Le 3 mai 1978, Gary Thuerk, responsable marketing chez Digital Equipment Corporation, a envoyé un seul message à plusieurs centaines d'utilisateurs de l'ARPANET à la fois, 393 selon la plupart des comptes, pour les inviter à des démonstrations des nouveaux ordinateurs de DEC. Les destinataires se sont plaints, et les responsables du réseau ont réprimandé DEC. Le Guinness World Records y voit le plus ancien spam électronique. Il a fallu environ vingt ans avant que quelqu'un propose aux particuliers une réponse pratique, de leur côté de la ligne.
Cette réponse, l'adresse e-mail jetable, est apparue vers l'an 2000. Spamgourmet proposait déjà des adresses de transfert qui s'autodétruisaient, puis Mailinator a suivi en 2003 avec des boîtes publiques qui ne demandaient aucun compte. L'histoire de l'e-mail jetable est celle des raisons pour lesquelles ces services sont devenus nécessaires : un système de messagerie fondé sur la confiance, une adresse devenue un identifiant de connexion, et un coût d'envoi si proche de zéro que filtres et lois ne pouvaient que réduire le flot, jamais le tarir. Les mêmes pressions ont ensuite donné naissance aux alias, et elles façonnent encore ce qui vient.
Un réseau où tout le monde pouvait être retrouvé
Dès les années 1960, des messages circulaient entre les utilisateurs d'un même ordinateur partagé. L'étape qui compte ici date de 1971 : l'ingénieur Ray Tomlinson envoie des messages entre deux machines de l'ARPANET, le réseau de recherche financé par le département de la Défense des États-Unis, et choisit le signe @ pour séparer le nom d'une personne du nom de sa machine. Au moment du message de Thuerk, le courrier électronique était l'un des usages les plus fréquents du réseau.
Les utilisateurs étaient des chercheurs, des ingénieurs et des agents de l'État, et la plupart pouvaient s'identifier mutuellement. Ce fait social était inscrit dans la technique. Lorsque SMTP a été publié sous la forme de la RFC 821 en 1982, la RFC 822 définissant des en-têtes comme From, To et Subject, rien n'y demandait à un expéditeur de prouver quoi que ce soit. Un échange simplifié entre deux serveurs de messagerie ressemblait beaucoup à ce qu'il est aujourd'hui :
MAIL FROM:<anyone@example.com>RCPT TO:<reader@example.org>DATA
Le serveur destinataire croyait l'expéditeur sur parole. Sur un réseau où l'on pouvait faire respecter les règles d'usage d'un simple coup de téléphone au supérieur de quelqu'un, c'était une conception raisonnable. C'est devenu la racine de l'usurpation d'expéditeur, du phishing (hameçonnage) et des envois en masse anonymes, dès que ce coup de téléphone n'était plus possible.
Un deuxième élément est arrivé en 1986, avec la RFC 974, qui décrit comment le système de noms de domaine acheminerait le courrier grâce aux enregistrements MX. Un domaine publie un enregistrement qui désigne les serveurs acceptant son courrier, et n'importe quel expéditeur peut le consulter. C'est toujours ainsi que chaque boîte e-mail d'internet reçoit ses messages, et cela a une conséquence qui compte plus loin dans cette histoire : quiconque contrôle un domaine peut diriger son courrier où il veut et accepter les messages pour n'importe quel nom de ce domaine, sans avoir créé le moindre compte au préalable.
1994 : l'envoi en masse atteint le grand public
Le message de Thuerk est longtemps resté une curiosité, car l'ARPANET interdisait l'usage commercial et il y avait peu de monde à atteindre. Au début des années 1990, le mot « spam » circulait dans les communautés en ligne, emprunté à un sketch comique où ce mot se répète jusqu'à couvrir toute autre conversation.
L'épisode qui a montré ce qui s'annonçait date du 12 avril 1994. Deux avocats en droit de l'immigration de l'Arizona, Laurence Canter et Martha Siegel, ont posté une publicité pour une aide à la loterie de la carte verte dans des milliers de groupes de discussion Usenet. Les utilisateurs d'Usenet ont réagi avec fureur, et lorsque le couple a recommencé plus tard dans l'année, un programmeur a écrit un programme qui annulait automatiquement les messages. Le couple a ensuite publié un livre sur les moyens de gagner de l'argent en ligne : l'indignation n'a donc pas vraiment réglé le débat.
Ce petit épisode contient déjà le schéma des trente années suivantes. Un expéditeur découvre qu'atteindre un public immense ne coûte presque rien. Ceux qui reçoivent répondent par la pression de la communauté, puis par des logiciels. L'expéditeur change de tactique. Et chaque lecteur, pris individuellement, n'a aucune prise tant qu'aucun outil n'apparaît de son côté.
