Pourquoi je reçois des pourriels? Par où passe mon adresse

Si vous vous demandez « pourquoi je reçois des pourriels? », la réponse tient à la façon dont les expéditeurs de pourriels obtiennent les adresses courriel : par des fuites de données, par des listes que des entreprises vendent ou partagent, par le moissonnage de sites Web et de profils publics, en devinant des noms courants, dans le carnet d’adresses des autres et dans d’anciens dossiers d’enregistrement de noms de domaine. Ils vérifient ensuite quelles adresses sont actives en surveillant les ouvertures, les clics et les réponses. Des pourriels peuvent atteindre même une adresse que vous n’avez jamais donnée, parce qu’elle a été devinée, moissonnée ou tirée des contacts de quelqu’un d’autre, et seules certaines de ces voies dépendent de vous. Pour les voies qui commencent par vous, CatchNone donne à chaque boutique et à chaque infolettre sa propre adresse et montre laquelle chaque message a atteinte, si bien qu’une fuite ou une vente de liste désigne sa source, sur iPhone, iPad et Mac.

Comment les expéditeurs de pourriels obtiennent les adresses : les 7 voies

1. Les fuites de données et les listes de mots de passe qui en sont tirées.
2. La vente et le partage de listes, par des courtiers en données et des « partenaires ».
3. Le moissonnage de pages Web, de profils sur les réseaux sociaux et de code.
4. Les noms courants devinés, surtout sur les domaines qui acceptent n’importe quelle adresse.
5. Le carnet d’adresses des autres : téléversements de contacts, logiciels malveillants et longues chaînes en Cc.
6. Les anciens dossiers WHOIS antérieurs à 2018.
7. La confirmation : images de suivi, clics, réponses et messages de test vides qui prouvent qu’une adresse fonctionne.

Fuites de données et listes combinées

Quand une entreprise subit une fuite de données, sa liste de clients peut partir avec elle, que vous utilisiez encore le service ou non. Have I Been Pwned (HIBP) répertoriait 1 038 fuites et plus de 17,8 milliards de dossiers de comptes touchés en date du 25 septembre 2026. Ce total compte une adresse une fois pour chaque fuite où elle figure : il mesure donc des comptes, pas des personnes. Cherchez-y votre propre adresse pour voir quelles fuites la contiennent, quand elles ont eu lieu et ce qui a été exposé. Si elle ne figure dans aucune, une vente de liste, le moissonnage ou une adresse devinée sont plus probables.

Les adresses qui ont fuité sont réutilisées. Les listes combinées (combo lists) sont des paires d’adresses courriel et de mots de passe tirées de fuites antérieures et utilisées pour le bourrage d’identifiants (credential stuffing), c’est-à-dire l’essai du même mot de passe sur d’autres sites. HIBP décrit Collection #1 (2019) comme « 773 millions d’adresses courriel uniques, accompagnées des mots de passe que ces adresses avaient utilisés sur d’autres services touchés par des fuites ». Les journaux de logiciels voleurs de données (stealer logs) sont une troisième source : un logiciel malveillant installé sur un appareil infecté enregistre « les adresses courriel, les mots de passe et le site Web où ils sont saisis à la connexion ».

Pouvez-vous fermer cette voie? Non. Vous pouvez limiter ce qu’une fuite expose : un mot de passe unique pour chaque site, la vérification en deux étapes sur votre compte de courriel et une adresse distincte pour chaque entreprise, pour qu’une fuite expose une adresse de rechange plutôt que votre adresse principale. Les alertes gratuites Notify Me (m’avertir) de HIBP vous préviennent de la prochaine.

Vente de listes, courtiers en données et « nos partenaires »

La FTC le dit clairement : « Quand vous donnez votre adresse courriel à une entreprise, elle pourrait la partager avec des tiers ou la leur vendre. » Les formulaires d’inscription alimentent le même commerce. L’agence américaine de cybersécurité et de sécurité des infrastructures (CISA) note que les options pour recevoir des courriels sur d’autres produits sont parfois cochées par défaut, « donc, si vous ne les décochez pas, vous pourriez aussi commencer à recevoir des courriels de ces listes ». Les concours, les sondages rémunérés et les offres de cartes-cadeaux l’alimentent aussi : HIBP indique que les listes de pourriels sont souvent constituées « en soutirant des renseignements personnels aux gens avec la promesse d’une récompense en argent ».

