Comment savoir qui a vendu votre adresse mail en 5 étapes

Comment savoir qui a vendu votre adresse mail, ou qui l’a laissée fuiter ? Vous ne pouvez le savoir avec certitude que si vous avez donné à cette entreprise une adresse que personne d’autre n’avait. Sur une adresse principale que vous utilisez depuis des années, vous pouvez en général resserrer le champ, mais pas désigner un coupable : elle figure dans des dizaines de bases de données clients, et un spam remonte rarement à celle qui l’a laissée partir. Ce que vous pouvez découvrir, c’est qui vous écrit et par quel service, si une entreprise a laissé fuiter votre adresse lors d’une fuite de données connue et, dans l’UE et au Royaume-Uni, ce qu’une entreprise dit de l’endroit où elle a obtenu votre adresse. CatchNone, pour iPhone, iPad et Mac, fait d’une adresse par entreprise la règle par défaut : chaque message porte le badge de l’alias qu’il a atteint, si bien que la prochaine fuite désigne sa source.

Les étapes, dans l’ordre :

1. Trouvez le premier message indésirable et l’adresse exacte qu’il a atteinte.
2. Lisez ses en-têtes pour identifier l’expéditeur et son service d’envoi.
3. Vérifiez sur Have I Been Pwned si l’adresse figure dans une fuite de données.
4. Demandez à l’expéditeur où il a obtenu votre adresse, et demandez à l’entreprise que vous soupçonnez à quelles entreprises elle l’a donnée.
5. Désormais, donnez à chaque entreprise sa propre adresse.

Peut-on savoir qui a vendu votre adresse mail ?

Parfois. Tout dépend des preuves :

• Les en-têtes montrent qui a envoyé un message et par quel service (une signature DKIM valide prouve quel domaine l’a signé), pas d’où vient la liste.
• Une fuite de données répertoriée prouve qu’une entreprise a perdu votre adresse, sans exclure les autres.
• Une demande fondée sur la loi peut obliger une entreprise à dire ce qu’elle sait de la source, si elle le sait (en Californie, uniquement sous forme de catégories).
• Une adresse aléatoire que vous n’avez donnée qu’à une seule entreprise désigne directement une source : si quelqu’un d’autre vous écrit à cette adresse, c’est qu’elle a quitté cette entreprise, qu’elle ait été vendue, partagée ou volée.

Une avalanche soudaine de spams peut avoir d’autres causes : voyez pourquoi le spam peut augmenter d’un coup. Pour savoir comment les adresses se répandent au départ, par la vente, les fuites de données, la collecte automatisée et les adresses devinées, voyez comment les spammeurs obtiennent les adresses e-mail.

Étape 1 : trouvez le premier message et l’adresse qu’il a atteinte

Recherchez l’expéditeur inconnu et repérez le résultat le plus ancien : le premier message est le plus proche du moment où votre adresse a changé de mains. Vérifiez précisément à quelle adresse il a été envoyé et comment il vous salue. Une ancienne adresse ou une faute de frappe que vous n’avez utilisée qu’une fois, une variante +tag de votre adresse, une erreur dans l’orthographe de votre nom venue d’un seul formulaire d’inscription, ou un détail qu’une seule entreprise connaissait : tout cela désigne une source.

Dans l’UE et au Royaume-Uni, lisez aussi le pied de page de ce premier message et son lien vers la politique de confidentialité. En vertu du RGPD (art. 14), une entreprise qui a obtenu vos données auprès d’un tiers doit vous indiquer « la source d’où proviennent les données à caractère personnel ». Si elle utilise ces données pour vous contacter, elle doit le faire « au plus tard au moment de la première communication ». Si le premier message ne le précisait pas, signalez-le dans votre demande de l’étape 4.

Étape 2 : lisez les en-têtes

Les en-têtes sont les lignes masquées au-dessus d’un message. Ils nomment l’expéditeur et le service qui a acheminé le courrier, ce qui vous indique à qui écrire à l’étape 4.

