Comment savoir qui a vendu votre adresse courriel

Pour savoir avec certitude qui a vendu votre adresse courriel ou l’a laissée fuiter, il faut que vous ayez donné à cette entreprise une adresse que personne d’autre n’avait. Avec une adresse principale utilisée depuis des années, vous pouvez généralement réduire la liste des suspects, mais pas désigner de coupable : elle figure dans des dizaines de bases de données de clients, et un pourriel remonte rarement jusqu’à celle qui l’a laissée partir. Ce que vous pouvez découvrir, c’est qui vous écrit et par quel service, si une entreprise a laissé fuiter votre adresse lors d’une fuite de données connue et, dans l’UE et au Royaume-Uni, ce qu’une entreprise dit de l’endroit où elle a obtenu votre adresse. CatchNone, pour iPhone, iPad et Mac, fait d’une adresse par entreprise la règle par défaut : chaque message porte une pastille indiquant l’alias qu’il a atteint, et la prochaine fuite désigne ainsi sa source.

Les étapes, dans l’ordre :

1. Trouvez le premier message indésirable et l’adresse exacte à laquelle il est arrivé.
2. Lisez ses en-têtes pour identifier l’expéditeur et son service d’envoi.
3. Cherchez dans Have I Been Pwned une fuite de données qui comprenait l’adresse.
4. Demandez à l’expéditeur où il a obtenu votre adresse, et demandez à l’entreprise que vous soupçonnez à quelles entreprises elle l’a donnée.
5. Dorénavant, donnez à chaque entreprise sa propre adresse.

Peut-on savoir qui a vendu votre adresse courriel?

Parfois. Tout dépend des preuves :

• Les en-têtes montrent qui a envoyé un message et par quel service (une signature DKIM valide prouve quel domaine l’a signé), pas d’où vient la liste.
• Une fuite de données répertoriée prouve qu’une entreprise a perdu votre adresse, sans exclure les autres.
• Une demande fondée sur la loi peut obliger une entreprise à dire ce qu’elle sait de la source, si elle le sait (en Californie, seulement par catégories).
• Une adresse aléatoire donnée à une seule entreprise désigne directement une source : si quelqu’un d’autre y écrit, c’est que l’adresse a quitté cette entreprise, qu’elle ait été vendue, partagée ou volée.

Une vague soudaine de pourriels peut avoir d’autres causes; consultez pourquoi les pourriels peuvent se multiplier du jour au lendemain. Pour savoir comment les adresses se répandent au départ, par la vente, les fuites de données, le moissonnage et les adresses devinées, consultez comment les expéditeurs de pourriels obtiennent les adresses courriel.

Étape 1 : trouvez le premier message et l’adresse à laquelle il est arrivé

Cherchez l’expéditeur inconnu et repérez le résultat le plus ancien : le premier message est le plus proche du moment où votre adresse a changé de mains. Vérifiez à quelle adresse exacte il a été envoyé et comment il vous salue. Une ancienne adresse ou une faute de frappe que vous n’avez utilisée qu’une fois, une version +tag de votre adresse, une faute dans votre nom venant d’un seul formulaire d’inscription, ou un détail qu’une seule entreprise connaissait : tout cela pointe vers une source.

Dans l’UE et au Royaume-Uni, lisez aussi le pied de page de ce premier message et son lien vers la politique de confidentialité. Selon le RGPD (art. 14), une entreprise qui a obtenu vos renseignements auprès d’un tiers doit vous indiquer « la source d’où proviennent les données à caractère personnel ». Si elle les utilise pour communiquer avec vous, l’échéance est « au plus tard au moment de la première communication ». Si le premier message ne le précisait pas, signalez-le dans votre demande de l’étape 4.

Étape 2 : lisez les en-têtes

Les en-têtes sont les lignes cachées au-dessus d’un message. Ils nomment l’expéditeur et le service qui a acheminé le courrier, ce qui vous indique à qui écrire à l’étape 4.