Le webmail gratuit a transformé l'adresse en identifiant
Hotmail a été lancé le 4 juillet 1996, et Yahoo Mail en 1997. Les deux permettaient à n'importe qui de créer une adresse en quelques minutes et de la lire depuis n'importe quel navigateur. En quelques années, les comptes de webmail gratuits se comptaient en dizaines de millions, et l'adresse a cessé d'être quelque chose qu'on recevait d'une université ou d'un employeur.
Trois choses ont suivi, qui se sont renforcées les unes les autres. Les sites web ont commencé à utiliser l'adresse e-mail comme nom d'utilisateur, et comme canal pour confirmer les comptes et réinitialiser les mots de passe, ce qui en a fait un élément d'identité plutôt qu'un moyen de joindre quelqu'un. Les adresses sont devenues une marchandise, récoltées par des logiciels qui parcouraient les pages web, les forums et les groupes de discussion à la recherche de tout ce qui y ressemblait, puis vendues en gros sous forme de listes. Et comme envoyer un million de messages coûtait si peu, un taux de réponse bien trop faible pour la publicité postale pouvait quand même être rentable.
Les gens ont improvisé. Certains écrivaient leur adresse en public sous la forme « nom arobase exemple point com » pour que les robots d'indexation passent à côté. Beaucoup ouvraient un second compte gratuit uniquement pour leurs inscriptions, le consultaient rarement et le laissaient se remplir de courrier indésirable. Cette seconde habitude est le véritable ancêtre de l'e-mail jetable. Elle avait déjà toutes les idées, sauf l'automatisation : une adresse dont le seul rôle est d'absorber l'exposition, tenue à l'écart de la boîte e-mail qui compte. Sa faiblesse était l'entretien : il fallait une inscription, un mot de passe à retenir et un fournisseur qui accepte de garder le compte ouvert.
Les défenseurs ont commencé côté réception
Avant que les adresses jetables ne s'imposent, presque tous les efforts sérieux visaient à arrêter le spam à l'arrivée. Quatre approches se distinguent, et chacune survit encore sous une forme ou une autre.
| Approche | Période | Fonctionnement | Limites |
|---|---|---|---|
| Listes de blocage DNS | Fin des années 1990 : MAPS Realtime Blackhole List (1997), Spamhaus (1998) | Les serveurs de messagerie cherchaient l'adresse IP de l'expéditeur dans une liste publiée de sources de spam connues | Les expéditeurs passaient d'un réseau à l'autre, et des voisins innocents se retrouvaient parfois listés |
| Règles et mots-clés | Années 1990 | Des filtres repéraient des mots et des motifs suspects | Les fautes d'orthographe et le texte caché dans des images passaient entre les mailles |
| Filtrage statistique | Popularisé par l'essai « A Plan for Spam » de Paul Graham, en 2002 | Un filtre bayésien apprenait de ce que chaque utilisateur marquait comme spam ou non | Très efficace, mais il n'agit qu'une fois le courrier déjà envoyé vers vous |
| Défi-réponse | Autour du tournant du siècle | Les expéditeurs inconnus devaient prouver qu'ils étaient humains avant la livraison | Agaçait les vrais correspondants, et pouvait envoyer des défis à des adresses usurpées |
Une cinquième idée s'attaquait directement à l'économie du spam. En 1992, Cynthia Dwork et Moni Naor proposaient de faire résoudre un petit casse-tête à l'ordinateur pour chaque message : un prix négligeable pour un e-mail, ruineux pour dix millions. Le Hashcash d'Adam Back, en 1997, en a offert une version pratique. Il n'est jamais devenu une condition d'envoi du courrier, car il aurait fallu que presque tous les serveurs de la planète l'adoptent en même temps, et parce que des criminels pouvaient faire payer les casse-têtes aux ordinateurs piratés d'autrui. L'idée a pourtant survécu ailleurs. Bitcoin a ensuite cité Hashcash, et de petits calculs de preuve de travail servent aujourd'hui de contrôle anti-robots sur des pages web. VookMail en utilise un dans le navigateur du visiteur : l'idée de 1992 a donc fini, discrètement, chez un descendant des services mêmes dont parle cet article.
La confiance a été grande pendant un temps. Au Forum économique mondial de janvier 2004, Bill Gates aurait prédit, selon de nombreux comptes rendus, que le spam serait résolu d'ici deux ans. Le filtrage s'est considérablement amélioré, et la plupart des gens ne voient plus qu'une petite partie de ce qui leur est envoyé. Mais le filtrage a une limite qu'aucun chiffre de précision ne corrige : il commence une fois que votre adresse est déjà connue, et une adresse listée le reste. C'est cette lacune que les outils côté utilisateur ont visée. Si l'expéditeur n'a jamais eu votre vraie adresse, il n'y a rien à filtrer.
