Lien de désabonnement : dangereux ou pas ? Quand cliquer

Oui, un lien de désabonnement peut être malveillant, et les liens à risque se trouvent dans les e-mails d’expéditeurs que vous ne connaissez pas. Dans un e-mail qui vient réellement d’une newsletter ou d’une boutique auprès de laquelle vous vous êtes inscrit, le lien de désabonnement est sûr, et c’est le moyen le plus rapide d’arrêter les e-mails. Dans un spam ou dans un message que vous soupçonnez d’être une arnaque, ne cliquez pas dessus : il peut confirmer que votre adresse fonctionne ou ouvrir une fausse page de connexion. Signalez plutôt le message.

Le bouton de désabonnement de votre app mail est généralement la voie la plus sûre. Mais quelle que soit la façon dont vous vous désabonnez, l’expéditeur apprend que votre adresse est active. C’est sans conséquence avec une entreprise qui a déjà votre adresse, et c’est exactement ce que cherche un spammeur. Pour tenir les listes à l’écart de votre adresse principale dès le départ, CatchNone donne à chaque boutique et à chaque newsletter sa propre adresse, et ouvre leur courrier avec les images distantes bloquées, sur iPhone, iPad et Mac. Les menus et les règles ci-dessous ont été vérifiés dans la documentation de Google, d’Apple, de Microsoft et de Yahoo en septembre 2026.

Un lien de désabonnement est-il sûr ? Tout dépend de l’expéditeur

Regardez la dernière colonne. Se désabonner, que ce soit par un lien, un bouton ou un e-mail, c’est adresser un message à l’expéditeur. La RFC 8058, la norme qui définit le désabonnement en un clic, précise qu’il donne « une forte indication à l’expéditeur que l’adresse à laquelle le message a été envoyé était valide ». Bloquer et supprimer restent de votre côté, et le signalement ne contacte pas directement l’expéditeur. Ouvrir un message et charger ses images a peut-être déjà renseigné l’expéditeur : c’est ainsi que fonctionne le pistage des e-mails par pixel.

Vous n’êtes pas sûr que l’e-mail vienne vraiment de l’entreprise ? Ne touchez pas à son lien. Les conseils de la FTC contre le hameçonnage recommandent de « contacter l’entreprise au moyen d’un numéro de téléphone ou d’un site web dont vous savez qu’il est authentique, et non avec les informations de l’e-mail ». Ouvrez l’app de l’entreprise ou saisissez vous-même l’adresse de son site, connectez-vous et désactivez les e-mails promotionnels dans les réglages de votre compte. Dans Outlook, un « ? » dans la photo de l’expéditeur signifie qu’Outlook n’a pas pu vérifier l’expéditeur.

Comment un lien de désabonnement peut être malveillant

Il confirme que votre adresse est active

Microsoft conseille de ne jamais répondre à un message, « pas même pour vous désabonner d’une liste de diffusion », sauf si vous connaissez l’expéditeur et lui faites confiance, car répondre à un spam confirme que votre adresse est active. L’ICO britannique explique que répondre à un spam « montre que votre adresse e-mail est active », et que cliquer sur les publicités qu’il contient signifie que « vous pourriez recevoir davantage d’e-mails ». Apple signale que les spammeurs se servent aussi du chargement des images pour vérifier si un compte est actif.

Une fausse page vous demande votre mot de passe

Certains liens « de désabonnement » mènent à une page qui vous demande de vous connecter pour gérer votre abonnement. Les conseils de Google contre le hameçonnage sont directs : si un lien vous demande votre mot de passe, « ne saisissez pas vos informations, accédez directement au site web que vous souhaitez utiliser ». La CISA avertit que les faux sites « peuvent sembler identiques à un site légitime, mais l’URL peut comporter une variante orthographique ou un autre domaine ».

Il vous pousse à télécharger un fichier malveillant

La FTC indique que les escrocs envoient parfois des liens et des pièces jointes « qui, une fois ouverts ou cliqués, installent des logiciels malveillants nuisibles sur l’appareil ». Si une page vous pousse vers un fichier, une app ou une « mise à jour de sécurité », c’est le moment de la fermer.