Comment afficher les en-têtes

Chemins tirés des pages d’aide de chaque éditeur, en septembre 2026 :

Raccourci de Gmail : sur le Web, cliquez sur la flèche vers le bas sous le nom de l’expéditeur pour voir « Mailed by » (Envoyé par) et « Signed by » (Signé par), les domaines qui ont envoyé et signé le message.

Un exemple commenté

Voici un ensemble d’en-têtes fictif et abrégé. Votre adresse est k7qm-2xrd@example.com, une adresse aléatoire que vous n’avez donnée qu’à une jardinerie. La marque est dealsdaily.example.net, et mailer.example.org est le service d’envoi qu’elle utilise.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Ici, l’expéditeur est Deals Daily, qui envoie par mailer.example.org, et l’adresse visée est celle, aléatoire, que vous n’avez donnée qu’à la jardinerie : c’est donc de là qu’elle est partie. Les en-têtes ne peuvent pas dire comment Deals Daily l’a obtenue : ils nomment l’expéditeur, jamais le vendeur. ICANN Lookup affiche la fiche d’enregistrement d’un domaine inconnu, mais les coordonnées du titulaire sont le plus souvent masquées.

Étape 3 : vérifiez si une entreprise a laissé fuiter votre adresse

Have I Been Pwned (HIBP) indique quelles fuites de données et quelles listes de pourriels contiennent une adresse. Au 25 septembre 2026, il répertorie 1 038 sites victimes de fuites et plus de 17,8 milliards de comptes touchés (une adresse présente dans plusieurs fuites est comptée une fois pour chacune).

• Une fuite de données nomme le service qui a perdu les données et la date : une piste solide si les pourriels ont commencé peu après.
• Une liste de pourriels (spam list) signifie que votre adresse figurait dans des données utilisées pour des pourriels ciblés. Ces listes « sont souvent agrégées à partir de sources multiples » et nomment donc rarement l’entreprise d’origine. Les entrées tirées de pastes (textes publiés en ligne), et les fuites que HIBP signale comme fabriquées ou non vérifiées, sont encore moins probantes.
• Les fuites sensibles ne s’affichent qu’une fois que vous vous êtes connecté et avez vérifié que vous recevez le courrier à cette adresse.

Un résultat négatif signifie seulement que l’adresse ne figure dans aucune fuite chargée par HIBP, pas que personne ne l’a vendue. Activez les alertes gratuites Notify Me (M’avertir). Si vous utilisez des adresses propres à chaque entreprise sur votre propre domaine, Domain Search (recherche par domaine) montre lesquelles figurent dans quelle fuite, une fois le domaine vérifié (les domaines plus importants exigent normalement un abonnement). Le « dark web report » (rapport sur le Web clandestin) de Google, recommandé dans d’anciens guides, a été abandonné au début de 2026.

Étape 4 : interrogez directement les entreprises

UE et Royaume-Uni : demandez d’où vient votre adresse et où elle est allée

Le droit d’accès vous permet de poser deux questions à deux entreprises :

• Demandez à l’expéditeur où il a obtenu votre adresse. L’article 15(1)(g) du RGPD vous donne droit à « toute information disponible quant à leur source », et des lignes directrices sur la transparence approuvées par le Comité européen de la protection des données précisent qu’une entreprise qui a obtenu vos renseignements ailleurs doit nommer la source précise, sauf si elle en est incapable.
• Demandez à l’entreprise que vous soupçonnez à quelles entreprises elle a donné votre adresse. En vertu de l’article 15(1)(c), la Cour de justice de l’Union européenne a jugé dans l’affaire Österreichische Post (C-154/21) qu’une entreprise doit, sur demande, nommer les destinataires réels, sauf si elle ne peut pas encore les identifier ou si la demande est manifestement infondée ou excessive. L’autorité britannique de protection des données, l’ICO, dit la même chose en vertu du RGPD britannique (UK GDPR).