Les premières adresses jetables
Personne n'a inventé à lui seul l'e-mail jetable. Plusieurs services sont apparus à quelques années d'intervalle, et chacun a résolu le problème à sa façon. Ces différences méritent qu'on s'y arrête, car presque tous les produits depuis sont des variantes de l'un d'eux.
Spamgourmet : l'adresse qui compte
Spamgourmet, disponible vers 2000, reposait sur une règle astucieuse. Vous vous inscriviez une fois, puis inventiez des adresses à la volée chaque fois qu'un formulaire en demandait une, et chaque adresse transférait vers votre vraie boîte de réception pendant un nombre de messages fixé. Vous donniez à un site une adresse valable pour trois e-mails, assez pour une confirmation, et elle se taisait ensuite. Rien à gérer, et jamais de seconde boîte à consulter. Le prix à payer : vous aviez toujours un compte, et votre vraie boîte e-mail restait derrière.
Mailinator : la boîte qui n'appartient à personne
Mailinator, de Paul Tyma, lancé en 2003 comme projet annexe, a retiré tout ce qui pouvait l'être. N'importe quel nom d'utilisateur de son domaine fonctionnait sans avoir été créé. Pour lire le courrier, il suffisait de taper le même nom sur le site. Pas de comptes, pas de mots de passe, pas de transfert, et les anciens messages étaient effacés automatiquement.
Cette conception exploite ce qui a été dit plus haut sur les enregistrements MX. Puisque le propriétaire d'un domaine décide de la façon dont son courrier est traité, le serveur pouvait accepter le courrier de tous les noms possibles et traiter chaque nom comme une simple étiquette sur un tas. Tyma a décrit plus tard comment il le faisait tourner à peu de frais en gardant le courrier surtout en mémoire. Le service a été remarqué rapidement : Joel Spolsky en parlait sur son blog quelques mois après son lancement. Son caractère ouvert fixait aussi une limite qui vaut toujours pour ce type de service. Une boîte sans mot de passe peut être lue par quiconque en tape le nom, ce qui la réserve au courrier sans importance, et à rien d'autre.
Les boîtes à durée limitée
Au milieu des années 2000, des services comme Guerrilla Mail et 10 Minute Mail avaient rendu familière une autre idée : le site crée pour vous une adresse aléatoire au chargement de la page, et l'adresse expire au bout d'un court délai. Un nom aléatoire est difficile à deviner, ce qui atténuait la faiblesse de confidentialité d'une boîte publique partagée, et le minuteur visible disait à l'utilisateur exactement à quoi servait l'outil.
De ces trois conceptions, quelques principes se sont imposés. Un compte va à l'encontre du but si vous devez céder des données pour protéger vos données, et les services les plus connus n'en demandaient donc aucun. L'adresse devait fonctionner dès qu'elle apparaissait. Le courrier devait disparaître tout seul, pour que peu de choses soient conservées. Et la plupart des services se concentraient sur la réception, ce dont les utilisateurs avaient réellement besoin et qui donnait aux spammeurs peu d'intérêt à s'en servir.
Les sites ont répondu par des listes de blocage
Un propriétaire de site voit une adresse jetable autrement. Une équipe marketing a payé pour une inscription qu'elle ne pourra jamais recontacter. Une plateforme n'a aucun moyen de joindre un utilisateur pour un problème de sécurité ou de facturation. Un service avec une offre gratuite ou une règle de communauté d'un compte par personne a perdu l'un de ses rares signaux indiquant que la règle est respectée.
La réponse courante a été un contrôle du domaine : à l'inscription, on compare la partie située après le @ à une liste de domaines jetables connus. Des listes communautaires de ces domaines sont publiées ouvertement, et des services commerciaux de validation proposent le même contrôle via une API. Ces listes se sont allongées au fil des ans, avec le nombre de services et de domaines.
Il serait facile de raconter cela comme un duel avec des gagnants, mais ce cadrage ne sert personne. Un site qui décide de ne pas accepter les adresses jetables prend une décision sur son propre service, et la bonne réaction face à un refus est d'y utiliser une adresse permanente ou un alias. Les adresses jetables ont leur place dans le très grand nombre de sites qui n'ont pas besoin d'une relation durable avec vous, et là où leurs conditions le permettent.