Comment distinguer une vraie page de désabonnement d’une fausse

Un vrai désabonnement n’exige jamais votre mot de passe, un paiement ou un téléchargement. Le guide CAN-SPAM de la FTC précise qu’aux États-Unis, un expéditeur ne peut pas facturer de frais pour vous retirer d’une liste, demander des informations personnelles « au-delà d’une adresse e-mail », ni exiger plus qu’un e-mail de réponse ou la visite d’« une seule page d’un site Internet ». Les recommandations de Yahoo aux expéditeurs préconisent un processus de désabonnement qui « n’oblige pas les utilisateurs à se connecter ». Fermez la page si elle :

• vous demande de vous connecter avant de pouvoir vous désabonner ;
• veut plus que votre adresse e-mail, ou demande les données de votre carte bancaire ;
• propose un fichier à télécharger ou une app à installer.

Une page de confirmation avec un seul bouton de désabonnement est normale : Mailchimp y renvoie les clics sur le lien en pied de page. Un lien sur un autre domaine que celui de la marque n’est pas non plus un signal d’alarme en soi, car des plateformes comme Mailchimp obligent les expéditeurs à utiliser « le lien de désabonnement que nous fournissons ». Le domaine compte dès qu’une page vous demande de vous connecter.

À quelle fréquence ces liens sont-ils dangereux ?

Personne ne publie de taux fiable. DNSFilter, une entreprise de sécurité DNS, a indiqué au Wall Street Journal en juin 2025 qu’environ 1 clic sur 644 sur des liens contenant « unsubscribe » dans leur adresse menait à des sites potentiellement malveillants. Elle n’a pas publié sa méthode de mesure : voyez-y le signe que le risque est réel, pas votre probabilité d’être touché.

Le bouton de désabonnement de votre app mail est-il plus sûr que le lien ?

En général, oui. Les listes de diffusion peuvent ajouter un en-tête caché, List-Unsubscribe, qui indique à votre app mail comment vous retirer de la liste. Il date de la RFC 2369, en 1998, et peut contenir une adresse web, une adresse e-mail ou les deux. Quand votre app le trouve, elle peut afficher sa propre commande de désabonnement.

Ce bouton est plus sûr pour deux raisons :

• Gmail et Yahoo décident de l’afficher ou non. La FAQ de Gmail pour les expéditeurs indique que Gmail n’affiche son bouton « que pour les messages qui passent les contrôles d’éligibilité automatisés de Google », qui tiennent compte de ses règles pour les expéditeurs et des signalements de spam des destinataires. Yahoo n’affiche son bouton bleu « Unsubscribe » (Se désabonner) à côté de l’adresse de l’expéditeur qu’avec un en-tête en un clic correct et « une réputation et un engagement suffisants » (FAQ de Yahoo pour les expéditeurs). Toutes les apps ne contrôlent pas les expéditeurs de cette façon : Apple ne documente aucun contrôle de ce type, et certaines apps affichent le bouton sur tout message qui porte l’en-tête, spams compris.
• Le désabonnement en un clic n’ouvre aucune page web. Votre app envoie une seule requête en arrière-plan. La RFC 8058 précise que cette requête « NE DOIT PAS inclure de cookies, d’autorisation HTTP ni aucune autre information de contexte », et l’expéditeur n’a pas le droit de la rediriger. Il n’y a rien sur quoi se connecter et rien à télécharger.

Ce n’est pas une garantie pour autant :

• « Go to website » (Accéder au site web). Gmail indique que certains expéditeurs vous obligent à passer par leur site : c’est le même genre de page que le lien dans l’e-mail.
• Les désabonnements par e-mail. Quand une app utilise l’adresse mailto: de l’en-tête, le résultat est un e-mail envoyé de votre adresse à la liste, précisément le genre de réponse que Microsoft déconseille.
• Il confirme quand même votre adresse. La RFC 8058 précise que la requête doit contenir « suffisamment d’informations pour identifier le destinataire du message et la liste ».
• Il ne prouve pas que l’expéditeur est honnête. Le désabonnement en un clic nécessite une signature DKIM, qui montre quel domaine a signé le message, pas que ce domaine est digne de confiance. Un spammeur peut signer le courrier de son propre domaine.
• Il ne couvre qu’une liste. Gmail précise qu’il « peut ne vous désabonner que d’une seule liste de diffusion de l’expéditeur ».

