Tapez votre adresse e-mail dans un moteur de recherche, entre guillemets. Si elle apparaît dans un vieux message de forum, un ancien CV, la liste des membres d'une association ou la page de contact d'un projet personnel, des scrapers automatiques l'ont très probablement récoltée aussi. Ces programmes parcourent le web à la recherche de tout ce qui ressemble à nom@domaine, et les listes ainsi constituées sont vendues, échangées et bombardées de messages pendant des années.
La réponse courte pour cacher son e-mail des robots spammeurs : publiez votre adresse principale le moins possible, placez un formulaire de contact devant toute adresse affichée sur votre propre site, donnez aux espaces publics une adresse que vous pouvez filtrer ou remplacer, et utilisez une boîte temporaire pour les inscriptions ponctuelles. Rien de tout cela ne rend une adresse invisible. Dès qu'un humain peut la lire, un programme déterminé le peut généralement aussi. Ces mesures réduisent en revanche le nombre de listes sur lesquelles votre adresse se retrouve, et limitent les dégâts à une adresse que vous pouvez vous permettre de perdre.
Comment les scrapers et les robots spammeurs trouvent les adresses
L'essentiel de la collecte est automatique et ne coûte presque rien. Un robot télécharge des pages, cherche le motif d'un @ suivi d'un domaine et enregistre tout ce qui correspond. D'autres adresses proviennent de sources qui ne demandent aucune exploration. Savoir quelle source vous a exposé vous indique quelle solution sera utile.
| Source | Comment l'adresse s'y retrouve | Ce que vous pouvez faire |
|---|---|---|
| Votre propre site | Un lien mailto: ou une adresse dans le pied de page ou la page de contact | Utiliser un formulaire de contact, ou une adresse générique que vous pouvez filtrer |
| Forums, commentaires et avis | Signatures, réponses du type « écrivez-moi à », champs de profil publics | Modifier les anciens messages, masquer le champ du profil, utiliser une autre adresse |
| Données d'enregistrement de domaine | Coordonnées dans le WHOIS ou le RDAP d'un domaine qui vous appartient | Vérifier l'option de confidentialité de votre bureau d'enregistrement |
| Profils publics et code | Bios sur les réseaux sociaux, pages d'auteur, métadonnées des commits Git | Retirer l'adresse, utiliser une adresse no-reply pour les commits |
| Documents | PDF, CV, présentations et tableurs mis en ligne | Retirer ou remplacer les fichiers que vous contrôlez |
| Fuites de données | Un service que vous utilisiez a perdu sa base d'utilisateurs | Vous ne pouvez pas l'empêcher, alors limitez l'adresse que chaque service reçoit |
| Devinette | Des noms courants comme info@ ou anne@ testés sur des domaines connus | Le filtrage, et le refus des destinataires inconnus sur votre propre domaine |
Les données de domaine méritent une précision, car beaucoup de gens pensent qu'elles sont encore entièrement publiques. Depuis l'entrée en application du RGPD en 2018, la plupart des grands bureaux d'enregistrement masquent les coordonnées personnelles dans les résultats WHOIS publics, et beaucoup proposent un service de confidentialité gratuit. Les règles varient toutefois selon le bureau d'enregistrement et l'extension nationale, et les organisations sont souvent affichées en entier. Consultez une fois votre propre domaine pour voir ce qui s'affiche réellement.
Les fuites sont la source la plus sous-estimée. Vous pouvez être prudent partout et finir malgré tout sur des listes de spam parce qu'une boutique, un forum ou une application utilisés il y a des années a été piraté. C'est pourquoi les conseils qui suivent portent non seulement sur l'endroit où vous publiez votre adresse, mais aussi sur l'adresse que vous donnez.
Protéger une adresse sur votre propre site
Si vous gérez un site, un blog ou une boutique en ligne, la page de contact est l'endroit où les robots ont le plus de chances de vous trouver. Vous y avez plus de contrôle que partout ailleurs, alors autant bien faire les choses.
Un formulaire de contact plutôt qu'un lien mailto
Un formulaire envoie le message depuis votre serveur, si bien que l'adresse de destination n'apparaît jamais dans la page. Validez les saisies côté serveur, pas seulement dans le navigateur, et faites arriver le message sur une adresse qui n'est publiée nulle part. Les formulaires attirent leur propre spam, c'est l'objet des sections suivantes, mais un spammeur de formulaires ne peut pas ajouter votre adresse à une liste revendue ensuite.