Comment afficher les en-têtes

Marche à suivre selon les pages d’aide de chaque éditeur, en septembre 2026 :

Le raccourci de Gmail : sur le Web, cliquez sur la flèche vers le bas sous le nom de l’expéditeur pour afficher « Mailed by » (Envoyé par) et « Signed by » (Signé par), les domaines qui ont envoyé et signé le message.

Un exemple commenté

Un jeu d’en-têtes fictif et abrégé. Votre adresse est k7qm-2xrd@example.com, une adresse aléatoire que vous n’avez donnée qu’à une jardinerie. La marque est dealsdaily.example.net, et mailer.example.org est le service d’envoi qu’elle utilise.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Ici, l’expéditeur est Deals Daily, qui envoie via mailer.example.org, et l’adresse atteinte est l’adresse aléatoire que vous n’avez donnée qu’à la jardinerie : c’est donc de là qu’elle est partie. Les en-têtes ne peuvent pas dire comment Deals Daily l’a obtenue : ils nomment l’expéditeur, jamais le vendeur. ICANN Lookup affiche la fiche d’enregistrement d’un domaine inconnu, même si les coordonnées du titulaire sont le plus souvent masquées.

Étape 3 : vérifiez si votre adresse mail figure dans une fuite de données

Have I Been Pwned (HIBP) indique dans quelles fuites de données et quelles listes de spam figure une adresse. Au 25 septembre 2026, le site recense 1 038 sites web touchés par une fuite et plus de 17,8 milliards de comptes compromis (une adresse présente dans plusieurs fuites est comptée une fois pour chacune).

• Une fuite de données nomme le service qui a perdu les données et sa date : une piste sérieuse si le spam a commencé peu après.
• Une liste de spam signifie que votre adresse est apparue dans des données utilisées pour du spam ciblé. Ces listes « sont souvent agrégées à partir de plusieurs sources » : elles nomment donc rarement l’entreprise d’origine. Les entrées issues de « pastes » (textes publiés en ligne), et les fuites que HIBP signale comme fabriquées ou non vérifiées, sont des indices plus faibles encore.
• Les fuites sensibles n’apparaissent qu’une fois que vous vous êtes connecté et avez vérifié que vous recevez bien le courrier envoyé à cette adresse.

Un résultat vierge signifie seulement que l’adresse ne figure dans aucune fuite chargée par HIBP, pas que personne ne l’a vendue. Activez les alertes gratuites Notify Me (Prévenez-moi). Si vous utilisez sur votre propre domaine une adresse distincte pour chaque entreprise, Domain Search (recherche par domaine) indique lesquelles apparaissent dans quelle fuite, une fois le domaine vérifié (les domaines plus importants nécessitent normalement un abonnement). Le rapport sur le dark web de Google, recommandé par d’anciens guides, a été arrêté début 2026.

Étape 4 : interrogez directement les entreprises

UE et Royaume-Uni : le droit d’accès RGPD, pour savoir d’où vient votre adresse et où elle est allée

Le droit d’accès vous permet de poser deux questions à deux entreprises :

• Demandez à l’expéditeur où il a obtenu votre adresse. L’article 15(1)(g) du RGPD vous donne droit à « toute information disponible quant à leur source », et des lignes directrices sur la transparence approuvées par le Comité européen de la protection des données (CEPD) indiquent qu’une entreprise qui a obtenu vos données ailleurs devrait nommer la source précise, sauf si elle ne le peut pas.
• Demandez à l’entreprise que vous soupçonnez à quelles entreprises elle a donné votre adresse. Sur le fondement de l’article 15(1)(c), la Cour de justice de l’Union européenne a jugé dans l’affaire Österreichische Post (C-154/21) qu’une entreprise doit, sur demande, nommer les destinataires effectifs, sauf si elle ne peut pas encore les identifier ou si la demande est manifestement infondée ou excessive. L’autorité britannique de protection des données, l’ICO, dit la même chose au titre du UK GDPR.