Utilisez donc le bouton pour les expéditeurs que vous reconnaissez, et signalez les spams plutôt que de vous en désabonner.

Qu’est-ce que le désabonnement en un clic ?

Le désabonnement en un clic, défini par la RFC 8058 en 2017, ajoute un second en-tête, List-Unsubscribe-Post, pour que votre app mail puisse vous retirer d’une liste avec une seule requête HTTPS en arrière-plan : ni page web ni e-mail. Sur téléphone, on parle parfois de désabonnement « en une touche » (one-tap unsubscribe). Voici l’exemple de la RFC. Pour voir les en-têtes d’un vrai message dans Gmail sur le web, ouvrez-le, cliquez sur « More » (Plus) à côté de « Reply » (Répondre), puis sur « Show original » (Afficher l’original).

List-Unsubscribe:
    <mailto:listrequest@example.com?subject=unsubscribe>,
    <https://example.com/unsubscribe.html?opaque=123456789>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe énumère les moyens de sortir de la liste : une adresse e-mail et une adresse web.
• opaque=123456789 est la partie qui vous identifie, vous et la liste.
• List-Unsubscribe-Post en fait un désabonnement en un clic : votre app envoie POST /unsubscribe.html?opaque=123456789 avec le corps List-Unsubscribe=One-Click, et aucune page ne s’ouvre.

Le désabonnement en un clic existe parce que les logiciels anti-spam qui consultent automatiquement l’adresse de désabonnement figurant dans les en-têtes désabonnaient des gens par erreur ; les expéditeurs ont donc ajouté des pages de confirmation. Une requête POST permet aux expéditeurs de distinguer votre demande de ces consultations automatiques : plus besoin de page de confirmation. Votre app ne doit pas l’envoyer « sans le consentement de l’utilisateur », c’est pourquoi on vous demande de confirmer.

Où trouver le bouton de désabonnement intégré

Gmail

Sur le web, Android, iPhone et iPad, le désabonnement en un clic de Gmail se trouve à côté du nom de l’expéditeur (marche à suivre de Google) :

1. Ouvrez un e-mail dont vous voulez vous désabonner.
2. À côté du nom de l’expéditeur, cliquez ou appuyez sur « Unsubscribe » (Se désabonner).
3. Dans la fenêtre pop-up, choisissez « Unsubscribe » (Se désabonner) ou « Go to website » (Accéder au site web).

Il peut falloir quelques jours pour que les e-mails cessent. La vue « Gérer les abonnements » de Gmail, lancée en juillet 2025 et toujours « en cours de déploiement progressif », vous retire d’un coup de toutes les listes actives d’un expéditeur et envoie le nouveau courrier de cet expéditeur dans le dossier de spam. Pour l’ouvrir, cliquez sur « More » (Plus) > « Gérer les abonnements » sur le web, ou appuyez sur « Menu » > « Gérer les abonnements » dans les apps.

Apple Mail sur Mac

Dans macOS 26 et macOS 27, une bannière sous l’en-tête signale les messages provenant d’une liste de diffusion. Cliquez sur « Unsubscribe » (Se désabonner) dans la bannière, puis sur « OK » dans l’alerte (marche à suivre d’Apple). Apple ne précise pas si Mail envoie une requête en un clic ou un e-mail depuis votre compte : ne l’utilisez donc que pour des expéditeurs que vous connaissez.

iPhone et iPad

Les guides d’Apple pour iPhone et iPad ne décrivent aucune commande de désabonnement dans les messages. Ils décrivent en revanche « iCloud Mail Cleanup » (nettoyage de Mail iCloud), qui ne fonctionne qu’avec Mail iCloud et n’est pas disponible dans toutes les langues. Cette fonction propose des expéditeurs issus des catégories « Updates » (Mises à jour) et « Promotions », et déplace leurs futurs e-mails dans la corbeille. Dans iOS 26 et 27, elle se trouve dans Réglages > votre nom > iCloud > Mail > « iCloud Mail Cleanup » ; la marche à suivre complète figure dans comment trouver les listes de diffusion auxquelles vous êtes inscrit.

