Professional Emails en spam (SPF, DKIM, DMARC) et apps Next.js / Supabase remises d'aplomb

Je suis David, fondateur d'un petit studio logiciel en France. Je conçois et fais tourner mes propres produits web (Next.js, Supabase, Vercel, Stripe), et je règle les problèmes qui font perdre des clients aux petites entreprises :

Emails qui arrivent en spam ou sont rejetés : diagnostic et correction guidée de SPF, DKIM et DMARC (Google Workspace, Microsoft 365, OVH, Brevo, Mailchimp...).
Applications créées avec des outils d'IA (Lovable, Bolt, Replit, Cursor) à remettre d'aplomb pour la production : bugs, authentification, déploiement, paiements Stripe.

Ma façon de travailler : périmètre fixe, aucun mot de passe demandé (vous gardez la main sur vos comptes), et un travail assisté par IA que je relis moi-même avant de vous le livrer.

Langues : anglais et portugais (langues maternelles), français (conversation).

Portfolio

Pour CapraBrand, notre outil de réseaux sociaux conçu pour les agences et les assistants virtuels, j'ai construit toute la couche d'automatisation :

une application Zapier sur mesure (8 déclencheurs instantanés, 2 actions) et une application Make ;
des webhooks signés avec relances automatiques, désactivés et signalés une seule fois en cas de panne ;
une relance des validations client : récapitulatif à 8 h et alerte en moins de 5 minutes si une publication non validée manque son horaire ;
un journal de contenu dans Google Sheets (157 publications reprises) et un rapport mensuel automatique par e-mail.

Mesuré en production : 38 s entre l'ajout d'un client et l'e-mail envoyé par le Zap, 4 381 tests automatisés réussis, 12 problèmes sur 13 relevés en revue de code corrigés avant la mise en ligne.
Tous les domaines d'envoi de notre studio publiaient un DMARC en p=quarantine, mais aucun rapport agrégé n'était jamais arrivé. L'audit a trouvé deux pannes silencieuses : sept domaines envoyaient leurs rapports vers une boîte qui n'existait pas (erreur 550 5.1.10), et un domaine n'avait pas l'enregistrement d'autorisation _report._dmarc (RFC 7489 §7.1), donc Google et Microsoft refusaient d'envoyer les rapports.
Correction : création de la boîte des rapports, ajout de l'enregistrement manquant, puis vérification par un vrai envoi. Le premier rapport de Microsoft est arrivé en deux minutes. Rapports en main, j'ai fait passer notre domaine de prospection de p=none à p=quarantine, avec SPF et DKIM alignés pour chaque outil d'envoi.
Leçon : publier une adresse rua ne prouve rien tant qu'un vrai email n'y est pas arrivé.