Aucune de ces demandes n’oblige qui que ce soit à nommer un vendeur : une entreprise peut répondre qu’elle ne sait pas, ou que les données proviennent de plusieurs sources (considérant 61), même si une réponse évasive justifie une réclamation. Utilisez les coordonnées indiquées dans la politique de confidentialité de chaque entreprise, et laissez de côté les spammeurs avérés : leur répondre confirme que votre adresse fonctionne.

Voici une demande que vous pouvez copier (supprimez le point 4 quand vous écrivez à l’entreprise que vous soupçonnez) :

Objet : demande d’accès au titre de l’article 15 du RGPD

Conformément à l’article 15 du RGPD (ou du UK GDPR), pour mon adresse e-mail, you@example.com, merci de m’indiquer :

1. Où vous l’avez obtenue, en nommant la source précise (art. 15(1)(g)).
2. À quels destinataires vous l’avez communiquée, nommément (art. 15(1)(c)).
3. Quelles données personnelles vous détenez à mon sujet, avec une copie de celles-ci.
4. Pourquoi votre premier message, le [date], ne mentionnait pas cette source (art. 14(2)(f) et 14(3)(b)).

Je m’oppose également à la prospection commerciale (art. 21). Merci de me répondre dans un délai d’un mois (art. 12(3)).

[Votre nom]

La réponse est en général gratuite (les délais figurent dans le tableau ci-dessous). Une fois que vous vous êtes opposé à la prospection commerciale, vos données ne peuvent plus être utilisées à cette fin.

Au Royaume-Uni, si la réponse manque ou reste évasive, adressez d’abord une réclamation à l’entreprise : pour les réclamations déposées depuis le 19 juin 2026, le Data (Use and Access) Act l’oblige à accuser réception de la vôtre sous 30 jours. Ensuite, dans les trois mois qui suivent votre dernier échange significatif avec l’entreprise, portez plainte auprès de l’ICO. Dans l’UE, l’article 77 vous permet d’introduire une réclamation auprès d’une autorité de protection des données (en France, la CNIL).

États-Unis : Californie et Oregon

En Californie, une demande de « droit de savoir » (right to know) au titre du CCPA vous donne les catégories de sources et de tiers, ainsi que les informations personnelles détenues, mais ne nomme pas celui qui a vendu votre adresse. La réponse est gratuite. Vous pouvez aussi exiger d’une entreprise qu’elle cesse de vendre ou de partager vos données, ou lui demander de supprimer ce qu’elle a collecté auprès de vous. La loi ne couvre que les entreprises qui dépassent certains seuils, comme un chiffre d’affaires annuel supérieur à 26 625 000 $ (en septembre 2026).

Si vous vivez en Oregon, une entreprise soumise à la loi de cet État sur la vie privée doit, sur demande, fournir une liste des tiers précis auxquels elle a communiqué des données, mais elle peut lister ceux qui ont reçu des données personnelles quelconques plutôt que les vôtres (ORS 646A.574). Ces droits relèvent du droit de chaque État : ce que vous pouvez demander dépend donc de l’endroit où vous vivez.

Les résidents de Californie peuvent aussi utiliser DROP, la Delete Request and Opt-out Platform (plateforme de demandes de suppression et d’opposition), pour envoyer une seule demande de suppression à tous les courtiers en données (data brokers) enregistrés. Elle a ouvert le 1er janvier 2026 et, depuis le 1er août 2026, les courtiers doivent traiter les demandes au moins tous les 45 jours. Elle ne touche que les courtiers en données, des entreprises avec lesquelles vous n’avez aucune relation directe, et non la boutique à laquelle vous avez donné votre adresse.