L'obfuscation : ce que chaque astuce arrête vraiment
Si vous devez absolument afficher une adresse, il existe des moyens de la rendre plus difficile à récolter. Leur efficacité varie beaucoup, et chacun a un coût pour les vrais visiteurs.
| Méthode | Arrête | N'arrête pas | Coût |
|---|---|---|---|
| Écrire « nom arobase domaine point com » | Les robots les plus simples qui cherchent un motif | Les scrapers qui connaissent les façons courantes d'écrire « arobase » et « point » | Les visiteurs doivent retaper l'adresse |
| Entités de caractères HTML | Les robots qui lisent le code source sans le décoder | Tout analyseur qui décode le HTML, c'est-à-dire la plupart | Presque aucun |
| Construire l'adresse en JavaScript | Les robots d'exploration qui n'exécutent pas de scripts | Les navigateurs headless qui affichent la page comme le ferait une personne | Ne fonctionne pas pour les visiteurs qui bloquent les scripts |
| Afficher l'adresse sous forme d'image | Les scrapers qui lisent le texte | La reconnaissance de texte, bon marché et précise | Les lecteurs d'écran ne peuvent pas la lire, et personne ne peut la copier |
| La fonction d'obfuscation d'un CDN | Beaucoup de scrapers courants, sans travail de votre part | Les robots qui exécutent le script de décodage | Dépend du script du fournisseur |
Le bilan honnête : l'obfuscation écarte les robots les plus paresseux, et une grande partie de la collecte est paresseuse, donc le volume baisse. Elle ne protège pas une adresse face à quelqu'un qui cible votre site délibérément. Considérez toute adresse que vous affichez comme une adresse qui finira par être récoltée, et choisissez-la en conséquence.
CAPTCHA, pots de miel et limitation du débit
Ces outils protègent le formulaire, pas l'adresse. Un CAPTCHA ou un service de vérification bloque beaucoup d'envois automatiques, même si certains passent et que chaque vérification agace un peu les vrais visiteurs. Un pot de miel (honeypot) est un champ caché que les humains ne voient jamais et que les robots remplissent, ce qui vous permet d'écarter discrètement ces envois. Limiter le débit par adresse IP empêche une même source d'envoyer des centaines de messages en une minute. Ensemble, ils gardent votre boîte utilisable sans trop demander aux visiteurs. Si votre formulaire inscrit des personnes à une liste de diffusion, utilisez le double opt-in pour que personne ne puisse inscrire l'adresse d'un inconnu.
Gardez votre adresse principale hors des pages publiques
Votre adresse principale est celle liée à votre banque, aux services publics, à votre travail et aux personnes que vous connaissez. Sa meilleure protection est simple : elle ne devrait apparaître nulle part où un robot d'exploration peut aller. Passez une fois en revue les endroits habituels :
- Profils sociaux et professionnels. Retirez l'adresse des bios et, quand la plateforme le permet, rendez le champ de contact visible uniquement par vos relations.
- Forums et anciens comptes. Modifiez les signatures et les vieux messages qui la contiennent. Fermez les comptes que vous n'utilisez plus.
- Dépôts de code. GitHub et les plateformes similaires permettent d'utiliser une adresse no-reply privée pour les commits. Les nouveaux commits n'affichent plus votre vraie adresse, mais les anciens conservent ce qu'ils ont enregistré.
- Documents. Un CV ou une brochure publiés en PDF sont du texte brut pour un robot. Remplacez les fichiers que vous contrôlez par des versions avec un formulaire de contact ou une adresse distincte.
- Annuaires et listes de membres. Demandez aux clubs, écoles et associations de retirer l'adresse ou de réserver la liste aux membres.
Retirer une adresse ne l'efface pas des listes qui existent déjà, et les caches des moteurs de recherche ou les archives du web peuvent en garder une copie quelque temps. Cela empêche en revanche de nouveaux scrapers de la récupérer, et cela compte sur la durée.
