L'astuce du signe plus qui révèle d'où votre adresse a fuité (et ce qu'elle ne peut pas prouver)

Inscrivez-vous à un magasin sous vous+homedepot@example.com et à un site de billetterie sous vous+ticketmaster@example.com, et tant que rien ne supprime l'étiquette, chaque message reçu porte une indication du formulaire où l'adresse a été saisie. Quand du spam commence à arriver sur l'une de ces étiquettes, vous ne faites pas de conjecture sur l'endroit où l'adresse a commencé à circuler. Vous le lisez sur l'enveloppe.

Le mécanisme est ancien et documenté. Le sous-adressage — l'ajout d'un « détail » à la partie locale d'une adresse après un caractère de séparation, généralement + — est décrit dans la RFC 5233, publiée en janvier 2008, qui donne l'exemple de messages à ken+sieve@example.org arrivant dans une boîte aux lettres appartenant à l'utilisateur ken. Gmail documente ce comportement dans sa propre aide : sous « Filtrer avec votre alias Gmail », il affirme que « les messages envoyés aux alias suivants iront tous à janedoe@gmail.com », puis énumère janedoe+school@gmail.com, janedoe+notes@gmail.com et janedoe+important.emails@gmail.com. Une boîte aux lettres, autant de variations étiquetées que vous en avez besoin, sans configuration.

Voici la partie qui est généralement survendue, y compris dans la première version de cet article. Une étiquette identifie un point d'entrée. Elle n'identifie pas un coupable. Si une adresse remise à un seul magasin commence à recevoir du spam crypto, ce qui a été établi, c'est que l'adresse a atteint le marché plus large par cette inscription — et c'est vraiment utile. Ce qui n'a pas été établi, c'est comment. Le magasin peut avoir vendu une liste. Il peut l'avoir partagée d'une manière que sa propre politique de confidentialité permet. Il peut l'avoir remise à un processeur, un partenaire d'exécution ou une plateforme marketing qui a ensuite été piratée. La violation peut avoir eu lieu au magasin, ou trois fournisseurs plus loin. L'adresse peut avoir fuité de l'appareil ou de la boîte aux lettres du destinataire lui-même. Quelqu'un peut avoir déduit le modèle — une fois qu'un attaquant a vu vous+petco@, la forme de vous+n'importe-quoi-d'autre@ n'est pas difficile à deviner, et les étiquettes sont parfois copiées directement à partir d'un message transféré. « C'est à cette inscription que ça s'est échappé » est une conclusion solide. « Cette entreprise m'a vendu » est une affirmation différente, et une étiquette n'est pas une preuve.

Deux limites pratiques accompagnent l'astuce. La première est dans la norme elle-même : la façon dont le détail est codé est, selon les termes de la RFC 5233, « spécifique au site et/ou à l'implémentation ». Il n'y a aucune garantie qu'un fournisseur donné supporte +, le traite comme un séparateur, ou qu'un formulaire d'inscription donné accepte du tout le caractère ; les formulaires qui valident les adresses strictement le rejettent, et tout ce qui traite l'adresse ultérieurement peut le supprimer. La seconde est ce que l'étiquette peut faire une fois qu'elle a mal tourné. Un filtre sur to: vous+petco@… empêche ce message d'atteindre la boîte de réception. Il n'élimine pas l'adresse de la base de données de quiconque, et il n'arrête pas sa commercialisation ultérieure. C'est une maîtrise du côté récepteur, rien de plus.

La désinscription est l'autre moitié de cette confusion. La désinscription en un clic n'est pas une courtoisie ; pour les expéditeurs à haut volume, c'est une obligation. Les directives d'expéditeur de Google stipulent que les expéditeurs de 5,000 messages ou plus par jour aux comptes Gmail doivent « les messages marketing et les messages auxquels vous êtes abonné doivent supporter la désinscription en un clic » et « doivent inclure un lien de désinscription clairement visible dans le corps du message », tout en maintenant les taux de spam « en dessous de 0.10% » et ne jamais atteindre « 0.30% ou plus ». Yahoo Sender Hub exige un en-tête List-Unsubscribe fonctionnel plus un lien visible, avec les demandes de désinscription honorées dans les deux jours. Ce qui vous indique exactement jusqu'où le mécanisme s'étend : il est appliqué contre les expéditeurs qui veulent que leur courrier soit livré à Gmail et Yahoo. Un expéditeur qui n'a jamais eu l'intention de se conformer est complètement en dehors de ce système, et lui demander poliment d'arrêter n'est pas un contrôle que vous détenez.