Tout le monde peut consulter les registres de courtiers en données de la Californie, du Vermont, du Texas et de l’Oregon. Cherchez-y le nom de l’entreprise expéditrice et les domaines relevés à l’étape 2. Une correspondance vous indique que l’expéditeur est un courtier en données enregistré, l’une des entreprises que DROP touche si vous vivez en Californie.

Ce que chaque demande peut vous apporter

Partout : le service d’envoi

Le service d’envoi nommé dans DKIM-Signature d=, Return-Path ou List-Unsubscribe a ses propres règles. La politique d’utilisation acceptable de Mailchimp, par exemple, interdit les envois à des « listes achetées, louées, de tiers, de coregistration, de données publiquement accessibles ou de partenaires, de quelque nature que ce soit », et son service des abus demande « l’en-tête complet de l’e-mail » (deux pages consultées le 25 septembre 2026). Envoyez les en-têtes complets au service des abus du service d’envoi. Il ne vous dira pas qui a vendu votre adresse, mais il peut empêcher l’expéditeur d’utiliser son service.

Que faire une fois que vous savez

• Retirez l’adresse. Donnez une nouvelle adresse à l’entreprise qui l’a laissée fuiter, ou fermez le compte, puis désactivez ou supprimez l’ancienne. Gardez-la active jusqu’à ce que chaque demande d’accès ait reçu une réponse, car la réponse ou une vérification d’identité peut y arriver. S’il s’agit de votre adresse principale, utilisez des filtres.
• Faites cesser les envois. Envoyez l’opposition au titre de l’article 21 (UE, Royaume-Uni), désabonnez-vous des expéditeurs américains légitimes, ou opposez-vous à la vente et au partage et utilisez DROP (Californie). Si le désabonnement a déjà échoué, lisez pourquoi le désabonnement ne fonctionne pas.
• Signalez-le sur ReportFraud.ftc.gov aux États-Unis, avec l’outil de signalement des spams de l’ICO au Royaume-Uni (il ne répond pas individuellement) ou auprès du service des abus du service d’envoi, et marquez le message comme spam dans votre app de messagerie.
• S’il s’agissait d’une fuite de données, sécurisez aussi le compte (voir la FAQ).

Les entreprises vendent-elles votre adresse mail, et est-ce légal ?

Oui, certaines le font. La FTC l’indique : « Lorsque vous donnez votre adresse e-mail à une entreprise, elle peut la partager ou la vendre à des tiers. » Aux États-Unis, la loi fédérale autorise cette vente de données personnelles tant que vous ne vous y opposez pas. Au Royaume-Uni et dans l’UE, une entreprise a besoin de votre consentement pour vous écrire à partir d’une liste achetée, et au Royaume-Uni, elle a en général besoin de votre consentement pour en vendre une.

• États-Unis : selon la loi fédérale CAN-SPAM, une entreprise n’a besoin d’aucun consentement pour vous envoyer des e-mails marketing. Une fois que vous vous y êtes opposé, elle dispose de 10 jours ouvrés pour cesser, et elle ne peut ni vendre ni transférer votre adresse. La Californie ajoute un droit d’opposition à la vente, et sa notion de « vente » inclut la location ou la mise à disposition de données en échange d’une « autre contrepartie de valeur » : un échange avec un partenaire peut donc compter, sans qu’aucun argent soit en jeu. Le « partage » (sharing) est une notion distincte, qui vise la publicité comportementale intercontextuelle.
• Royaume-Uni : selon les Privacy and Electronic Communications Regulations (PECR), une entreprise ne peut écrire aux personnes d’une liste achetée que si elles ont « expressément consenti à recevoir ce type de message » de sa part ; un consentement générique à tout tiers ne suffit pas, et la vente d’une liste nécessite en général le consentement des personnes qui y figurent (recommandations de l’ICO, en cours de révision après le Data (Use and Access) Act). D’autres règles s’appliquent aux adresses d’entreprises.
• UE : la directive ePrivacy (transposée en France à l’article L34-5 du Code des postes et des communications électroniques) n’autorise les e-mails marketing qu’avec un « consentement préalable », sauf pour un vendeur qui promeut des produits similaires auprès de ses propres clients, une exception dont l’acheteur d’une liste ne peut pas se prévaloir.

