7 façons d'améliorer la sécurité de vos adresses e-mail

---

Les adresses e-mail alternatives (alias) étaient autrefois une astuce de confidentialité réservée à quelques initiés. Désormais, elles constituent une solution courante proposée par de nombreux fournisseurs de messagerie majeurs, tels qu'Apple, DuckDuckGo, SimpleLogin et Firefox. Configurer et utiliser une adresse alternative basique pour masquer sa véritable adresse e-mail est devenu plus facile que jamais. Cependant, compte tenu des récentes fuites de données et des cyberattaques sophistiquées, il devient de plus en plus évident qu'une configuration basique ne suffit pas.

C’est pourquoi les experts en cybersécurité recommandent désormais d’adopter une stratégie sophistiquée pour les adresses e-mail secondaires, en combinant plusieurs adresses avec des protocoles d’authentification sécurisés, afin de protéger votre boîte de réception principale des regards indiscrets. Journaliste spécialisée dans les sujets sensibles liés à la sécurité et à la conformité, j’utilise des adresses e-mail secondaires depuis près de dix ans. Voici quelques conseils qui m’ont évité bien des problèmes de confidentialité au fil des ans.

Pourquoi utiliser des adresses e-mail alternatives ?

Une adresse e-mail secondaire permet de remplacer votre adresse principale par une adresse temporaire qui transfère les messages vers votre boîte de réception principale. Ainsi, les expéditeurs n'ont pas besoin de connaître votre véritable adresse pour vous contacter, et vous pouvez facilement désactiver cette adresse secondaire si vous recevez trop de spams.

Je suis un ange

L'utilisation d'adresses électroniques secondaires est une pratique courante depuis longtemps pour les utilisateurs qui doivent partager des informations sensibles tout en préservant leur confidentialité, comme les journalistes, les avocats, les cadres et les personnalités publiques susceptibles d'être la cible de spammeurs et de cybercriminels. Cependant, ces adresses ne remplacent pas la sécurité réelle de votre compte et ne vous empêcheront pas de le compromettre si quelqu'un parvient à trouver votre véritable adresse électronique.

De plus, les récentes avancées technologiques rendent difficile la gestion d'adresses électroniques secondaires en raison de problèmes de distribution et de fuites de données. Bien qu'il soit toujours judicieux d'utiliser des adresses électroniques secondaires pour protéger votre boîte de réception, une stratégie de confidentialité robuste est désormais indispensable, car les spammeurs sont de plus en plus sophistiqués.

Pourquoi les adresses e-mail alternatives nécessitent-elles une stratégie bien pensée ?

Les adresses e-mail alternatives masquent votre véritable adresse auprès du destinataire, mais elles ne la dissimulent pas à votre fournisseur de messagerie ni à quiconque déterminé à relier vos informations à des données divulguées. Ainsi, si vous utilisez la même adresse alternative partout ou si vous redirigez tous vos e-mails vers la même boîte de réception sans autres mesures de sécurité, votre messagerie n'apparaîtra privée qu'en apparence. Des pirates déterminés peuvent exploiter cette vulnérabilité et le feront.

Il existe un autre problème dont personne ne vous parle. La plupart des services de messagerie modernes, comme Gmail et Outlook, intègrent des systèmes de vérification d'identité et envoient les adresses e-mail provenant de domaines alternatifs partagés directement dans le dossier spam. Pour contourner ce système, vous devrez non seulement créer votre propre domaine personnalisé pour les adresses e-mail secondaires, mais aussi configurer correctement ce domaine à l'aide de protocoles d'authentification tels que SPF et DKIM.

Enfin, votre fournisseur d'alias de messagerie pourrait lui-même être compromis, exposant ainsi votre adresse de redirection via les en-têtes de vos e-mails, comme ce fut le cas avec Apple Mail. Les services d'alias peuvent également présenter d'autres vulnérabilités, telles que les problèmes de synchronisation de ProtonMail dont de nombreux utilisateurs se sont plaints. Par conséquent, dépendre entièrement d'un seul fournisseur sans configurer de domaine personnalisé est un signe d'alerte majeur.