Donnez une adresse distincte aux espaces publics
Certaines adresses doivent être publiques : l'adresse de contact d'une indépendante, l'adresse du support d'un commerçant, une adresse imprimée sur un flyer. La solution est de la séparer de votre adresse privée. Une adresse générique comme contact@yourdomain.example, ou une seconde boîte chez un fournisseur gratuit, peut être filtrée sévèrement et remplacée si elle déborde, sans toucher à votre banque ni à vos proches.
Pour les inscriptions, un alias e-mail va plus loin. Les services d'alias vous donnent une adresse de transfert distincte pour chaque site : le site ne voit jamais votre vraie adresse, et vous pouvez désactiver tout alias qui commence à recevoir des indésirables. Parmi les exemples figurent Masquer mon adresse e-mail d'Apple pour les abonnés iCloud+, Firefox Relay, SimpleLogin et DuckDuckGo Email Protection. L'adressage « plus », comme yourname+boutique@gmail.com, sert à retrouver l'origine du spam, mais ne cache rien, puisque n'importe qui peut supprimer l'étiquette. Nous comparons ces options dans notre guide e-mail temporaire ou alias e-mail, et notre article sur une stratégie e-mail personnelle montre comment répartir vos adresses selon le niveau de confiance.
| Option | Cache votre vraie adresse | Durée de vie | Idéal pour |
|---|---|---|---|
| Adresse principale | Non | Des années | Banque, travail, administration, proches |
| Adresse « plus » | Non | Aussi longtemps que votre boîte | Savoir quel site l'a divulguée ou vendue |
| Boîte secondaire ou adresse générique | Oui, si rien ne la relie à vous | Des années | Coordonnées publiques, boutiques où vous revenez |
| Alias e-mail | Oui | Jusqu'à ce que vous le désactiviez | Comptes que vous gardez sans leur faire entièrement confiance |
| Boîte temporaire | Oui | Environ 24 heures | Inscriptions et téléchargements ponctuels |
Une boîte temporaire pour les inscriptions ponctuelles
Une bonne partie du spam commence par une seule inscription dont vous n'avez plus jamais eu besoin : un guide gratuit, un fil de forum à lire une fois, un portail Wi-Fi, un compte de test. Dans ces cas, une adresse temp mail garde votre vraie adresse complètement hors de la base de données du site. Si ce site est piraté plus tard ou vend sa liste, le spam part vers une adresse qui n'existe plus.
VookMail fonctionne sans compte. Ouvrez le site et une adresse est déjà prête. Copiez-la avec le bouton Copier, ou appuyez sur Nouveau pour choisir votre propre nom d'utilisateur et l'un de plus de 30 domaines. La boîte vérifie l'arrivée de messages toutes les quelques secondes, donc un lien de confirmation s'affiche sans recharger la page. Quand vous avez terminé, Supprimer efface l'adresse. Sinon, les messages sont supprimés dans un délai d'environ 24 heures. Pour comprendre en détail le fonctionnement de ce type d'adresse e-mail jetable, cette page l'explique.
Les limites font partie d'un bon usage. Une boîte temporaire ne s'ouvre que dans le navigateur qui l'a créée, et ses messages ne sont pas chiffrés de bout en bout : ce n'est pas un endroit pour quoi que ce soit de personnel. Ne l'utilisez jamais pour un compte que vous devez conserver, car les réinitialisations de mot de passe n'auraient nulle part où arriver. Certains sites n'acceptent pas les adresses jetables, c'est leur choix, et dans ce cas un alias ou une adresse secondaire est la bonne solution. Une adresse temporaire ne doit pas servir à obtenir des essais gratuits à répétition ou des offres prévues pour une seule personne, et nos conditions générales l'interdisent. Notre guide pour s'inscrire sans sa vraie adresse e-mail passe en revue les situations adaptées.
Vérifiez si votre adresse est déjà exposée
Have I Been Pwned est un service gratuit qui existe depuis longtemps et indique si une adresse figure dans des données de fuites connues. Le résultat montre quels services l'ont perdue et, en gros, ce qui a été dérobé avec, comme des mots de passe ou des numéros de téléphone. Si un mot de passe en faisait partie, changez-le partout où vous l'avez utilisé et activez la double authentification. Notre guide sur que faire après une fuite de données détaille cette étape.
