« Une adresse mail jetable, est-ce sûr ? » Cette question en cache en réalité deux. D'abord, si j'utilise cette adresse, ma vie privée est-elle protégée ? Ensuite, le compte que j'ouvre avec elle restera-t-il en sécurité ? À la première, la réponse est largement oui. À la seconde, tout dépend du compte, et bien souvent la réponse est « non, ne l'utilisez pas là ».
Dans cet article, nous posons les deux côtés à plat, en montrant où elle est utile, où elle peut vous causer des ennuis, et comment les e-mails reçus sont techniquement protégés sur notre site.
Qu'y gagnez-vous côté vie privée ?
Prenez un site qui demande votre e-mail pour télécharger un fichier. Dès que vous tapez votre vraie adresse, elle vous échappe. Elle entre dans la liste marketing du site, est peut-être partagée avec des partenaires, et finira peut-être exposée dans une fuite de données des années plus tard. Avec une adresse temporaire, aucun maillon de cette chaîne ne remonte jusqu'à vous.
- Vous ne donnez aucune information personnelle. Sur notre site, pas d'inscription, ni nom, ni téléphone, ni mot de passe. L'adresse se crée d'elle-même à l'ouverture de la page.
- Votre adresse principale reste hors des fuites. Même si le site du formulaire est piraté un jour, votre vraie adresse ne figure pas dans la liste.
- La chaîne de suivi est rompue. Les e-mails marketing contiennent souvent des pixels de suivi qui mesurent qui les ouvre. Quand cette information est rattachée à une adresse temporaire, il devient plus difficile de la relier à votre véritable identité.
- Aucune donnée ne s'accumule. Les e-mails reçus sont supprimés automatiquement au bout de 24 heures. Aucune archive à votre sujet ne dort des années sur le serveur.
Et ses points faibles ?
Les cacher ne servirait personne. Il y a des situations que le mail temporaire ne gère pas, par conception, ou contre lesquelles il ne vous protège pas :
- Il n'est pas permanent. L'adresse est valable 3 heures (prolongées tant que la page reste ouverte). Avec la clé de récupération, vous pouvez y revenir longtemps, mais les e-mails sont supprimés au bout de 24 heures. Si vous cliquez sur « mot de passe oublié » des mois plus tard, il vous faudra la clé pour lire l'e-mail de réinitialisation.
- Il ne vous protège pas du phishing. Si le lien d'un e-mail mène à une fausse page, le caractère temporaire de l'adresse ne sauve pas les informations que vous y saisissez. Vérifier où mène un lien avant de cliquer reste votre affaire ; nous avons préparé cette checklist pour vous aider.
- Il n'est pas fait pour les contenus sensibles. Envoyer une copie de pièce d'identité, un certificat médical ou un contrat vers une boîte temporaire n'a pas de sens. De toute façon, les pièces jointes ne sont pas affichées.
- Il ne permet pas d'envoyer. Il reçoit uniquement. Si vous devez échanger avec un site, une adresse temporaire ne suffit pas.
- Certains sites le refusent. Les plateformes qui luttent contre les faux comptes bloquent souvent les adresses temporaires. Ce n'est pas une faille de sécurité, mais cela peut vous laisser en plan.
Comment les e-mails reçus sont-ils protégés sur notre site ?
On y pense rarement, mais un e-mail HTML est en fait une petite page web. Il peut contenir de la mise en forme, des images, des liens et, entre de mauvaises mains, des scripts. Laisser ce code s'exécuter dans votre navigateur, dans le même environnement que le reste du site, serait un vrai risque.
C'est pourquoi nous faisons deux choses :
- Le nettoyage. Avant l'affichage, les scripts contenus dans l'e-mail sont retirés. Un bout de code caché dans le message n'a donc aucune occasion de s'exécuter dans votre navigateur.
- L'affichage isolé. L'e-mail nettoyé s'ouvre dans un cadre isolé, séparé du reste de la page. Son contenu ne peut atteindre ni votre boîte de réception, ni votre adresse, ni vos informations de session.
Les pièces jointes, elles, ne sont jamais affichées. Cela peut sembler un manque en pratique, mais sachant qu'une bonne partie des fichiers malveillants circulant par e-mail passent par les pièces jointes, c'est un atout côté sécurité. Le volet technique est détaillé dans notre article sur la sécurité des e-mails HTML.
À quoi ressemble un usage sûr, concrètement ?
Une boutique d'électronique propose un code de réduction sur la première commande, à condition de créer un compte. Le scénario sûr se déroule ainsi. Vous copiez l'adresse temporaire et remplissez le formulaire, l'e-mail de vérification arrive en quelques secondes, vous vérifiez avant de cliquer que le lien mène bien au domaine de cette boutique, vous récupérez le code. Si vous passez commande, vous remplacez l'e-mail du compte par votre adresse permanente pour les factures et les avis d'expédition, ou vous choisissez la commande sans compte.