Pourquoi l’astuce du « + » est une preuve fragile

L’« astuce Gmail » consiste à s’inscrire avec une adresse munie d’un suffixe, comme you+shopname@example.com pour you@example.com, puis à guetter le suffixe qui apparaît dans le spam. La description qu’en fait Google montre la faiblesse : « Les messages envoyés à votre adresse actuelle ou à toute variante avec le signe plus arrivent tous dans votre boîte de réception actuelle. »

• Votre véritable adresse est bien visible. Supprimez le suffixe : le courrier vous parvient toujours, et la preuve disparaît.
• Le suffixe ne signifie rien pour l’expéditeur. Seul votre fournisseur interprète la partie située avant le @ (RFC 5321, § 2.3.11), et le séparateur varie selon les systèmes (RFC 5233).
• Elle prouve moins qu’il n’y paraît. Une adresse avec suffixe qui reçoit du spam montre qu’elle a quitté cette entreprise, pas si elle a été vendue, partagée ou volée lors d’une fuite. Et si aucun spam n’arrive sur l’adresse avec suffixe, cela ne disculpe personne : le suffixe a peut-être simplement été retiré.

L’astuce du point, qui consiste à s’inscrire sous your.name chez une entreprise et yo.urname chez une autre, est plus fragile encore : Gmail ignore les points dans les adresses personnelles, si bien que n’importe qui peut les supprimer (sur les comptes professionnels ou scolaires, les points comptent). Les adresses avec un « + » (plus addressing) restent utiles pour filtrer ; le guide des adresses avec un « + » indique où elles fonctionnent.

Étape 5 : faites en sorte que la prochaine fuite se dénonce d’elle-même

La méthode fiable vaut pour l’avenir : donnez à chaque entreprise sa propre adresse, qui ne contient pas votre véritable adresse. Si quelqu’un d’autre écrit à l’adresse donnée à une boutique, vous savez d’où elle est partie, et vous pouvez désactiver cette seule adresse.

• CatchNone donne à chaque entreprise son propre alias et marque chaque message d’un badge indiquant l’alias qu’il a atteint : une adresse vendue se repère sans lire les en-têtes. Les adresses @catchnone.com nécessitent Premium ; un domaine qui vous appartient fonctionne aussi avec l’offre Gratuit.
• Les services d’alias e-mail comme « Masquer mon adresse e-mail » d’Apple (avec iCloud+), DuckDuckGo Email Protection, SimpleLogin, addy.io et Firefox Relay transfèrent le courrier vers votre boîte de réception. Le comparatif des services d’alias e-mail détaille les différences.
• Une adresse catch-all sur votre propre domaine accepte le courrier adressé à n’importe quelle adresse de ce domaine : vous pouvez donc en inventer une par inscription. Cloudflare Email Routing (« Routage des e-mails »), par exemple, est disponible avec les offres gratuites et payantes (en septembre 2026) et propose une règle catch-all. Voyez ce qu’est une adresse catch-all pour en peser les avantages et les inconvénients.

Préférez des adresses aléatoires à des adresses faciles à deviner comme gardenshop@example.com, qu’un spammeur pourrait inventer sur un catch-all, et notez quelle adresse vous avez donnée à qui.