Qui achète des adresses courriel? Les spécialistes du marketing les achètent à des vendeurs de listes et à des courtiers en données (data brokers), et les expéditeurs de pourriels se les achètent entre eux : la FAQ de Spamhaus pour les consommateurs compte parmi leurs sources les adresses « achetées à d’autres expéditeurs de pourriels ». Les listes d’entreprises sont un produit à part entière. En 2016, une liste de plus de 33 millions de personnes travaillant dans des entreprises américaines, tirée du service NetProspex de Dun & Bradstreet, a fuité en ligne, et D&B croyait qu’elle avait été perdue par un client qui l’avait achetée.

Aux États-Unis, la loi CAN-SPAM n’exige aucun consentement pour envoyer des courriels de marketing. Une fois que vous vous êtes désabonné, toutefois, une entreprise doit cesser de vous écrire dans un délai de 10 jours ouvrables et, dès le moment de votre demande, elle « ne peut ni vendre ni transférer » votre adresse.

Pouvez-vous fermer cette voie? En partie. Décochez les cases précochées, désabonnez-vous du marketing que vous ne lisez pas et donnez à chaque entreprise sa propre adresse, pour que la prochaine vente révèle qui l’a faite. Comment savoir qui a vendu votre adresse courriel traite en détail des en-têtes, de la vérification des fuites et des demandes d’accès aux renseignements.

Moissonnage : sites Web, profils et code

« Les expéditeurs de pourriels peuvent moissonner n’importe quelle adresse courriel publiée sur un site Web », prévient la CISA. Lors d’une expérience de la FTC en 2002, 86 % des adresses publiées sur des pages Web ont reçu des pourriels en moins de six semaines, et une adresse publiée dans un salon de clavardage a reçu un pourriel neuf minutes après sa première utilisation (résultats reproduits par l’ICANN). Son emplacement sur la page importait peu : « si l’adresse contenait le signe “@”, elle attirait des pourriels ».

Les profils sont moissonnés à grande échelle. En 2021, des pirates ont moissonné des centaines de millions de profils LinkedIn publics et en ont tiré environ 125 millions d’adresses courriel uniques, selon HIBP. Des pirates ont aussi abusé d’une API de Twitter qui associait des adresses courriel à des comptes, et plus de 200 millions de dossiers recueillis de cette façon ont refait surface en 2023.

Le code public expose aussi des adresses : chaque commit Git porte l’adresse courriel de son auteur. Sur GitHub, allez dans Settings → Emails (Paramètres → Courriels), cochez « Keep my email addresses private » (garder mes adresses courriel privées) et « Block command line pushes that expose my email » (bloquer les envois en ligne de commande qui exposent mon adresse), puis configurez Git sur votre ordinateur avec l’adresse @users.noreply.github.com qui y est affichée. Les commits faits avant le changement « restent associés à votre ancienne adresse courriel » (documentation de GitHub). Garder votre adresse hors des commits GitHub et GitLab donne toutes les étapes.

Pouvez-vous fermer cette voie? Pour l’avenir. Ne publiez pas votre adresse principale sur des pages publiques, utilisez plutôt un formulaire de contact ou une adresse distincte, et réglez vos profils de réseaux sociaux pour que seules les personnes de confiance puissent voir votre adresse courriel, comme le conseille la CISA. Ce qui a déjà été moissonné reste en circulation.

Adresses devinées : peut-on simplement deviner votre adresse?

Oui, et cela ne demande aucune liste. Le comité de sécurité de l’ICANN a décrit la méthode en 2007 : les expéditeurs de pourriels essaient « des prénoms et des noms de famille courants, seuls ou combinés », ou toutes les combinaisons de caractères, et gardent les adresses qu’un serveur de courriel accepte. C’est ce qu’on appelle une attaque par moissonnage d’annuaire (directory harvest attack). Dans l’un des tests du comité, 70 % des pourriels sont allés à des adresses des domaines de test qui n’avaient jamais été publiées nulle part. Les noms courts et courants sont les cibles les plus faciles, et le modèle first.last@example.com d’une entreprise permet à n’importe qui de construire les adresses de son personnel.