Pour les inscriptions auxquelles vous ne faites pas confiance avec une adresse réelle, Apple offre deux choses distinctes qui sont fréquemment confondues. La première est iCloud+ Hide My Email, qui nécessite un abonnement iCloud+ : « quand vous vous abonnez à iCloud+, » vous pouvez « générer des adresses e-mail uniques et aléatoires », « le courrier envoyé à vos adresses aléatoires est transféré à votre compte e-mail personnel », « vous pouvez créer autant d'adresses que vous en avez besoin », et « vous pouvez également désactiver ou supprimer les adresses que vous n'utilisez plus ». La désactivation est réversible ; la suppression, note Apple, ne l'est pas. La seconde est Sign in with Apple, où se connecter à une application avec un compte Apple peut émettre une adresse de relais dans le domaine privaterelay.appleid.com au lieu de vous remettre la vôtre ; modifier l'adresse vers laquelle ce relais se transfère est elle-même une fonctionnalité iCloud+. Les deux évitent de remettre au destinataire quelque chose à supprimer ou à extraire, car il n'y a pas d'étiquette visible boulonnée à une adresse réelle — mais ce sont des fonctionnalités différentes, avec des exigences différentes, et elles méritent d'être demandées par leur nom.

L'échelle derrière tout cela est facile à vérifier et vaut la peine d'être vérifiée plutôt que citée de mémoire. La page d'accueil de Have I Been Pwned, consultée le 20 octobre 2026, affichait 17,846,550,965 adresses compromises sur 1,047 sites compromis. Ce sont des adresses apparaissant dans les violations que le projet a chargées, pas des comptes compromis, et pas un décompte de chaque violation qui s'est jamais produite. L'étiquetage ne tient pas une adresse à l'écart de la prochaine. Ce qu'il fait, c'est transformer un flot anonyme en courrier étiqueté, de sorte que quand quelque chose tourne mal, vous savez par quelle porte c'est entré — et êtes honnête avec vous-même sur ce que cela prouve et ce qu'elle ne prouve pas.

Correction, 20 octobre 2026. Une version antérieure de cet article a été écrite à la première personne et décrivait des observations personnelles d'adresses étiquetées apparaissant dans des listes de courtiers de données. L'article n'a pas d'auteur individuel identifié — il est publié par xmail en tant qu'organisation — et ce compte n'a pas pu être étayé, il a donc été réécrit comme un scénario neutre et reproductible. L'affirmation qu'une adresse étiquetée laisse « exactement un suspect » et nomme l'entreprise qui a vendu l'adresse a été corrigée : une étiquette identifie un point d'entrée, pas un coupable ou une transaction. Une déclaration selon laquelle Gmail supporte l'adressage plus depuis 2008 a été supprimée, car la documentation de Google ne donne pas de date de début ; la date de 2008 fait maintenant référence à la RFC 5233, où la convention est spécifiée. Le chiffre Have I Been Pwned, précédemment donné comme plus de 14 milliards de comptes compromis sur des milliers de violations, a été remplacé par les compteurs du site lui-même tels que lus le 20 octobre 2026. La description des adresses de relais d'Apple a été divisée en iCloud+ Hide My Email et Sign in with Apple, qui sont des fonctionnalités distinctes avec des exigences différentes, et la citation du comportement de Gmail pointe désormais vers la page d'aide qui le documente réellement. Une affirmation selon laquelle les liens de désinscription sont souvent du phishing a été supprimée par manque de source.

@@END@@