Si Mail affiche son propre bouton de désabonnement en haut d’un message, Apple ne précise pas non plus comment il fonctionne : ne l’utilisez donc que pour des expéditeurs que vous connaissez.

Outlook.com

Microsoft ne décrit pas de bouton de désabonnement par message pour Outlook.com, le nouvel Outlook ou les apps Outlook. Outlook.com liste plutôt les expéditeurs qu’il reconnaît sous « Settings » (Paramètres) > « Mail » (Courrier) > « Subscriptions » (Abonnements), avec une option de désabonnement pour chacun. Dans certaines apps, la boîte de dialogue de signalement propose aussi de vous désabonner ; pour le courrier dont vous vous méfiez, choisissez la simple option de signalement ou de blocage.

Pourquoi certains e-mails n’ont-ils pas de bouton de désabonnement ?

Généralement parce que le message n’a pas passé les contrôles de votre fournisseur, ou qu’il ne contient pas d’en-tête exploitable :

• Les contrôles de Gmail et de Yahoo. Comme décrit plus haut, un en-tête correct ne suffit pas si le message ne passe pas ces contrôles. Google précise que c’est le cas « même quand les expéditeurs ajoutent leur propre lien de désabonnement dans le corps du message ».
• Les exceptions d’Outlook.com. Vous n’aurez peut-être pas l’option pour le courrier filtré dans le dossier Courrier indésirable, ni pour les expéditeurs de votre liste de blocage.
• Pas de signature DKIM. La RFC 8058 indique qu’une app « NE DEVRAIT PAS proposer de désabonnement en un clic » sans elle.
• Le courrier transactionnel. Les factures, les réinitialisations de mot de passe et les codes à usage unique ne sont pas des abonnements, et Gmail et Yahoo n’y exigent pas de désabonnement en un clic.
• Les expéditeurs qui ne l’ont jamais configuré. Sans en-tête List-Unsubscribe, votre app n’a rien à afficher.

L’absence de bouton ne signifie pas que le message est une arnaque, et la présence d’un bouton ne prouve pas l’honnêteté de l’expéditeur.

Pourquoi le désabonnement en un clic s’est généralisé en 2024

Google a annoncé des règles pour les expéditeurs en masse le 3 octobre 2023, et Yahoo a soutenu les mêmes changements. Leurs règles en septembre 2026 :

Les autres en demandent moins. Les règles de Microsoft pour Outlook.com, applicables depuis le 5 mai 2025, exigent SPF, DKIM et DMARC des domaines qui envoient plus de 5 000 e-mails par jour, mais se contentent de recommander un lien de désabonnement fonctionnel. La page postmaster de Mail iCloud d’Apple demande aux expéditeurs en masse « un lien de désabonnement ».

Pour Gmail, seul l’en-tête compte : la FAQ de Google indique que les liens de désabonnement mailto: et par URL « ne satisfont pas à notre exigence de désabonnement en un clic », et à partir de novembre 2025, Gmail a commencé à « intensifier l’application de ces règles », rejets compris. Ce sont les règles des fournisseurs, pas des lois ; le minimum légal figure dans la FAQ ci-dessous.

Se désabonner, signaler un spam, bloquer ou signaler un hameçonnage ?

Deux détails piègent souvent. Dans Gmail, bloquer un expéditeur « ne vous désabonne pas automatiquement de sa liste de diffusion », comme le dit l’aide de Google sur les abonnements. Dans Outlook, quand vous signalez un hameçonnage, l’expéditeur est signalé mais pas bloqué : bloquez-le aussi s’il continue de vous écrire.