Aucune de ces demandes n’oblige qui que ce soit à nommer un vendeur : une entreprise peut répondre qu’elle ne sait pas, ou que les données proviennent de plusieurs sources (considérant 61), mais une réponse évasive justifie une plainte. Utilisez les coordonnées indiquées dans la politique de confidentialité de chaque entreprise, et laissez de côté les expéditeurs de pourriels avérés, car leur répondre confirme que votre adresse fonctionne.

Voici une demande que vous pouvez copier (omettez le point 4 si vous écrivez à l’entreprise que vous soupçonnez) :

Objet : Demande d’accès en vertu de l’article 15 du RGPD

En vertu de l’article 15 du RGPD (ou du RGPD britannique), pour mon adresse courriel, you@example.com, veuillez m’indiquer :

1. Où vous l’avez obtenue, en nommant la source précise (art. 15(1)(g)).
2. À quels destinataires vous l’avez communiquée, nommément (art. 15(1)(c)).
3. Quels renseignements personnels vous détenez à mon sujet, avec une copie.
4. Pourquoi votre premier message, le [date], ne mentionnait pas cette source (art. 14(2)(f) et 14(3)(b)).

Je m’oppose également à la prospection (art. 21). Veuillez répondre dans un délai d’un mois (art. 12(3)).

[Votre nom]

Les réponses sont généralement gratuites (les délais figurent dans le tableau ci-dessous). Dès que vous vous opposez à la prospection, vos renseignements ne peuvent plus servir à cette fin.

Au Royaume-Uni, si la réponse ne vient pas ou qu’elle est évasive, plaignez-vous d’abord à l’entreprise : pour les plaintes déposées depuis le 19 juin 2026, la Data (Use and Access) Act (loi sur l’utilisation des données et l’accès à celles-ci) l’oblige à accuser réception de la vôtre dans les 30 jours. Ensuite, dans les trois mois suivant votre dernier échange significatif avec l’entreprise, portez plainte auprès de l’ICO. Dans l’UE, l’article 77 vous permet de porter plainte auprès d’une autorité de protection des données.

États-Unis : Californie et Oregon

En Californie, une demande de « droit de savoir » (right to know) en vertu du CCPA vous donne les catégories de sources et de tiers, ainsi que les renseignements personnels détenus, mais ne nommera pas qui a vendu votre adresse. Les réponses sont gratuites. Vous pouvez aussi exiger d’une entreprise qu’elle cesse de vendre ou de partager vos renseignements, ou lui demander de supprimer ce qu’elle a recueilli auprès de vous. La loi ne vise que les entreprises qui dépassent certains seuils, comme un chiffre d’affaires annuel de plus de 26 625 000 $ US (en septembre 2026).

Si vous habitez en Oregon, une entreprise visée par la loi de cet État sur la protection des renseignements personnels doit, sur demande, fournir une liste de tiers précis à qui elle a communiqué des renseignements, même si elle peut énumérer ceux qui ont reçu des renseignements personnels, quels qu’ils soient, plutôt que les vôtres (ORS 646A.574). Ces droits découlent des lois de chaque État : ce que vous pouvez demander dépend donc de l’endroit où vous habitez.

Les résidents de la Californie peuvent aussi utiliser DROP, la Delete Request and Opt-out Platform (plateforme de demandes de suppression et de retrait), pour envoyer une seule demande de suppression à tous les courtiers en données (data brokers) inscrits. La plateforme a ouvert le 1er janvier 2026 et, depuis le 1er août 2026, les courtiers doivent traiter les demandes au moins tous les 45 jours. Elle ne rejoint que les courtiers en données, des entreprises avec lesquelles vous n’avez aucune relation directe, et non la boutique à qui vous avez donné votre adresse.

