation (section 4) sont :
- plaintes : 0,10 % ou plus déclenche une alerte, 0,30 % ou plus est critique ;
- rebonds : 5,00 % ou plus déclenche une alerte, 10,00 % ou plus est critique.
Une alerte donne lieu à un avis écrit et à un délai pour corriger (généralement 5 jours ouvrables). Un taux critique peut entraîner une suspension sans préavis, parce que les adresses d'envoi sont partagées entre tous les clients. Une suspension peut être révisée par une personne si vous le demandez par écrit (réponse en 3 jours ouvrables).
Un taux sous ces seuils n'est pas une garantie : un taux supérieur à ce que les grands fournisseurs de courriel tolèrent peut aussi être traité comme un manquement. Pour les réduire, cessez d'écrire aux adresses qui rebondissent ou qui se plaignent, et gardez vos listes exactes.
Puis-je suivre les ouvertures et les clics ?
Oui, sur demande : le suivi est désactivé par défaut et s'active domaine par domaine. Il faut publier un CNAME track.votre-domaine vers la cible indiquée à l'écran DNS du domaine, puis demander l'activation depuis cet écran ; l'équipe Duva l'accepte ou la refuse. Ensuite, chaque message qui le veut le demande (ouvertures, clics, ou les deux) et doit avoir un corps HTML.
Le suivi n'est pas exact : un client de courriel qui précharge les images ou une passerelle de sécurité qui ouvre les liens compte comme une ouverture ou un clic. Traitez ces nombres comme des indications. Rien n'est conservé sur le visiteur, ni adresse IP, ni agent utilisateur, ni référent.
Pièces jointes : quelles sont les limites ?
- 10 pièces jointes au plus par message ;
- 5 Mo au plus en tout, mesurés une fois les fichiers décodés (leur taille réelle, avant l'encodage base64) ;
- les extensions exécutables (
.exe,.bat,.js,.vbs,.scr,.msi, etc.) sont refusées ; - un compte en bac à sable ne peut pas en envoyer.
Les pièces jointes ne sont jamais renvoyées par l'API et sont supprimées en même temps que le corps du message, 30 jours après l'envoi.
Données et sécurité
Où sont mes données, et combien de temps sont-elles gardées ?
Les serveurs de Duva sont à Beauharnois (Québec), chez OVHcloud, et les sauvegardes chiffrées sont dans un centre de données canadien. Soyons précis : le trafic web vers Duva passe par le réseau de Cloudflare, Stripe traite les paiements, ces fournisseurs peuvent traiter des renseignements ailleurs (notamment aux États-Unis), et les courriels sont livrés à des destinataires partout dans le monde.
Le contenu des courriels (texte, HTML et pièces jointes) est supprimé 30 jours après l'envoi. Les renseignements sur les envois (expéditeur, destinataires, objet, statuts et événements) sont gardés plus longtemps : la politique de confidentialité donne la durée de chaque catégorie de renseignements. Ne comptez pas sur Duva pour archiver vos courriels : conservez votre propre copie.
Comment sécuriser mon compte et mes clés API ?
- Second facteur obligatoire : la connexion exige un code de votre application d'authentification, en plus du mot de passe. Gardez vos codes de récupération en lieu sûr.
- Un secret n'est montré qu'une fois : le secret d'une clé API (comme celui d'un webhook) s'affiche à sa création seulement. Copiez-le alors dans un gestionnaire de secrets. Duva ne conserve d'une clé API qu'une empreinte irréversible : il ne peut pas la relire, ni vous la redonner.
- Une clé par domaine : une clé n'ouvre que le domaine pour lequel elle a été créée. Gardez-la côté serveur (variable d'environnement), jamais dans une page web ou une application distribuée.
- Expiration facultative : à la création, vous pouvez donner à une clé une durée de validité de 30, 90 ou 180 jours, ou d'un an. Passée cette date, la clé cesse de fonctionner comme si elle était révoquée. Vous pouvez aussi révoquer une clé en tout temps.
- Appareils de confiance : si l'option est offerte, la case « Se souvenir de cet appareil » de la vérification en deux étapes évite de redemander le code sur ce navigateur pendant une durée limitée ; le mot de passe reste toujours exigé. Ces appareils sont tous oubliés quand vous changez de mot de passe ou de second facteur, et vous pouvez les oublier vous-même dans la page Sécurité du compte.
- En cas de doute : si une clé ou un accès est perdu ou compromis, révoquez la clé et avisez-nous sans délai.
Pour les développeurs
Webhooks : à quoi servent-ils et comment les vérifier ?
Un webhook permet à Duva d'appeler votre application dès qu'un événement survient : delivered, bounced, deferred, expired, complained, opened ou clicked. Vous choisissez l'adresse (en HTTPS, sur Internet public) et les types d'événements, et le secret de signature (whsec_...) vous est montré une seule fois, à la création.
Chaque requête est signée au format « Standard Webhooks » : les en-têtes webhook-id, webhook-timestamp et webhook-signature portent une signature HMAC-SHA256 calculée sur le corps brut avec votre secret. Vérifiez la signature sur le corps brut, avant de le décoder, et refusez un horodatage de plus de 5 minutes : c'est ce qui protège du rejeu d'une requête interceptée. Les bibliothèques officielles font cette vérification pour vous.
La livraison se fait au moins une fois : un même événement peut arriver plusieurs fois, donc dédupliquez sur webhook-id, et l'ordre des événements n'est pas garanti. Répondez par un code 2xx une fois la signature vérifiée ; une autre réponse, un délai dépassé ou une erreur de connexion donne lieu à de nouvelles tentatives espacées, et un webhook qui échoue trop longtemps est désactivé.
Quelles bibliothèques officielles existent ?
Duva publie une bibliothèque officielle pour Node.js, une pour Python, une pour Ruby, une pour Go et une pour PHP. Leur code source est ouvert. Aucune n'est obligatoire : l'API est un simple POST JSON, et la spécification OpenAPI permet de générer un client dans le langage de votre choix.
Puis-je envoyer par SMTP au lieu de l'API ?
Oui. Duva reçoit aussi les messages par SMTP, sur smtp.duva.ca (port 587 avec STARTTLS, ou port 465 en TLS implicite). L'utilisateur est votre domaine d'envoi et le mot de passe est la clé API de ce domaine ; le chiffrement est obligatoire. C'est la voie la plus simple pour un logiciel qui sait seulement envoyer par SMTP (un cadriciel, WordPress, un fournisseur d'authentification).
Un message envoyé par SMTP suit les mêmes règles que celui de l'API : domaine vérifié, quotas, bac à sable, adresses supprimées. La réponse 250 veut dire « accepté pour livraison », pas « livré » : le statut se lit par l'API, les événements et les webhooks, et Duva n'envoie aucun courriel de non-remise à l'expéditeur.