2004 : le signe plus touche le grand public
Gmail a été lancé le 1er avril 2004, avec un gigaoctet de stockage alors que ses concurrents n'en offraient qu'une petite fraction. Le stockage faisait la une, mais le service a aussi fait connaître largement deux habitudes d'adressage. Les points dans un nom d'utilisateur sont ignorés, et tout ce qui suit un signe plus est ignoré pour la livraison : name+shop@gmail.com arrive donc à name@gmail.com.
L'idée était plus ancienne que Gmail, et des serveurs de messagerie la géraient depuis des années. Sa forme normalisée est venue plus tard, avec la RFC 5233 de 2008, qui définit une extension de sous-adresse pour le langage de filtrage de courrier Sieve. Pour la plupart des gens, pourtant, c'est avec Gmail qu'ils l'ont rencontrée pour la première fois. Elle permettait d'étiqueter chaque site, de filtrer selon l'étiquette et de voir quelle entreprise avait laissé sa copie de votre adresse atterrir sur une liste de spam.
Ce qu'elle ne faisait pas, c'était de masquer quoi que ce soit. Supprimez l'étiquette et la vraie adresse est là, sous vos yeux, et certains formulaires d'inscription refusaient à tort le signe plus. Elle est donc devenue un outil d'organisation, et son succès a montré un vrai appétit pour une adresse par relation. Les alias de transfert allaient répondre correctement à cet appétit dix ans plus tard.
Réparer côté expéditeur : de 2006 à 2024
Pendant que les utilisateurs adoptaient leurs propres outils, l'industrie s'est mise à ajouter les contrôles d'identité que SMTP avait laissés de côté. Cela a pris un temps remarquablement long, car chaque couche devait fonctionner avec le système existant sans le casser.
| Norme | À quelle question elle répond | Spécification |
|---|---|---|
| SPF | Ce serveur a-t-il le droit d'envoyer pour ce domaine ? | RFC 4408 (2006), remplacée par la RFC 7208 (2014) |
| DKIM | Ce domaine a-t-il signé le message, et celui-ci a-t-il changé depuis ? | RFC 4871 (2007), remplacée par la RFC 6376 (2011). Elle a fusionné DomainKeys de Yahoo et Identified Internet Mail de Cisco |
| DMARC | Le domaine visible dans From correspond-il à un contrôle réussi, et que faire sinon ? | Publié par un groupe de l'industrie en 2012, RFC 7489 (2015) |
| Désabonnement en un clic | Le fournisseur de boîte e-mail peut-il retirer un lecteur d'une seule action ? | RFC 8058 (2017), qui s'appuie sur l'en-tête List-Unsubscribe de la RFC 2369 (1998) |
| BIMI | Un domaine avec un DMARC strict peut-il afficher un logo vérifié ? | Développé par un groupe de travail de l'industrie et adopté par plusieurs grands fournisseurs dans les années 2020 |
Pendant des années, ces normes sont restées facultatives dans les faits. Cela a changé en février 2024, quand Google et Yahoo ont commencé à appliquer des règles aux expéditeurs en masse, celles de Google visant ceux qui envoient plus de 5 000 messages par jour vers des adresses Gmail. Ces expéditeurs doivent désormais mettre en place SPF, DKIM et DMARC, offrir le désabonnement en un clic sur le courrier marketing et garder un faible taux de plaintes pour spam. Quarante-deux ans après la RFC 821, les plus grands opérateurs de boîtes e-mail avaient de fait fait de l'identité de l'expéditeur une condition pour atteindre leurs utilisateurs à grande échelle.
L'authentification améliore la confiance dans l'origine d'un message. Elle ne dit rien de la diffusion de votre adresse. Un e-mail marketing non désiré peut passer tous les contrôles parfaitement, et un criminel peut enregistrer un domaine et l'authentifier lui aussi. Ce travail et les adresses jetables règlent donc des parties différentes d'un même problème, et aucun n'a rendu l'autre inutile.
Ce qu'ont fait les législateurs
Les lois sont arrivées par vagues, et leurs approches diffèrent. Le résumé qui suit est une information générale, et les règles varient selon les pays et évoluent avec le temps.
- La directive européenne « vie privée et communications électroniques » de 2002 a fixé des règles pour les communications électroniques, dont le consentement pour le courrier marketing, mises en œuvre séparément par chaque État membre.
- La loi américaine CAN-SPAM est entrée en vigueur en janvier 2004. Elle exige des en-têtes exacts, une adresse postale valide et une option de désinscription qui fonctionne, et n'impose pas de consentement avant le premier message.
- La législation canadienne anti-pourriel, la LCAP (CASL), est entrée en vigueur en 2014 avec un modèle fondé sur le consentement, plus strict.