Tout le monde peut consulter les registres des courtiers en données de la Californie, du Vermont, du Texas et de l’Oregon. Cherchez-y le nom de l’entreprise expéditrice et les domaines relevés à l’étape 2. Une correspondance vous indique que l’expéditeur est un courtier en données inscrit, l’une des entreprises que DROP rejoint si vous habitez en Californie.

Ce que chaque demande peut vous apporter

Partout : le service d’envoi

Le service d’envoi nommé dans DKIM-Signature d=, Return-Path ou List-Unsubscribe a ses propres règles. La politique d’utilisation acceptable de Mailchimp (Acceptable Use Policy), par exemple, interdit d’envoyer des courriels à des « listes achetées, louées, de tiers, de co-inscription, de données publiques ou de partenaires, de quelque nature que ce soit », et son service de signalement des abus demande « l’en-tête complet du courriel » (les deux pages vérifiées le 25 septembre 2026). Envoyez les en-têtes complets au service de signalement des abus du service d’envoi. Il ne vous dira pas qui a vendu votre adresse, mais il peut empêcher l’expéditeur d’utiliser son service.

Que faire une fois la source connue

• Retirez l’adresse. Donnez une nouvelle adresse à l’entreprise qui l’a laissée fuiter, ou fermez le compte, puis désactivez ou supprimez l’ancienne. Gardez-la active jusqu’à ce que toute demande d’accès ait reçu une réponse, puisque la réponse ou une vérification d’identité peut y arriver. S’il s’agit de votre adresse principale, utilisez des filtres.
• Faites cesser les envois. Envoyez l’opposition prévue à l’article 21 (UE, Royaume-Uni), désabonnez-vous des expéditeurs légitimes aux États-Unis, ou refusez la vente et le partage et utilisez DROP (Californie). Si le désabonnement a déjà échoué, lisez pourquoi le désabonnement ne fonctionne pas.
• Signalez-le sur ReportFraud.ftc.gov aux États-Unis, avec l’outil de l’ICO pour les courriels indésirables au Royaume-Uni (il ne répond pas individuellement), ou au service de signalement des abus du service d’envoi, et marquez-le comme pourriel dans votre app de courriel.
• S’il s’agit d’une fuite de données, sécurisez aussi le compte (voir la FAQ).

Les entreprises vendent-elles votre adresse courriel, et est-ce légal?

Oui, certaines le font. Selon la FTC : « Quand vous donnez votre adresse courriel à une entreprise, elle peut la partager avec des tiers ou la leur vendre. » Aux États-Unis, la loi fédérale le permet jusqu’à ce que vous refusiez. Au Royaume-Uni et dans l’UE, une entreprise a besoin de votre consentement pour vous envoyer des courriels à partir d’une liste achetée, et au Royaume-Uni, elle a généralement besoin de votre consentement pour en vendre une.

• États-Unis : en vertu de la loi fédérale CAN-SPAM, une entreprise n’a besoin d’aucun consentement pour vous envoyer des courriels de marketing. Une fois que vous avez refusé, elle a 10 jours ouvrables pour cesser, et elle ne peut ni vendre ni céder votre adresse. La Californie ajoute un droit de refuser la vente, et sa définition de « vendre » inclut la location ou la mise à disposition de données en échange d’une « autre contrepartie de valeur » : un échange avec un partenaire peut donc compter, sans qu’aucun argent ne change de mains. « Partager » (sharing) est un terme distinct, qui vise la publicité comportementale intercontextuelle.
• Royaume-Uni : en vertu des Privacy and Electronic Communications Regulations (PECR, règlement sur la vie privée et les communications électroniques), une entreprise ne peut envoyer de courriels aux personnes d’une liste achetée que si elles ont « expressément consenti à recevoir ce type de message » de sa part; un consentement générique donné à n’importe quel tiers ne suffit pas, et la vente d’une liste exige généralement le consentement des personnes qui y figurent (lignes directrices de l’ICO, en cours de révision depuis la Data (Use and Access) Act). D’autres règles s’appliquent aux adresses d’entreprises.
• UE : la directive « vie privée et communications électroniques » (ePrivacy) n’autorise les courriels de marketing qu’avec un « consentement préalable », sauf quand un vendeur fait la promotion de produits semblables auprès de ses propres clients, une exception dont l’acheteur d’une liste ne peut pas se prévaloir.