Les chemins pour signaler et bloquer dans Gmail, Outlook et Apple Mail, et que faire du spam qui continue malgré tout, se trouvent dans ce qui réduit vraiment le spam. Un chemin facile à manquer : dans Gmail sur ordinateur, « Report phishing » (Signaler un hameçonnage) se trouve sous « More » (Plus), à côté de « Reply » (Répondre). Si une vraie entreprise continue de vous écrire après votre désabonnement, consultez pourquoi le désabonnement ne fonctionne pas pour les causes habituelles.

Que faire si vous avez déjà cliqué sur un lien de désabonnement suspect

Vous avez cliqué ou appuyé par erreur sur « Se désabonner » dans un spam ? Ce qu’il faut faire dépend de ce qui s’est passé ensuite :

• Vous avez seulement cliqué ou appuyé. Fermez la page, signalez l’e-mail comme spam ou hameçonnage, et supprimez-le. Le clic a peut-être confirmé votre adresse : d’autres spams peuvent suivre.
• Un fichier s’est téléchargé. Ne l’ouvrez pas ; supprimez-le. La FTC recommande de « mettre à jour le logiciel de sécurité de votre ordinateur, puis de lancer une analyse et de supprimer tout ce qu’il signale comme un problème ».
• Vous avez saisi un mot de passe. Allez vous-même sur le vrai site, sans passer par l’e-mail, et changez immédiatement le mot de passe. Changez-le ensuite partout où vous l’avez utilisé. Activez la double authentification et recherchez les connexions que vous ne reconnaissez pas ; notre guide pour vérifier si votre compte de messagerie a été piraté couvre Google, Microsoft et Apple.
• Vous avez donné des coordonnées de carte ou bancaires. Contactez sans attendre votre banque ou l’émetteur de votre carte. Aux États-Unis, rendez-vous aussi sur IdentityTheft.gov. Au Royaume-Uni, faites un signalement sur reportfraud.police.uk ou appelez le 0300 123 2040 (Angleterre, pays de Galles et Irlande du Nord), ou appelez Police Scotland au 101.

Pour signaler l’e-mail au-delà de votre fournisseur de messagerie, à l’APWG et à la FTC aux États-Unis ou au NCSC au Royaume-Uni, consultez où signaler le spam et le hameçonnage.

Ne plus avoir à vous désabonner : une adresse par liste

La solution la plus propre se situe en amont : donnez à chaque boutique et à chaque newsletter sa propre adresse. Quand une liste vous ignore, vend votre adresse ou subit une fuite de données, seule cette adresse est touchée, et vous pouvez la filtrer ou la désactiver sans toucher au reste. Les conseils d’Apple contre le spam se terminent par « utilisez un alias e-mail ».

La version la plus simple est l’adresse avec un « + » (plus addressing) : chez les fournisseurs qui la prennent en charge, dont Gmail, le courrier adressé à you+shop@example.com arrive à you@example.com. N’importe qui peut toutefois supprimer l’étiquette : l’expéditeur peut donc quand même retrouver votre adresse principale. Des alias distincts ne la révèlent pas, et CatchNone, présenté ci-dessous, vous en donne un pour chaque liste et affiche leur courrier dans son app. Notre guide sur l’adresse à utiliser pour vos inscriptions compare les options.

Une adresse par liste, avec CatchNone

CatchNone donne à chaque boutique, newsletter ou compte sa propre adresse : une adresse @catchnone.com aléatoire avec Premium, sans domaine ni boîte mail à configurer, ou une adresse sur un domaine qui vous appartient, jusqu’à 10 avec l’offre Gratuit et en nombre illimité avec Lite et Premium. Chaque message porte le badge de l’alias qu’il a atteint : une liste qui vend votre adresse ou la laisse fuiter se repère donc. L’app ne fait que recevoir, par choix : le courrier des inscriptions reste dans son app. Les messages s’ouvrent avec JavaScript désactivé, et les images distantes, dont la plupart des pixels de suivi, restent bloquées jusqu’à ce que vous les chargiez. Si une liste vous ignore ou si un alias attire du spam, désactivez l’interrupteur « Utilisé » de son alias @catchnone.com : le courrier sera renvoyé à l’expéditeur, et vos autres alias continueront de fonctionner ; sur votre propre domaine, bloquez l’adresse chez votre fournisseur.