- Le Règlement général sur la protection des données de l'UE s'applique depuis mai 2018 et apporte des principes comme la minimisation des données et la limitation des finalités, ainsi que des droits sur les données personnelles, y compris les adresses e-mail.
Ces lois ont relevé le niveau chez les entreprises qui veulent rester légitimes. Elles ont eu beaucoup moins d'effet sur les criminels qui agissent par-delà les frontières, et aucune ne pouvait empêcher le vol de la base de données d'une société, ce qui est devenu la raison suivante de se soucier de sa boîte de réception.
Les fuites ont changé le débat
Jusqu'aux années 2010, l'intérêt d'une adresse jetable tenait surtout à l'agacement. Puis l'ampleur des vols de données est devenue publique. La fuite d'Adobe a été révélée en 2013, et en décembre de la même année, le chercheur en sécurité Troy Hunt a lancé Have I Been Pwned, qui permet à chacun de vérifier une adresse par rapport aux fuites connues. Beaucoup de gens qui l'ont essayé ont découvert leur adresse principale listée plusieurs fois. Yahoo a déclaré plus tard qu'une fuite de 2013 avait touché l'ensemble de ses quelque trois milliards de comptes.
La menace a changé en conséquence. Votre adresse était une cible publicitaire. Elle arrivait désormais avec du contexte : un phishing pouvait faire référence à un service que vous utilisiez réellement, et le credential stuffing pouvait tester automatiquement sur d'autres sites un couple identifiant-mot de passe qui avait fuité. Chaque service détenant votre adresse principale devenait une source possible d'une attaque future, quelle que soit l'apparente banalité du service au moment de l'inscription.
L'ancienne logique du second compte ressemblait soudain à de la gestion des risques. Si un site de téléchargement occasionnel est piraté et que vous lui aviez donné une adresse temporaire, votre boîte de réception principale n'est pas dans la fuite. Si vous lui aviez donné un alias, vous pouvez désactiver cet alias. Moins votre adresse principale circule, moins il y a de choses à voler.
L'image qui rapporte
Les marketeurs utilisaient depuis longtemps de minuscules images distantes et des liens personnalisés pour savoir qui ouvrait quoi et quand, parfois avec une localisation approximative et le type d'appareil. La réponse a été lente et est venue du côté de la boîte e-mail. De nombreux logiciels de messagerie ont ajouté des réglages pour bloquer les images distantes. Gmail a commencé à récupérer les images via son propre proxy fin 2013, ce qui masquait l'adresse IP des lecteurs aux expéditeurs, tout en leur laissant savoir qu'un message avait été chargé. En 2021, Apple a introduit Mail Privacy Protection, qui charge le contenu distant de façon privée en arrière-plan et rend peu fiables les données d'ouverture.
Ce sont de petites défenses comparées au fait de limiter qui possède votre adresse, mais elles vont dans le même sens : c'est la personne qui lit le courrier qui doit décider de ce que l'expéditeur peut apprendre. Les boîtes jetables arrivent au même résultat par un autre chemin. Un courrier envoyé à une adresse que vous ne consultez plus n'a pas grand-chose à rapporter, et certains services vont plus loin et retirent les images de suivi.
Les alias entrent dans le système d'exploitation
Les services d'alias de transfert existaient depuis des années comme produits de niche. L'utilisateur recevait des adresses permanentes, d'apparence aléatoire, qui livraient vers une vraie boîte e-mail et pouvaient chacune être désactivée séparément. La fin des années 2010 a fait entrer l'idée dans le grand public, en succession rapide :
- Apple a introduit des adresses relais dans le cadre de Sign in with Apple en 2019.
- Mozilla a commencé à tester Firefox Relay, d'abord appelé Firefox Private Relay, en 2020.
- Apple a étendu l'idée sous le nom de Hide My Email dans iCloud+ en 2021.
- DuckDuckGo a ouvert sa bêta de protection du courrier en 2021, avec des adresses de transfert privées.
- Proton a racheté le service d'alias SimpleLogin en 2022, et des fournisseurs de messagerie centrés sur la confidentialité ont intégré plus largement les alias à leurs produits.
