Comprendre avant de se protéger
Comment votre adresse fuit, et ce qui la retient
Un long texte, sans jargon, sur les chemins réels d'une adresse e-mail. À lire si vous voulez savoir pourquoi le spam augmente et ce qui, concrètement, fait baisser la pression.
Essai 0,50 € les 7 premiers jours puis 24,90 € / mois TVA 21 % incluse — résiliable en un message, à tout moment
Les quatre chemins par lesquels une adresse sort
Une adresse e-mail ne « s'échappe » presque jamais par une seule grande fuite spectaculaire. Elle sort par des chemins ordinaires, répétés, souvent sans que vous puissiez distinguer le moment où cela arrive. En voici quatre, du plus banal au plus discret.
1. Les formulaires qui collectent plus que nécessaire
Un formulaire de concours, un accès à un article, un coupon de réduction : l'adresse est saisie pour une raison affichée, puis conservée pour trois autres. Le formulaire ne demande pas votre consentement parce qu'il l'a déjà obtenu en page deux, dans un paragraphe de dix lignes que personne ne lit. Ce que vous croyez être un service gratuit se rémunère souvent par la revente ou l'échange de fichiers.
2. Les bases qui tombent
Forums abandonnés, petites boutiques, applications de niche : la base est mal protégée, un jour elle est publiée. Ces fuites concernent rarement une seule adresse, et leurs conséquences réelles sont sous-estimées. Le fichier n'est pas seulement une liste d'adresses : il contient souvent le nom, l'adresse postale et un mot de passe, soit exactement de quoi construire un message de phishing crédible.
3. La revente et les courtiers de données
Entre marchands et intermédiaires, des fichiers se vendent. Le mécanisme est légal sous conditions, et la désinscription d'une seule liste ne remonte pas la chaîne : vous disparaissez d'un fichier dérivé, pas de la source. C'est pour cette raison que la désinscription seule, sans isolation de l'adresse, produit des résultats décevants.
4. L'exposition directe
Une adresse professionnelle en signature, sur une page d'équipe, dans un registre public ou sur une page de réseau social : des robots les lisent en permanence. Une adresse professionnelle est d'ailleurs la plus exposée, par construction, et c'est précisément le cas que le service traite le plus souvent chez les indépendants.
Aucun de ces chemins ne se ferme seul. Trois sur quatre se réduisent nettement par une seule méthode : ne jamais exposer l'adresse principale, et isoler chaque usage.
Le pixel de suivi, image par image
Une newsletter contient une balise invisible : une image d'un point sur un pixel, souvent transparente, servie par un serveur qui a son propre nom de domaine. À l'ouverture du message, le logiciel va chercher cette image. Le serveur note la date, l'heure, votre adresse IP, l'approximation géographique qui en découle, et le client de messagerie utilisé. La balise est propre à votre fiche : ce n'est plus de la mesure globale, c'est du suivi individuel.
Répétez l'opération sur une centaine d'expéditeurs et il se forme un profil de lecture : les jours où vous ouvrez l'été, le moment de la journée, l'appareil du travail ou celui de la maison, les heures de vacances. Ces éléments servent à décider quand vous envoyer quoi, et parfois à qualifier la valeur de votre adresse pour un tiers.
Trois précisions honnêtes, qui manquent souvent dans les articles sur le sujet. Premièrement, bloquer tous les pixels n'est pas possible sans casser les messages : une image de produit ne s'affichera pas non plus. Deuxièmement, bloquer le pixel ne dit pas à l'expéditeur que vous êtes parti, il le laisse seulement sans information. Troisièmement, un pixel n'exécute pas de code : il observe, il ne vous infecte pas.
Le réglage utile est donc un compromis, pas une guerre. On neutralise le chargement distant par défaut, on accepte l'affichage des images au cas par cas, et on garde les newsletters dans un endroit distinct, en lecture différée. Les expéditeurs perdent la granularité, vous récupérez votre concentration.
Ce qui fait vraiment baisser le risque
Les conseils habituels — « faites attention », « ne cliquez pas » — déplacent la responsabilité sans changer grande chose à l'exposition. Ce qui fait baisser le risque, ce sont des modifications de structure, pas de vigilance.
- Compartimenter. Une adresse par usage sensible, sur un domaine d'enrobage. Une fuite devient une perte locale au lieu d'un problème global.
- Révoquer tôt. Couper dès le premier abus plutôt que laisser s'installer. Chaque semaine de sursis correspond à des inscriptions de plus.
- Ne jamais désinscrire depuis l'adresse principale. Un lien de désinscription confirme à l'expéditeur que l'adresse existe et lit les messages.
- Surveiller les fuites. Pas pour la panique, pour la réactivité : une alerte traitée le jour même évite la plupart des conséquences.
- Réduire la surface professionnelle. Une adresse générique de contact renvoyée vers une adresse privée protège l'adresse privée.
Il reste une part d'inévitable. Une adresse un peu connue recevra toujours du spam, et les fraudeurs savent changer de domaine. L'objectif raisonnable est un volume tenable, pas le zéro absolu.
Mots de passe, 2FA et gestionnaires
Le spam est un désagrément ; le compte piraté est un vrai problème. Les deux se rejoignent par une habitude : le même mot de passe partout. Une fuite sur un forum sans importance donne l'accès à la boutique, parfois à la boîte annexe, et de proche en proche à ce qui compte.
Trois mesures rendent cette chaîne inopérante : un mot de passe différent par site, un gestionnaire pour ne pas les retenir de tête, et la double authentification sur tout ce qui touche à l'argent, à l'identité ou à la messagerie. La messagerie en premier : c'est elle qui permet de réinitialiser tous les autres mots de passe, donc elle est la clé du trousseau.
Sur la double authentification, préférez une application ou une clé matérielle quand le site le propose ; les codes par SMS sont vulnérables au détournement de numéro, sans être inutiles pour autant. Et gardez les codes de secours imprimés quelque part de sensé : un compte verrouillé sans secours est un problème plus urgent que le spam.
Faut-il changer un mot de passe à chaque alerte ? Pas systématiquement. Changez celui du site concerné, et seulement ceux qui sont identiques ailleurs. Un mot de passe ancien et unique n'exige pas de panique ; un mot de passe récent et partagé, oui.
La liste de vérification
Huit points, à faire une fois. C'est peu, et cela suffit à changer le volume entrant en quelques semaines.
- Inventaire des sites qui connaissent votre adresse principale, avec la date d'inscription.
- Création d'adresses séparées pour les usages à risque, et bascule des inscriptions concernées.
- Désinscription, depuis un alias, de tout ce qui n'a pas été ouvert depuis six mois.
- Neutralisation du chargement automatique des images distantes dans le client de messagerie.
- Gestionnaire de mots de passe installé, avec un mot de passe unique par site important.
- Double authentification activée sur la messagerie, la banque et les comptes administratifs.
- Adresse principale retirée des signatures publiques et des pages d'équipe.
- Veille de fuite activée sur les adresses qui comptent, avec une règle de traitement le jour même.
Cette liste, je la déroule avec vous dans le cadre du service, dans l'ordre qui correspond à votre situation. Elle est aussi utilisable seule, si vous préférez commencer à la main.
Mettre cette liste en pratique, accompagné
Les sept premiers jours coûtent 0,50 €. On commence par votre inventaire, sans changer votre adresse.
7 jours à 0,50 €, puis 24,90 € par mois, TVA 21 % incluse. Sans engagement de durée.