Le scénario risqué, c'est d'acheter un produit cher dans cette même boutique en laissant le compte sur l'adresse temporaire. Quand la boutique vous écrit au sujet d'un retour ou de la garantie, l'e-mail est supprimé sous 24 heures ; vous n'en saurez peut-être jamais rien. Même outil, résultat complètement différent selon l'usage.
Avantages et inconvénients en un tableau
| Sujet | Avec un mail temporaire | Point d'attention |
|---|---|---|
| Données d'identité | Aucune demandée, pas d'inscription | Ne remplissez pas non plus les autres champs du formulaire sans nécessité |
| Spam | N'atteint pas votre boîte principale | Le spam reçu sur l'adresse temporaire est supprimé au bout de 24 heures |
| Code malveillant | Scripts retirés, e-mail ouvert dans un cadre isolé | Vérifiez l'adresse d'un lien avant de cliquer |
| Pièces jointes | Non affichées | Pour recevoir un document, utilisez une adresse permanente |
| Récupération de compte | Uniquement avec la clé de récupération | À proscrire pour les comptes importants |
| Accès | Dans votre session ou avec la clé | Ne partagez la clé avec personne |
Où ne pas utiliser d'adresse jetable ?
La règle est simple. Si vous devrez vous reconnecter à un compte dans des mois ou des années, ce compte doit reposer sur une adresse permanente. Concrètement :
- Comptes bancaires, de paiement et de cryptomonnaies
- Démarches administratives et échanges avec les organismes publics
- Travail, études et services de santé
- Abonnements payants, achats dont vous recevrez la facture et la garantie
- Votre compte principal de réseau social et les comptes qui servent d'adresse de récupération pour d'autres
Si vous ouvrez l'un de ces comptes avec une adresse temporaire, le vrai risque n'est pas le piratage, c'est de perdre l'accès à votre propre compte. Pour une liste plus complète et ses raisons, voyez l'article ce qu'il ne faut pas faire avec un mail temporaire.
La clé de récupération, un petit secret qui compte beaucoup
Sous la zone d'adresse, à côté de l'icône de clé verte, vous voyez un code de 8 caractères, par exemple K7MP-4XQA. Grâce à la rubrique « Récupérer l'e-mail » du menu en haut de page, ce code vous permet d'ouvrir la même boîte de réception dans un autre navigateur ou sur un autre appareil. Il fonctionne pendant environ un an, même après l'expiration de l'adresse.
En somme, la clé est comme le mot de passe de cette boîte. Quiconque la connaît peut y entrer.
- Cliquez dessus pour la copier, puis enregistrez-la dans votre gestionnaire de mots de passe ou dans une note personnelle.
- Ne partagez pas de capture d'écran dans des groupes de discussion très fréquentés, sur des ordinateurs partagés ou sur les réseaux sociaux.
- Si vous pensez que quelqu'un d'autre a eu accès à la clé, n'utilisez plus cette adresse pour quoi que ce soit d'important ; prenez une nouvelle adresse depuis la page d'accueil.
Nous détaillons l'utilisation de la clé étape par étape dans notre guide de la clé de récupération.
Questions fréquentes
Quelqu'un d'autre peut-il voir les e-mails reçus sur mon adresse temporaire ?
La boîte de réception ne s'ouvre que dans la session où vous avez créé l'adresse, ou avec la clé de récupération de cette adresse. Tant que vous ne partagez votre clé avec personne, personne d'autre ne peut accéder à vos e-mails.
Est-ce sûr de cliquer sur un lien reçu sur un mail temporaire ?
L'e-mail lui-même est nettoyé et affiché de façon isolée, mais le site vers lequel mène le lien est une autre histoire. Avant de cliquer, vérifiez que le lien mène bien au site que vous attendez.
Pourquoi je ne vois pas les pièces jointes ?
Les pièces jointes ne sont pas affichées, pour des raisons de sécurité. Si vous devez recevoir un document, utilisez une adresse e-mail permanente.
Combien de temps les e-mails sont-ils conservés ?
Les e-mails reçus sont supprimés automatiquement au bout de 24 heures. La clé de récupération vous permet de revenir plus longtemps sur l'adresse elle-même, mais les anciens e-mails ne reviennent pas.
Utiliser une adresse mail jetable, est-ce légal ?
L'utiliser pour protéger votre propre vie privée est légal ; s'en servir pour escroquer ou usurper l'identité de quelqu'un est en revanche une infraction, comme avec n'importe quel outil. Plus de détails dans cet article.