Le changement est facile à sous-estimer. Pendant vingt ans, avoir une adresse distincte pour chaque site était une habitude de ceux qui se soucient de leur vie privée. À partir du moment où un téléphone ou un navigateur en propose une dans le formulaire d'inscription lui-même, cela demande moins d'effort que de saisir sa propre adresse. Les alias ne rendent pas les boîtes temporaires superflues, car ils reposent toujours sur un compte quelque part, et ce compte sait qui vous êtes. Pour bien voir comment les deux se situent l'un par rapport à l'autre, le mieux est de les placer à côté de tout ce qui les a précédés.
| Génération | Ce qu'elle offrait | Ce qu'elle sacrifiait |
|---|---|---|
| Second compte gratuit (fin des années 1990) | Un endroit permanent et récupérable pour les inscriptions | Inscription, entretien, son propre problème de spam grandissant |
| Adresses écrites sous forme déguisée | Une protection contre les robots, sans aucun outil | Ne servait que pour les publications publiques, jamais pour les inscriptions |
| Transferts à compteur (vers 2000) | Une coupure automatique après quelques messages | Nécessitait un compte, et restait liée à une vraie boîte de réception |
| Boîtes temporaires publiques (à partir de 2003) | Aucune donnée cédée, rien à gérer | Courte durée de vie, lisible par quiconque a l'adresse, inadaptée aux comptes importants |
| Adresses avec « + » (populaires depuis 2004) | Filtrage facile et traçage des fuites | La vraie adresse reste visible, et certains formulaires la refusent |
| Services d'alias de transfert (années 2010) | Des relations durables avec un interrupteur | La confiance envers un fournisseur d'alias, qui entre dans votre chaîne de récupération |
| Alias intégrés (à partir de 2019) | Presque aucun effort, proposés dans le formulaire d'inscription | Vous lie à l'écosystème d'une seule plateforme |
Aucune de ces solutions n'a remplacé les autres. Chacune convient à un niveau de confiance et à une durée de vie différents, et c'est pourquoi une stratégie e-mail personnelle à plusieurs niveaux garde tout son sens.
À quoi ressemble une boîte temporaire aujourd'hui
La promesse de base n'a pas changé depuis 2003, alors que la mécanique a beaucoup évolué. Les premiers services faisaient souvent tourner un seul serveur SMTP qui acceptait tout et le stockait derrière une page simple. Aujourd'hui, le travail est couramment réparti, et VookMail en est un exemple. Ses domaines, comme privoxmail.com, veylax.com et mailnexio.com, publient des enregistrements MX qui pointent vers un fournisseur de distribution de courrier. Un serveur expéditeur consulte cet enregistrement et livre en SMTP, comme depuis les années 1980. Le fournisseur transmet ensuite chaque message à VookMail en HTTPS, de sorte que VookMail n'expose pas son propre serveur de messagerie. Le navigateur vérifie l'arrivée de nouveaux messages toutes les quelques secondes, et les messages, les pièces jointes et les adresses sont supprimés au bout d'environ une journée. La page de méthodologie donne plus de détails.
L'interface a évolué elle aussi, et elle reflète les leçons des générations précédentes. L'adresse est prête au chargement de la page, sans inscription ni mot de passe, comme Mailinator l'avait montré possible. Une adresse aléatoire, obtenue avec le bouton jaune « Aléatoire », répond à la faiblesse des boîtes ouvertes, que l'on peut deviner ; l'alternative est d'appuyer sur « Nouveau », de saisir un nom d'utilisateur et de choisir parmi plus de 30 domaines. Quiconque connaît ou devine une adresse peut toujours ouvrir cette boîte, ce qui reste vrai de toute cette famille de services, et c'est pourquoi l'aléatoire est le choix le plus sûr. Notre guide d'utilisation de VookMail présente les boutons un à un, et il existe des applications sur Google Play et Huawei AppGallery.
Les étapes que voit un utilisateur d'aujourd'hui surprendraient moins quelqu'un de 2003 qu'on ne le croirait. Les codes de vérification extraits et affichés au-dessus du message, un code QR pour emporter l'adresse sur un second appareil, les images de suivi retirées : ce sont des raffinements d'une seule idée, recevoir ce dont on a besoin maintenant puis laisser partir. Les tests logiciels sont aussi devenus un usage majeur, puisqu'une boîte propre à chaque exécution de test est exactement ce que veut un développeur qui vérifie un parcours d'inscription.