Pourquoi l’astuce du « + » est une preuve fragile

L’« astuce Gmail » consiste à vous inscrire avec une adresse étiquetée, comme you+shopname@example.com pour you@example.com, puis à surveiller quelle étiquette apparaît dans les pourriels. La description qu’en fait Google montre la faiblesse de la méthode : « Les messages envoyés à votre adresse actuelle ou à toute variante comportant le signe plus arrivent tous dans votre boîte de réception actuelle. »

• Votre vraie adresse est bien visible. Retirez l’étiquette : le courrier vous parvient quand même, et la preuve disparaît.
• L’étiquette ne signifie rien pour l’expéditeur. Seul votre fournisseur interprète la partie qui précède le @ (RFC 5321, §2.3.11), et le séparateur varie selon le système (RFC 5233).
• Elle prouve moins qu’il n’y paraît. Une adresse étiquetée dans un pourriel montre que l’adresse a quitté cette entreprise, pas si elle a été vendue, partagée ou volée lors d’une fuite. Et si aucun pourriel étiqueté n’arrive, cela n’innocente personne : l’étiquette a peut-être simplement été retirée.

L’astuce du point, qui consiste à vous inscrire sous your.name auprès d’une entreprise et sous yo.urname auprès d’une autre, est encore plus fragile : Gmail ignore les points dans les adresses personnelles, donc n’importe qui peut les retirer (dans les comptes professionnels ou scolaires, les points comptent). L’adresse avec un « + » (plus addressing) reste utile pour le filtrage; notre guide sur les adresses avec un « + » explique où elle fonctionne.

Étape 5 : faites en sorte que la prochaine fuite nomme sa source

La méthode fiable agit pour la suite : donnez à chaque entreprise sa propre adresse, qui ne contient pas votre vraie adresse. Si quelqu’un d’autre écrit à l’adresse donnée à une boutique, vous savez d’où elle est partie, et vous pouvez désactiver cette seule adresse.

• CatchNone donne à chaque entreprise son propre alias et appose sur chaque message une pastille indiquant l’alias qu’il a atteint : une adresse vendue se repère ainsi sans lire d’en-têtes. Les adresses @catchnone.com exigent Premium; un domaine qui vous appartient fonctionne aussi avec le forfait Gratuit.
• Les services d’alias comme « Masquer mon adresse courriel » d’Apple (avec iCloud+), DuckDuckGo Email Protection, SimpleLogin, addy.io et Firefox Relay transfèrent le courrier vers votre boîte de réception. Le comparatif des services d’alias de courriel présente leurs différences.
• Une adresse fourre-tout (catch-all) sur votre propre domaine accepte le courrier pour n’importe quelle adresse de ce domaine : vous pouvez donc en inventer une pour chaque inscription. Cloudflare Email Routing, par exemple, est offert avec les forfaits gratuits et payants (en septembre 2026) et comporte une règle catch-all. Consultez ce qu’est une adresse courriel fourre-tout pour en peser les avantages et les inconvénients.

Préférez les adresses aléatoires aux adresses faciles à deviner comme gardenshop@example.com, qu’un expéditeur de pourriels pourrait inventer sur un catch-all, et notez quelle adresse est allée où.