Son bouton « Se désabonner » vous demande d’abord de confirmer. Pour les listes en un clic, il effectue ensuite la requête depuis votre appareil, sans cookies ni page web, mais la liste voit tout de même l’adresse IP de votre appareil et apprend que l’alias est actif. Sinon, si la liste indique une adresse e-mail, il ouvre un e-mail préadressé dans votre app mail habituelle, qui partira de votre vraie adresse. À défaut, il ouvre la page de l’expéditeur. Les liens s’ouvrent dans votre navigateur sans être modifiés, et le bouton s’affiche pour tout message qui porte un en-tête List-Unsubscribe, car CatchNone ne vérifie ni la signature DKIM ni la réputation de l’expéditeur : utilisez-le donc pour des listes que vous reconnaissez. Téléchargez CatchNone pour iPhone, iPad et Mac.

FAQ

Est-il sûr de se désabonner d’e-mails sur iPhone ?

Pour les expéditeurs que vous connaissez, oui : dans l’app Gmail, touchez « Unsubscribe » (Se désabonner) à côté du nom de l’expéditeur ; pour Mail iCloud, utilisez « iCloud Mail Cleanup » ; sinon, utilisez le lien de l’e-mail. Pour un spam, balayez vers la gauche, touchez « More » (Plus), puis « Move to Junk » (Déplacer vers Indésirables). Apple suggère aussi d’activer « Protéger votre activité dans Mail » (Réglages > Apps > Mail > « Protection de la confidentialité »), et notre guide sur le fonctionnement de la « Protection de la confidentialité dans Mail » explique ce que cela change.

Faut-il se désabonner des spams ?

Non. Un spam n’est pas une liste à laquelle vous vous êtes inscrit : il n’y a donc rien à quitter, et cliquer, appuyer ou répondre peut confirmer que votre adresse est active. Marquez-le comme spam ou indésirable, ce qui entraîne votre filtre sans contacter directement l’expéditeur, puis supprimez-le ; si le même expéditeur continue d’écrire, bloquez l’adresse. Ne vous désabonnez que des listes auxquelles vous vous êtes inscrit, et marquez comme spam toute liste qui ignore votre désabonnement.

Que se passe-t-il quand vous vous désabonnez dans Gmail ?

Une fenêtre pop-up vous demande de confirmer avec « Unsubscribe » (Se désabonner), ou propose « Go to website » (Accéder au site web) pour les expéditeurs qui exigent leur propre page. Il peut falloir quelques jours pour que les e-mails cessent. Si l’expéditeur vous écrit de nouveau après votre désabonnement, Gmail place le nouveau courrier dans le dossier de spam.

Signaler un spam prévient-il l’expéditeur ?

Pas individuellement dans Gmail : le signalement déplace le message dans le dossier de spam et entraîne le filtre, et les retours de Gmail aux expéditeurs en masse sont des données de plaintes agrégées par campagne. Yahoo fonctionne différemment : sa Complaint Feedback Loop (boucle de rétroaction sur les plaintes) envoie aux expéditeurs inscrits un rapport, avec les en-têtes du message, quand vous marquez leur courrier comme spam. Pour une liste à laquelle vous vous êtes bien inscrit, Google conseille plutôt de vous désabonner.

La loi impose-t-elle un lien de désabonnement ?

Aux États-Unis, la loi CAN-SPAM impose aux e-mails commerciaux un moyen de désinscription qui fonctionne, honoré sous 10 jours ouvrés ; le bouton en un clic vient des règles de Gmail et de Yahoo pour les expéditeurs, pas de la loi. Les délais par pays figurent dans pourquoi le désabonnement ne fonctionne pas.