Les dates à avoir sous la main
| Année | Événement |
|---|---|
| 1971 | Ray Tomlinson envoie du courrier entre des machines et adopte le signe @ |
| 1978 | Message de masse de Gary Thuerk sur l'ARPANET, généralement cité comme le premier spam |
| 1982 | Publication de SMTP (RFC 821) et du format de message (RFC 822) |
| 1986 | La RFC 974 décrit l'acheminement du courrier avec le DNS |
| 1992 | Dwork et Naor proposent des casse-têtes de calcul contre le courrier indésirable |
| 1994 | Les messages « Green Card » inondent Usenet |
| 1996 à 1997 | Hotmail et Yahoo Mail ouvrent le webmail gratuit à tous ; la première liste de blocage DNS largement utilisée voit le jour |
| Vers 2000 | Spamgourmet propose des adresses qui s'autodétruisent |
| 2002 | « A Plan for Spam » popularise le filtrage statistique ; directive européenne « vie privée et communications électroniques » |
| 2003 | Lancement de Mailinator ; CAN-SPAM est signée aux États-Unis |
| 2004 | Lancement de Gmail, qui rend familières les adresses avec « + » |
| 2013 | Lancement de Have I Been Pwned ; Gmail commence à passer les images par un proxy |
| 2015 | DMARC est publié sous la forme de la RFC 7489 |
| 2018 | Le RGPD s'applique dans l'UE |
| 2019 à 2021 | Arrivée de Sign in with Apple, Firefox Relay, Hide My Email et du service de transfert de DuckDuckGo |
| 2022 | Apple, Google et Microsoft s'engagent en faveur des clés d'accès (passkeys) |
| 2024 | Google et Yahoo commencent à appliquer leurs règles pour les expéditeurs en masse |
Ce qui n'a pas changé en cinquante ans
Lue de bout en bout, cette histoire offre moins de variété que ne le laisse croire la longue liste de technologies. L'envoi est resté bon marché, et tant qu'il le restera, le courrier non désiré existera, parce que l'économie de l'expéditeur n'a pas besoin que beaucoup de lecteurs disent oui. L'invitation à une démonstration de Thuerk et une campagne de phishing moderne ont cela en commun, et la proposition de 1992 de faire payer les expéditeurs en puissance de calcul a échoué précisément parce que ce prix ne pouvait pas être imposé à tout le monde.
L'adresse est restée une identité depuis l'ère du webmail, et une identité d'une puissance inhabituelle : celui qui lit votre boîte de réception peut généralement réinitialiser vos mots de passe. L'exposition est restée cumulative, car une liste que votre adresse a rejointe en 2009 ne l'oublie pas, et la plupart des copies ne sont jamais supprimées. Et chaque génération de défense s'est accompagnée d'un compromis que l'ingénierie n'a pas pu éliminer. Plus une adresse est facile à jeter, moins elle convient à tout ce dont vous aurez besoin plus tard. Personne n'a réussi à construire une boîte e-mail à la fois facile à jeter sans effort et sûre pour y confier sa banque.
Où va probablement la confidentialité de la boîte de réception
L'histoire explique mieux qu'elle ne prédit, comme le montre la prévision de Gates à deux ans ; ce qui suit est donc une lecture des tendances actuelles, sans garantie.
Une adresse par site comme réglage par défaut
Les alias sont désormais proposés par de grandes plateformes et des gestionnaires de mots de passe au moment de l'inscription. Si cela continue de se répandre, donner la même adresse à tous les sites pourrait finir par ressembler à ce qu'est aujourd'hui la réutilisation d'un seul mot de passe. La limite probable est la portabilité : un alias lié à l'écosystème d'une entreprise ne dure que ce que dure votre relation avec elle, et ceux qui changent de plateforme auront donc un peu de démêlage à faire.
Les clés d'accès et le rôle de l'e-mail
Les clés d'accès (passkeys), fondées sur les normes FIDO et promues conjointement par Apple, Google et Microsoft depuis 2022, remplacent le mot de passe par un identifiant cryptographique conservé sur vos appareils. Moins de mots de passe, c'est moins d'e-mails de réinitialisation. La plupart des services utilisent pourtant toujours l'adresse e-mail comme identifiant du compte, et pour les avis et la récupération en cas de perte d'un appareil. Le rôle de l'e-mail comme canal de sécurité semble donc devoir ne reculer que progressivement, et la boîte e-mail principale mérite encore d'être protégée pendant un certain temps.
De meilleurs filtres, des fraudes plus convaincantes
L'apprentissage automatique améliore sans cesse la détection, et le texte généré facilite sans cesse la rédaction d'escroqueries fluides et personnalisées dans n'importe quelle langue. Le vieux conseil sur les fautes d'orthographe perd de sa valeur en conséquence. Les questions de contexte résistent mieux : ce message a-t-il seulement sa place à cette adresse ? Celui qui utilise des adresses séparées a ici un avantage, puisqu'un avis de « banque » arrivant sur un alias de shopping répond de lui-même à la question.
Des règles plus strictes pour les expéditeurs
Les exigences de 2024 pourraient se durcir encore, et d'autres grands fournisseurs se sont engagés dans la même direction. Il serait alors plus facile de se désabonner du marketing légitime et plus facile de filtrer le courrier de masse illégitime. Cela ne changerait pas l'économie pour les criminels prêts à abuser de comptes piratés ou de services compromis, qui sont devenus plus attrayants à mesure que l'envoi direct se complique.