CatchNone : chaque message montre l’adresse qu’il a atteinte

CatchNone est conçu pour l’étape 5. Vous donnez à chaque boutique, infolettre ou compte son propre alias, et chaque message dans l’app porte une pastille indiquant l’alias qu’il a atteint. Quand un inconnu écrit à l’adresse que vous n’avez donnée qu’à la jardinerie, la pastille montre d’où elle est partie, sans en-têtes à lire. Activité signale le courrier reçu sur un alias que vous avez marqué comme non utilisé et les expéditeurs qui vous écrivent pour la première fois, et vous pouvez désactiver une adresse @catchnone.com qui a fuité : les messages sont alors retournés à l’expéditeur, et vos autres alias continuent de fonctionner.

Avec Premium, vous obtenez des adresses @catchnone.com aléatoires comme abcde-12345@catchnone.com, sans domaine, DNS ni boîte courriel à configurer, et même le courrier reçu en Cci est attribué. Vous pouvez aussi utiliser un domaine qui vous appartient et dont votre fournisseur livre déjà le courrier dans une boîte de réception : l’app lit cette boîte en lecture seule, en IMAP ou JMAP, directement depuis votre appareil, avec jusqu’à 10 alias sur le forfait Gratuit et sans limite avec Lite et Premium. CatchNone est disponible sur iPhone, iPad et Mac.

Il agit pour la suite et ne peut pas remonter le temps pour les adresses que vous avez utilisées auparavant, et il n’a ni base de données de fuites ni détection de fuites : les pastilles et les notes d’Activité sont des indices qu’il vous revient d’évaluer. Sur votre propre domaine, il ne lit que la boîte de réception, et seulement les messages dont le champ À, Cc ou Cci nomme une adresse de votre domaine : les pourriels classés comme courrier indésirable n’y apparaîtront donc pas. Y marquer un alias comme non utilisé ne fait que l’étiqueter : bloquez donc une adresse qui a fuité chez votre fournisseur. Les messages reçus à une adresse @catchnone.com sont supprimés 30 jours après leur arrivée : marquez d’un drapeau ceux dont vous avez besoin comme preuve pour en garder le texte intégral sur votre appareil.

FAQ

Que faire si une entreprise a laissé fuiter mon adresse courriel?

Cherchez l’adresse sur Have I Been Pwned pour voir dans quelle fuite elle figure et ce qui a fuité avec elle. Changez le mot de passe de ce site et partout où vous l’avez réutilisé, et activez la vérification en deux étapes. Attendez-vous à des tentatives d’hameçonnage qui reprennent les renseignements divulgués, et ne suivez pas les liens des messages qui mentionnent la fuite. Si vous aviez donné à cette entreprise une adresse bien à elle, retirez-la et donnez-lui-en une nouvelle.

LinkedIn ou Google vendent-ils mon adresse courriel?

Ni l’un ni l’autre ne dit vendre vos renseignements personnels, mais LinkedIn dit les partager à des fins de publicité intercontextuelle. Sa déclaration de confidentialité pour la Californie affirme « Nous ne vendons pas vos renseignements personnels » et permet aux Californiens de refuser ce partage. Le Centre de sécurité de Google affirme « Nous ne vendons jamais vos renseignements personnels à qui que ce soit », et ses règles de confidentialité (en vigueur depuis le 26 mai 2026) indiquent que Google ne partage des renseignements personnels à l’extérieur de l’entreprise que dans des cas énumérés, le premier étant avec votre consentement. Les trois pages ont été vérifiées le 25 septembre 2026. Pour les autres entreprises, lisez leur politique et distinguez bien « vendre » et « partager ».

Qui achète des adresses courriel?

Les courtiers en données, les courtiers en listes et les spécialistes du marketing; les registres des États mentionnés plus haut énumèrent les courtiers inscrits. Ce commerce peut se faire au grand jour : dans l’affaire Österreichische Post, l’opérateur postal autrichien a déclaré offrir des renseignements personnels « à des partenaires commerciaux à des fins de marketing », puis a énuméré des destinataires, dont des « fournisseurs de listes de diffusion ». Cette affaire portait sur des données détenues par un opérateur postal, et non sur des adresses courriel.