Il est évident que vous devez planifier soigneusement votre stratégie de pseudonyme de messagerie dès le départ afin d'éviter de perdre des messages importants, de les voir atterrir dans votre dossier de courriers indésirables ou de voir votre boîte aux lettres privée divulguée en raison d'une mise en œuvre technique défectueuse de votre fournisseur de services de messagerie.

Comment catégoriser les surnoms d'adresse e-mail par service, et non par relation ?

La plupart des utilisateurs préfèrent utiliser plusieurs alias pour leurs différents usages : un pour leurs courriels personnels, un autre pour leurs collègues, un pour la planification de réunions et de rendez-vous, un autre pour les services de streaming, etc. Cette méthode est pratique pour organiser sa boîte de réception, mais elle ne protège pas l’alias en cas de fuite de données sur l’un des services ou applications associés.

Par exemple, si vous utilisiez un seul alias pour toutes vos activités bancaires et financières, la fameuse fuite de données d'Experian en 2015 aurait pu mettre en péril tous vos services financiers à cause d'une seule vulnérabilité.

Les experts en protection de la vie privée recommandent d'utiliser un alias distinct pour chaque service (un pour Netflix et un autre, complètement différent, pour Apple TV), puis de les regrouper sous un seul sous-domaine de votre domaine personnalisé dédié aux services de streaming. Votre alias Netflix pourrait ainsi ressembler à [email protected] De cette façon, si une plateforme est compromise, vos autres alias pour les services similaires restent privés et sécurisés.

Pourquoi ne pas utiliser la fonction « Plus Addressing » pour protéger votre vie privée ?

Une méthode courante pour créer des alias d'adresse électronique consiste simplement à ajouter un signe plus (+) à côté de votre véritable adresse électronique, comme [email protected] Ceci est utile pour organiser les boîtes de réception, mais cela ne sécurise pas réellement votre adresse électronique, car n'importe qui peut deviner votre véritable adresse électronique en supprimant tout ce qui suit le signe plus.

Il est préférable d'utiliser une combinaison de mots aléatoires ou de clés de hachage. Si quelqu'un voit un alias d'adresse e-mail comme [email protected], cela ne l'aide en rien à identifier d'autres alias sur le même domaine. C'est particulièrement utile si vous n'utilisez pas encore de domaine personnalisé et que vous dépendez d'un domaine partagé fourni par votre fournisseur de messagerie ou votre service d'alias, car ces derniers sont plus faciles à deviner.

Utilisez un domaine personnalisé si vous utilisez exclusivement des alias.

L'utilisation de domaines partagés fournis par un service d'alias, comme @simplelogin.io ou @gmail.com, présente plusieurs inconvénients. Premièrement, il devient extrêmement difficile de se séparer de ce domaine si l'on souhaite changer de fournisseur de messagerie ou de service d'alias. À l'inverse, si l'on utilise son propre domaine, il suffit de le rediriger vers un nouveau service d'alias si l'ancien n'est plus sécurisé ou adapté.

En plus de vous limiter à un service de messagerie ou un alias spécifique, cela peut impacter négativement la délivrabilité de vos e-mails. De nombreux domaines de ce type ont une mauvaise réputation en matière de spam, ce qui signifie qu'ils ne passent pas la plupart des filtres anti-spam. En utilisant votre propre domaine, vous pouvez configurer l'authentification de domaine via SPF, DKIM et DMARC . Ainsi, les boîtes de réception vous attribuent une note de spam distincte, basée sur votre activité spécifique, et non sur le comportement collectif de tous les autres utilisateurs de ce domaine partagé.

C’est pourquoi un nom de domaine personnalisé représente un investissement judicieux si vous souhaitez continuer à utiliser des alias d’adresse e-mail comme stratégie de confidentialité à long terme. Il vous offre un meilleur contrôle de vos données et vous permet de mettre en place des fonctionnalités de sécurité professionnelles, indisponibles avec les services de messagerie gratuits utilisant des domaines partagés.