Méfiez-vous des sites inconnus du genre « vérifiez si votre e-mail a fuité ». Taper votre adresse dans un formulaire inconnu est une autre façon de l'offrir à une liste. Tenez-vous-en aux services qui ont un long historique public, ou aux alertes de fuite intégrées à votre gestionnaire de mots de passe ou à votre navigateur.
Que faire si votre adresse a déjà été récoltée
Il est impossible de retirer une adresse des listes qui la contiennent déjà. Vous pouvez en revanche rendre ces listes moins utiles et empêcher que de nouvelles se forment.
- Ne répondez pas et ne cliquez pas. Répondre, même pour demander d'arrêter, confirme qu'une vraie personne lit l'adresse. Ne cliquez pas sur les liens des messages d'expéditeurs inconnus.
- Signalez le spam au lieu de le supprimer. Les signalements entraînent le filtre de votre fournisseur, qui voit la même campagne dans des millions de boîtes.
- Retirez l'adresse des endroits où vous l'avez trouvée. Reprenez la recherche du début de cet article et corrigez ce que vous contrôlez.
- Remplacez l'adresse publique de votre site par un formulaire ou une nouvelle adresse générique, et continuez à filtrer l'ancienne pendant un temps.
- Désactivez le chargement automatique des images pour les expéditeurs inconnus, afin que les pixels espions ne puissent pas confirmer que l'adresse est active. Notre article sur les pixels de suivi dans les e-mails explique leur fonctionnement.
- Passez vos futures inscriptions sur des alias ou des adresses temporaires, pour que l'adresse principale cesse de circuler.
- Ne changez d'adresse principale qu'en dernier recours. Si vous le faites, gardez l'ancienne avec un transfert pendant plusieurs mois et migrez d'abord les comptes importants.
Pour le côté boîte de réception, avec les filtres et le désabonnement en toute sécurité, consultez notre guide pour arrêter les e-mails indésirables.
Des idées reçues à abandonner
- « Les robots spammeurs ne savent pas lire les images. » La reconnaissance de texte coûte peu. Une image ralentit les scrapers simples et complique la vie des utilisateurs de lecteurs d'écran.
- « JavaScript cache complètement mon adresse. » Beaucoup de scrapers font désormais tourner de vrais navigateurs. Les scripts écartent les vieux robots, pas tous.
- « Si je ne publie jamais mon adresse, je ne recevrai jamais de spam. » Les fuites et les devinettes atteignent des adresses jamais publiées.
- « Se désabonner d'un spam retire de la liste. » Avec les expéditeurs légitimes, cela marche en général. Avec les vrais spammeurs, un clic peut confirmer que votre adresse est active.
Questions fréquentes
Les robots spammeurs peuvent-ils lire une adresse affichée en image ?
Certains, oui. Les outils de reconnaissance de texte lisent facilement une image nette et ne coûtent pas cher. Une image arrête les scrapers de texte basiques, mais elle est inaccessible aux lecteurs d'écran et impossible à copier, donc un formulaire de contact reste généralement le meilleur choix.
Écrire « nom arobase domaine point com » vaut-il encore la peine ?
Cela aide un peu contre les robots les plus simples et demande un petit effort aux visiteurs. Ce ne devrait pas être votre seule protection pour une adresse à laquelle vous tenez.
La confidentialité WHOIS arrête-t-elle tout le spam vers mon domaine ?
Non. Elle retire vos données personnelles des recherches publiques de domaines, ce qui supprime une source. Les adresses génériques comme info@ reçoivent toujours du spam par devinette, et tout ce qui figure sur votre site peut toujours être récolté.
Un e-mail temporaire protège-t-il mon adresse principale ?
Pour les inscriptions ponctuelles, oui, puisque le site ne reçoit jamais votre adresse principale. Il n'aide pas pour les adresses déjà exposées et ne convient pas aux comptes que vous devez garder.
Puis-je faire retirer mon adresse des listes de spam ?
Pas des listes gérées par des spammeurs. Les expéditeurs légitimes vous retirent si vous vous désabonnez, et certains courtiers en données proposent des formulaires d'opposition. Pour le reste, signaler et filtrer sont les outils réalistes. D'autres guides vous attendent sur le blog VookMail.