Une adresse fourre-tout (catch-all) accepte toutes les tentatives. Si votre propre domaine livre le courrier adressé à n’importe quelle adresse, admin@example.com et info@example.com vous parviennent, que vous les ayez déjà utilisées ou non. La FAQ d’addy.io prévient que « les expéditeurs de pourriels et les robots essaient souvent des adresses courriel au hasard », et cPanel indique qu’une adresse fourre-tout « peut recevoir une grande quantité de pourriels » quand des expéditeurs de pourriels ciblent un domaine. Qu’est-ce qu’une adresse courriel fourre-tout (catch-all)? présente en détail les avantages et les inconvénients.

Pouvez-vous fermer cette voie? En partie. Une adresse courte et courante reste facile à deviner, mais votre prochaine adresse n’a pas à l’être : choisissez-en une difficile à deviner, comme le conseille l’ICO du Royaume-Uni. Sur votre propre domaine, désactiver l’adresse fourre-tout empêche les adresses devinées de vous parvenir. Si vous la gardez, bloquez les noms devinés chez votre hébergeur de courriel. Dans Cloudflare Email Routing, par exemple, allez dans Compute → Email Service → Email Routing → Routing Rules (règles de routage) et ajoutez une règle pour l’adresse avec l’action Drop (supprimer), qui « supprime les courriels correspondant à la règle sans les acheminer ». Cloudflare précise que l’adresse semble toujours valide aux yeux des expéditeurs; envoyez un message de test pour confirmer que la règle a priorité sur votre adresse fourre-tout.

Le carnet d’adresses et la boîte de réception des autres

Votre adresse figure dans les contacts de toutes les personnes à qui vous avez écrit, et ces copies vous échappent.

• Le téléversement des contacts. Quand quelqu’un synchronise ses contacts avec Facebook, Messenger ou Instagram, Meta téléverse chaque jour « les noms, numéros de téléphone et adresses courriel de son carnet d’adresses », y compris ceux des personnes qui n’utilisent pas les apps de Meta. Cela ne suffit pas à remettre votre adresse à des expéditeurs de pourriels, mais Meta indique que des moissonneurs ont détourné son outil d’importation de contacts avant septembre 2019 pour associer des numéros de téléphone à des comptes.
• Un logiciel malveillant sur l’ordinateur de quelqu’un d’autre. Le logiciel malveillant Emotet pouvait « moissonner les adresses courriel dans Outlook » et détourner de vrais fils de courriels pour se propager (avis AA20-280A de la CISA).
• Les chaînes en Cc et les listes de diffusion. Un long transfert contient toutes les adresses du fil, et le comité de sécurité de l’ICANN a décrit des expéditeurs de pourriels qui s’abonnent à des listes de diffusion pour recueillir les adresses des en-têtes From, Reply-To et Cc.
• Quelqu’un vous inscrit. L’aide de Gmail décrit des gens qui utilisent votre adresse « pour s’inscrire à des courriels, comme des promotions ou des infolettres », par accident ou volontairement.

Pouvez-vous fermer cette voie? Pas directement. Utilisez le champ Cci pour les envois de groupe, retirez les adresses des autres d’un fil avant de le transférer, et demandez aux autres d’en faire autant.

Les anciens dossiers WHOIS

Les dossiers d’enregistrement des noms de domaine publiaient autrefois l’adresse courriel du titulaire. En 2007, le comité de sécurité de l’ICANN a conclu qu’une adresse dans le WHOIS « garantit pratiquement la réception de pourriels ».

Cette voie s’est en grande partie refermée. À partir du 25 mai 2018, la spécification temporaire (Temporary Specification) de l’ICANN a obligé les registraires à masquer les coordonnées des enregistrements liés à l’Europe et leur a permis de le faire partout ailleurs, en offrant plutôt une adresse relais ou un formulaire Web. Une étude d’Interisle de 2021 a montré que seulement 13,5 % des domaines génériques, comme les .com, nommaient encore un vrai titulaire. La politique permanente sur les données d’enregistrement (Registration Data Policy) de l’ICANN, en vigueur depuis le 21 août 2025, conserve le même modèle.