Moins de formulaires qui demandent
Les principes de minimisation des données du droit de la vie privée poussent à ne collecter que ce dont une finalité a besoin. Avec le temps, davantage de téléchargements, d'aperçus et de portails Wi-Fi pourraient cesser de demander une adresse, ou être plus clairs sur l'usage qui en sera fait. Le changement a été lent ici, parce qu'une liste de diffusion a une valeur commerciale. Tant que cela reste vrai, les boîtes temporaires auront un rôle : un contenu à accès restreint à consulter une seule fois, la page de connexion d'un lieu, voir ce qu'envoie un site inconnu avant de lui faire confiance, toujours là où les conditions du site le permettent.
Les limites ne devraient pas bouger non plus. Certaines plateformes continueront de refuser les domaines jetables, et une boîte temporaire n'a rien à faire près de la fraude, de l'abus, du contournement d'un bannissement, ni de rien d'important comme la banque, les services publics ou un compte principal de réseau social. Nos conditions générales énoncent clairement ces limites.
Ce que l'histoire suggère pour votre propre adresse
L'histoire donne peu de consignes, mais quelques-unes tiennent sur toute la période. Une adresse ne revient pas une fois qu'elle s'est répandue : le moment de protéger une adresse principale est donc avant de la donner, et c'est la seule défense de cette liste qui agit avant l'envoi d'un message. Filtres, authentification et loi ont chacun aidé et ont chacun atteint une limite, si bien que compter sur un seul d'entre eux a déçu les gens à plusieurs reprises. Les outils jetables ont toujours été bons pour une chose et mauvais pour son contraire : le courrier dont vous avez besoin une fois, par opposition aux comptes dont vous avez besoin pendant des années. Conservez ailleurs ce qui compte, car la suppression automatique est à la fois le but de ces services et leur côté le plus tranchant.
Questions que soulève cette histoire
Le message de Thuerk était-il vraiment le premier spam ?
C'est la réponse habituelle, et celle que retient le Guinness, surtout parce qu'il était commercial et que la réaction est documentée. Des messages de masse antérieurs existaient sur des systèmes partagés. Tom Van Vleck, qui travaillait sur le système CTSS du MIT, a décrit un message contre la guerre envoyé à tous ses utilisateurs en 1971. Le « premier » dépend de la prise en compte ou non des messages non commerciaux, et des messages au sein d'un seul ordinateur.
Qui a inventé l'e-mail jetable ?
Personne en particulier. Un second compte de webmail faisait le travail de façon informelle avant qu'aucun service n'existe, et Spamgourmet et Mailinator ont automatisé des moitiés différentes de l'idée. On attribue souvent à Mailinator la définition de la catégorie parce qu'il a supprimé toute inscription, mais cette affirmation doit se lire comme une influence, et non comme un brevet sur l'idée.
Pourquoi a-t-il fallu attendre environ 2000 ?
Avant le webmail gratuit, peu de gens avaient une adresse qui comptait pour eux en dehors du travail ou des études, et les sites web n'en exigeaient pas encore à chaque détour. Le besoin est arrivé avec les inscriptions en ligne de la fin des années 1990. La méthode existait déjà, puisque les domaines pouvaient toujours accepter du courrier pour n'importe quel nom.
Pourquoi la preuve de travail a-t-elle échoué pour l'e-mail mais survécu ailleurs ?
L'e-mail exigeait que presque tous les serveurs s'accordent avant de pouvoir imposer un timbre, et cette coordination n'a jamais eu lieu. Un site web peut adopter seul la même technique, pour ses propres visiteurs, ce qui explique qu'elle fonctionne aujourd'hui comme contrôle anti-robots.
L'authentification a-t-elle rendu les adresses jetables inutiles ?
Non, car les deux traitent des questions distinctes. SPF, DKIM et DMARC répondent à la question de savoir si un message vient bien d'un domaine. Une adresse jetable répond à la question de savoir qui possède votre adresse au départ. Un courrier peut passer tous les contrôles et rester un courrier que vous n'avez jamais voulu.
L'e-mail pourrait-il un jour être remplacé ?
Les applications de messagerie ont depuis longtemps absorbé une bonne part des conversations personnelles, et presque tous les comptes en ligne demandent encore une adresse e-mail. Aucune entreprise n'en est propriétaire, n'importe qui peut faire tourner un serveur, et deux parties quelconques peuvent échanger du courrier sans partager de plateforme. Ces qualités expliquent aussi pourquoi le spam a été si difficile à éradiquer. Pour approfondir, le blog de VookMail en dit plus sur le fonctionnement de ces outils aujourd'hui.