Portez une attention particulière aux en-têtes des e-mails.

Il est crucial de prêter attention aux en-têtes des e-mails, car ils peuvent révéler votre véritable adresse, même sous pseudonyme. Par exemple, avant le 7 juillet, les utilisateurs du service « Masquer mon adresse e-mail » d'Apple Mail étaient exposés à une grave faille de sécurité. Bien que ce service génère généralement un pseudonyme aléatoire pour masquer votre véritable adresse aux destinataires, une faille technique permettait aux pirates de la révéler facilement en inondant votre boîte de réception de spams. Ils envoyaient simplement des spams au pseudonyme et attendaient que les filtres d'Apple Mail renvoient une notification de rejet, contenant votre véritable adresse dans l'en-tête du message.

Lorsque vous recevez un courriel transféré par votre service d'alias, développez l'en-tête pour vérifier que votre véritable adresse courriel n'y figure pas. (Dans Gmail, cela se fait via le petit menu déroulant situé à côté du nom du destinataire en haut du message.) Si vous voyez un champ intitulé « Transféré à » contenant votre véritable adresse courriel dans l'en-tête du message, cela indique une fuite de données.

Sauvegardez régulièrement vos listes de surnoms.

Il est essentiel de sauvegarder vos listes d'alias pour éviter de les perdre et protéger votre vie privée. De nombreux fournisseurs associent les alias d'adresse électronique à un gestionnaire de mots de passe pour simplifier la gestion des accès, mais cette solution comporte ses propres risques.

Plusieurs utilisateurs du forum Privacy Guides ont constaté avoir supprimé par erreur tous leurs alias SimpleLogin en tentant d'effacer les données de connexion Proton Pass associées à ces comptes. Il semblerait que Proton dispose d'une fonction de synchronisation automatique qui lie les deux services et fonctionne dans les deux sens. Ce problème est particulièrement préoccupant si vous n'utilisez pas de domaine privé, car dans ce cas, ces alias sont définitivement perdus, à moins de pouvoir les récupérer.

Il est conseillé de sauvegarder régulièrement votre liste d'adresses e-mail alias dans un document texte ou un tableur. Ainsi, en cas de suppression accidentelle, vous pourrez créer de nouvelles adresses avec des noms identiques et éviter le rejet de vos e-mails importants.

Sécurisez les anciens alias de messagerie avant de les désactiver.

De nombreux fournisseurs de messagerie conservent les données de vos comptes supprimés pendant des mois, voire des années, afin de se conformer aux obligations légales. Cela en fait des cibles privilégiées pour les courtiers en données qui collectent des informations précieuses à partir de ces comptes. Heureusement, il existe une solution simple à ce problème.

Avant de supprimer définitivement un ancien compte de messagerie ou un alias, veillez à remplacer toutes les informations personnelles qui y sont associées par des valeurs aléatoires. Cela inclut votre nom, votre adresse, votre date de naissance et toutes les informations de paiement permettant de vous identifier.

Conservez une adresse e-mail directe comme méthode de communication de secours.

Avec l'obligation croissante d'utiliser un pseudonyme imposée par de nombreux fournisseurs de messagerie populaires comme Gmail et Outlook, il arrive fréquemment que l'utilisation d'un pseudonyme pour communiquer soit tout simplement impossible. De nombreuses boîtes de réception sont équipées de filtres anti-spam qui rejettent les messages provenant de pseudonymes aléatoires ou refusent les demandes de transfert de votre fournisseur de pseudonyme. Ce phénomène a un effet cumulatif : plus les services de messagerie rejettent les messages provenant d'un pseudonyme, plus la réputation et le taux de délivrabilité de cette adresse se dégradent.

Pour les plateformes bancaires, les livraisons de colis importants, la correspondance juridique et autres courriels prioritaires, il est conseillé de conserver une boîte de réception directe, sans pseudonyme ni réexpédition. Cela peut constituer une solution de secours essentielle dans les situations où aucun courriel ne doit être manqué.