La voie existe encore là où vous avez consenti à la publication, chez les registraires qui publient les données des organisations ou des titulaires situés hors d’Europe, sous les règles propres à certains domaines nationaux, et dans les archives payantes de dossiers antérieurs à 2018.

Pouvez-vous fermer cette voie? Elle est en grande partie fermée par défaut. Si vous possédez un domaine, cherchez-le dans ICANN Lookup pour voir ce qui est public, gardez activée l’option de confidentialité de votre registraire et n’acceptez pas de publier vos coordonnées.

Confirmation : ouvertures, clics, réponses et messages vides

Une adresse vaut plus cher une fois qu’on sait qu’elle fonctionne. Les expéditeurs de pourriels « revendent à prix fort les adresses actives, comme adresses “à livraison confirmée”, à d’autres expéditeurs de pourriels », selon la FAQ de Spamhaus pour les consommateurs. Ils confirment les adresses par :

• Les images de suivi. « Quand votre logiciel de courriel télécharge l’image depuis leur serveur Web, les expéditeurs de pourriels savent que vous avez ouvert le message » (CISA).
• Les clics et les réponses. Tout clic ou toute réponse, y compris une demande de retrait de la liste, confirme que quelqu’un lit l’adresse.
• Les liens de désabonnement. La norme de désabonnement en un clic, le RFC 8058, note que le désabonnement « indique fortement à l’expéditeur que l’adresse à laquelle le message a été envoyé était valide ».
• Les messages vides. « Pour vérifier si des adresses courriel sont valides, les expéditeurs de pourriels envoient souvent des courriels sans contenu dans le corps ni dans l’objet », indique l’aide de Gmail. Les adresses qui fonctionnent reçoivent des pourriels plus tard.

Pouvez-vous fermer cette voie? Oui. Pour le courrier d’inconnus, ne répondez pas, ne cliquez pas et ne vous désabonnez pas; signalez-le comme pourriel. Pour les marques que vous reconnaissez ou auprès desquelles vous vous êtes inscrit, utilisez le bouton de désabonnement de votre app de courriel, comme le suggère Gmail, ou le lien de désabonnement du message, comme le conseille l’ICO; quand les liens de désabonnement sont sans danger donne la règle selon l’expéditeur.

Empêchez ensuite les images de vous trahir. Dans l’app Mail sur iPhone (iOS 27), allez dans Réglages > Apps > Mail > « Protection de la confidentialité » et activez « Protéger votre activité dans Mail », qui charge les images en privé, en arrière-plan, pour que l’expéditeur ne puisse pas savoir si vous lisez un message, ni quand (guide d’Apple). Dans Gmail sur ordinateur, allez dans « Settings » > « See all settings » (Paramètres > Voir tous les paramètres), réglez Images sur « Ask before displaying external images » (demander avant d’afficher les images externes) et cliquez sur « Save Changes » (enregistrer les modifications) (aide de Google). Aucun des deux ne protège les liens ni les pièces jointes. Comment bloquer les pixels espions dans les courriels donne les étapes pour d’autres apps de courriel et ce que chacune révèle encore.

Comment savoir par où votre adresse est passée

Le champ Cci masque les autres destinataires, et l’aide de Gmail note que « les expéditeurs de pourriels ajoutent parfois des adresses courriel au hasard dans le champ “Cci” pour inciter les gens à répondre »; ne répondez donc pas.

Pouvez-vous consulter une liste de pourriels ou vous en faire retirer?

Il n’existe aucune liste officielle des destinataires de pourriels, ni aucun moyen de vous faire retirer des listes des expéditeurs de pourriels eux-mêmes. Vous pouvez vérifier si votre adresse figure dans une liste d’expéditeur de pourriels qui a fuité : cherchez-la sur Have I Been Pwned, qui comprend 16 de ces listes en date du 25 septembre 2026. Les plus grandes sont Onliner Spambot (711 millions d’adresses, 2017) et River City Media (393 millions, 2017). Si l’un de ces noms figure dans vos résultats, un expéditeur de pourriels avait votre adresse.