CatchNone : chaque message montre l’adresse qu’il a atteinte

CatchNone est conçu pour l’étape 5. Vous donnez à chaque boutique, newsletter ou compte son propre alias e-mail, et chaque message dans l’app porte un badge indiquant l’alias qu’il a atteint. Quand un inconnu écrit à l’adresse que vous n’avez donnée qu’à la jardinerie, le badge montre d’où elle est partie, sans en-têtes à lire. L’onglet « Activité » signale le courrier arrivé sur un alias que vous avez marqué comme non utilisé et les expéditeurs qui vous écrivent pour la première fois, et vous pouvez désactiver une adresse @catchnone.com qui a fuité : le courrier est alors renvoyé à l’expéditeur, et vos autres alias continuent de fonctionner.

Avec Premium, vous obtenez des adresses @catchnone.com aléatoires, comme abcde-12345@catchnone.com, sans domaine, DNS ni boîte mail à configurer, et même le courrier reçu en Cci est attribué. Vous pouvez aussi utiliser un domaine qui vous appartient et dont votre fournisseur distribue déjà le courrier dans une boîte de réception : l’app lit cette boîte mail en lecture seule, en IMAP ou JMAP, directement depuis votre appareil, avec jusqu’à 10 alias sur l’offre Gratuit et sans limite avec Lite et Premium. CatchNone est disponible sur iPhone, iPad et Mac.

L’app fonctionne pour l’avenir, sans remonter le temps pour les adresses que vous utilisiez déjà, et elle n’a ni base de données de fuites ni détection des fuites : les badges et les notes de l’onglet « Activité » sont des indices qu’il vous revient d’apprécier. Sur votre propre domaine, elle ne lit que la boîte de réception, et seulement le courrier dont les champs À, Cc ou Cci mentionnent une adresse de votre domaine : le spam classé en courrier indésirable n’y apparaîtra donc pas. Y marquer un alias comme « Non utilisé » ne fait que l’étiqueter : bloquez donc une adresse qui a fuité chez votre fournisseur. Les messages @catchnone.com sont supprimés 30 jours après leur réception : marquez d’un drapeau ceux dont vous avez besoin comme preuve pour en garder le texte complet sur votre appareil.

FAQ

Que faire si une entreprise a laissé fuiter mon adresse mail ?

Recherchez l’adresse sur Have I Been Pwned pour voir dans quelle fuite elle figurait et quelles autres données ont fuité avec elle. Changez le mot de passe de ce site et partout où vous l’avez réutilisé, et activez l’authentification à deux facteurs. Attendez-vous à des tentatives d’hameçonnage (phishing) qui citent les données divulguées, et ne suivez pas les liens des messages qui évoquent la fuite. Si vous aviez donné à cette entreprise une adresse rien qu’à elle, retirez cette adresse et donnez-lui-en une nouvelle.

LinkedIn ou Google vendent-ils mon adresse mail ?

Aucun des deux ne dit vendre vos informations personnelles, mais LinkedIn dit les partager à des fins de publicité intercontextuelle. Sa déclaration de confidentialité pour la Californie indique « We Do Not Sell Your Personal Information » (nous ne vendons pas vos informations personnelles) et permet aux Californiens de s’opposer à ce partage. Le Centre de sécurité de Google affirme « Nous ne vendons jamais vos informations personnelles à qui que ce soit », et ses règles de confidentialité (en vigueur depuis le 26 mai 2026) indiquent que Google ne partage des informations personnelles hors de Google que dans des cas énumérés, le premier étant votre consentement. Ces trois pages ont été consultées le 25 septembre 2026. Pour les autres entreprises, lisez leur politique de confidentialité et distinguez bien « vendre » et « partager ».

Qui achète des adresses mail ?

Des courtiers en données, des courtiers en fichiers et des professionnels du marketing ; les registres des États cités plus haut recensent les courtiers enregistrés. Ce commerce peut se faire au grand jour : dans l’affaire Österreichische Post, l’opérateur postal autrichien a déclaré proposer des données personnelles « à des partenaires commerciaux à des fins de marketing », puis a cité parmi les destinataires des « fournisseurs de listes de diffusion ». Cette affaire portait sur des données détenues par un opérateur postal, pas sur des adresses e-mail.