Les listes de blocage sont autre chose : elles répertorient d’où viennent les pourriels. Spamhaus en définit une comme « une base de données contenant des adresses IP, des domaines ou des empreintes (hashes) », chacun étant répertorié parce qu’on l’a vu envoyer des pourriels ou causer d’autres torts, ou parce qu’il a une mauvaise réputation. Sa Hash Blocklist (liste de blocage d’empreintes) peut contenir des adresses courriel, mais ce sont des adresses qui envoient des pourriels ou qui y figurent, comme un compte piraté. Les outils de vérification comme le Blacklist Check de MxToolbox testent l’adresse IP d’un serveur de courriel, pas votre adresse courriel.

Une liste d’exclusion des courriels n’aiderait pas non plus. En 2004, la FTC a dit au Congrès qu’un tel registre aurait probablement l’effet inverse, parce que « les expéditeurs de pourriels se serviraient d’un tel registre comme d’un répertoire d’adresses courriel valides » (FTC). Spamhaus qualifie les services payants qui promettent de vous retirer des listes des expéditeurs de pourriels d’« au mieux une arnaque et au pire un système de confirmation d’“adresses actives” pour l’expéditeur de pourriels ».

Les options réelles les plus proches touchent les entreprises qui respectent la loi, pas les expéditeurs de pourriels. En date de septembre 2026 :

• DROP, en Californie (Delete Request and Opt-out Platform, plateforme de demandes de suppression et de retrait) permet aux résidents de la Californie d’envoyer une seule demande de suppression gratuite à plus de 600 courtiers en données inscrits, qui doivent traiter les demandes au moins tous les 45 jours. Elle ne touche pas les entreprises avec lesquelles vous avez fait affaire directement (conditions de DROP).
• L’Email Preference Service (service de préférences courriel) de l’Association of National Advertisers, accessible depuis DMAchoice.org, est gratuit et dure 10 ans (FTC), mais il ne touche que les spécialistes du marketing qui s’en servent pour nettoyer leurs listes.

Que peut-on faire avec seulement votre adresse courriel?

Sans votre mot de passe, moins que vous pourriez le craindre. Avec l’adresse seule, quelqu’un peut :

• vous envoyer des courriels d’hameçonnage qui semblent authentiques, surtout avec des détails tirés d’une fuite
• essayer contre vos comptes des mots de passe qui ont fuité d’autres sites
• découvrir quels services vous utilisez, comme l’API de Twitter le permettait autrefois
• vous inscrire à du courrier que vous n’avez jamais demandé
• la revendre, plus cher une fois qu’elle est confirmée active

Pourquoi un fraudeur voudrait-il votre adresse courriel?

Parce que c’est le premier pas vers votre boîte de réception, et qu’un criminel qui entre dans votre compte de courriel pourrait « réinitialiser les mots de passe de tous vos autres comptes ». Le National Cyber Security Centre du Royaume-Uni (NCSC) recommande un mot de passe fort et distinct pour votre courriel, en plus de la vérification en deux étapes.

Un pourriel qui affiche votre propre adresse comme expéditeur ne prouve pas que quelqu’un s’est introduit dans votre compte, parce que la ligne From est facile à falsifier. Comment vérifier si votre compte de courriel a été piraté passe en revue les vérifications pour Gmail, Outlook.com et Mail iCloud.

Pouvez-vous donner votre adresse courriel sans danger?

Habituellement, oui. Une adresse n’est pas un mot de passe, et la connaître n’ouvre pas votre compte. Donnez votre adresse principale aux gens et aux entreprises sur lesquelles vous comptez, comme votre banque. Pour les boutiques, les infolettres et les inscriptions ponctuelles, une adresse distincte par entreprise tient les fuites et les ventes de listes loin de votre adresse principale, et celle-ci ne devrait pas du tout être publiée.

Comment empêcher les expéditeurs de pourriels d’obtenir votre adresse : les voies que vous pouvez fermer

Vous pouvez obtenir des adresses par entreprise de plusieurs façons. CatchNone donne à chaque entreprise son propre alias, garde ce courrier hors de votre boîte de réception principale et marque chaque message d’une pastille indiquant l’alias qu’il a atteint, pour qu’une fuite ou une vente saute aux yeux. L’adresse avec un « + » (plus addressing) est plus rapide à mettre en place, si votre fournisseur la prend en charge (you+shop@example.com), mais n’importe qui peut supprimer l’étiquette; elle ne révèle donc une fuite que si l’expéditeur ne prend pas la peine de l’enlever. « Masquer mon adresse courriel » d’Apple (inclus dans iCloud+), DuckDuckGo Email Protection (protection des courriels) et d’autres services d’alias transfèrent le courrier vers votre boîte de réception. Une adresse fourre-tout sur votre propre domaine fonctionne aussi, avec le compromis des adresses devinées décrit plus haut. Les services d’alias de courriel comparés expose les différences.

La place de CatchNone

CatchNone agit sur les voies qui commencent quand vous donnez une adresse. Chaque boutique, infolettre ou compte reçoit son propre alias, et chaque message porte une pastille indiquant l’alias auquel il est arrivé; une adresse qui a fuité ou qui a été vendue désigne donc sa source. La section Activité signale le courrier reçu par un alias non utilisé et les expéditeurs qui vous écrivent pour la première fois, et les images distantes, y compris la plupart des pixels espions, restent bloquées jusqu’à ce que vous les chargiez. Les adresses @catchnone.com nécessitent Premium et sont attribuées au hasard, comme abcde-12345@catchnone.com; personne ne les devinerait donc. Le courrier adressé à des adresses qui n’y existent pas est accepté puis supprimé, si bien qu’une personne qui devine n’apprend rien, et quand vous désactivez une adresse qui a fuité, le courrier est retourné à l’expéditeur. Sur votre propre domaine, les adresses fourre-tout devinées apparaissent sous l’adresse qu’elles ont atteinte, avec une pastille grise, ce qui rend les pourriels par dictionnaire faciles à repérer. Téléchargez CatchNone, disponible sur iPhone, iPad et Mac.

CatchNone fonctionne en réception seulement et n’est pas un filtre antipourriel : elle garde le courrier des inscriptions dans l’app, à l’écart de votre boîte de réception principale, et montre l’alias que chaque message a atteint. Sur votre propre domaine, « Marquer comme non utilisé » n’est qu’une étiquette; bloquez donc les adresses chez votre hébergeur de courriel.

FAQ

Pourquoi je reçois des pourriels si je n’ai jamais donné mon adresse?

Le plus probable, c’est qu’on l’a devinée, qu’on l’a moissonnée sur une page, un profil ou un commit où elle était publiée, qu’on l’a prise dans le carnet d’adresses de quelqu’un d’autre, ou qu’on l’a obtenue d’une entreprise où vous vous étiez inscrit autrefois et que vous avez oubliée, par une fuite de données chez cette entreprise ou une vente de liste. Le tableau des signes associe ce que vous voyez à la voie probable.

Comment des entreprises inconnues obtiennent-elles mon adresse courriel?

Habituellement par une entreprise avec laquelle vous avez bel et bien fait affaire, qui l’a partagée avec des « partenaires » ou la leur a vendue, souvent parce que vous aviez laissé une case précochée à l’inscription. Les courtiers en données recueillent et vendent aussi des adresses. Le guide cité dans la section sur la vente de listes et les courtiers en données montre comment trouver de quelle entreprise il s’agit.

Comment les expéditeurs de pourriels obtiennent-ils mon adresse courriel professionnelle?

Par des listes de contacts d’affaires vendues aux spécialistes du marketing, par le site Web de votre employeur et en devinant le modèle de nom de ses adresses. HIBP contient plusieurs listes d’entreprises qui ont fuité, comme B2B USA Businesses, qui classait les adresses par employeur et par titre de poste. Au Royaume-Uni, l’ICO indique que les organisations peuvent envoyer du marketing à une adresse professionnelle sans consentement, sauf si l’adresse permet de vous identifier, auquel cas vous pouvez leur demander d’arrêter.