Arrêter le spam : ce qui marche, ce qui aggrave les choses

D’où vient vraiment le spam

Il y a quatre façons pour une adresse de finir sur une liste, et elles laissent des traces différentes. Savoir laquelle s’est produite compte plus qu’il n’y paraît, car le remède diffère selon les cas — et trois des quatre sont irréversibles une fois faites, ce qui est tout l’argument de la seconde moitié de ce guide.

Trois de ces quatre lignes se terminent par le même constat : une fois une adresse sur une liste, elle y reste. Il n’existe aucune autorité à qui faire appel, aucun opt-out central qu’un spammeur respecte, et aucun bouton nulle part qui la retire. Ce que vous pouvez encore changer, c’est ce que vous donnez ensuite — c’est pourquoi ce guide se termine ainsi plutôt que par une liste plus longue de filtres.

Le lien de désabonnement : quand il fonctionne, et quand il confirme votre existence

Se désabonner d’une entreprise à laquelle vous vous êtes réellement inscrit fonctionne, et vite — parce que depuis 2024, les grands fournisseurs de messagerie en ont fait une condition de livraison plutôt qu’une simple courtoisie. Un expéditeur qui envoie du courrier en masse vers Gmail, Yahoo Mail ou Outlook.com doit proposer un désabonnement en un clic, y donner suite sous deux jours, authentifier son courrier et maintenir ses plaintes sous environ un tiers de point de pourcentage. Un expéditeur qui l’ignore cesse purement et simplement d’arriver. De votre côté, la conformité ressemble à ceci :

From: "Example Shop" <news@example.com>
List-Unsubscribe: <https://example.com/u/8f21c4>,
        <mailto:unsubscribe@example.com?subject=unsub-8f21c4>
List-Unsubscribe-Post: List-Unsubscribe=One-Click
Authentication-Results: mx.example.org;
        spf=pass smtp.mailfrom=mail.example.com;
        dkim=pass header.d=example.com;
        dmarc=pass header.from=example.com

Deux de ces lignes forment le mécanisme. List-Unsubscribe indique où se désabonner, dans un en-tête plutôt que dans le texte ; List-Unsubscribe-Post signale que l’expéditeur acceptera un simple POST comme unique échange, sans page à charger ni formulaire à remplir. C’est cette paire que votre messagerie lit pour afficher un lien Se désabonner à côté du nom de l’expéditeur — une requête différente de celle contenue dans le corps du message.

Ce qui transforme une décision qui semble risquée en une décision à trois issues :

Il y a un bouton Se désabonner à côté du nom de l’expéditeur

Utilisez-le. Votre fournisseur fait la requête, l’expéditeur apprend seulement qu’une adresse s’est désabonnée, et Gmail comme Outlook.com enregistrent le clic comme un signal concernant cet expéditeur.

Il n’y a pas de bouton, mais vous êtes certain d’avoir un compte chez cet expéditeur

Ouvrez le message sans charger les images distantes, vérifiez dans l’en-tête que dmarc=pass nomme bien le domaine propre à la marque, puis utilisez le lien. C’est votre certitude qui fait le travail ici, pas le lien.

Vous ne vous êtes jamais inscrit, ou l’en-tête ne tient pas la route

Ne cliquez sur rien. Signalez-le comme spam et fermez-le. Le lien est une URL de suivi, unique à vous, et le suivre est exactement la façon dont une liste qui a deviné votre adresse confirme cette supposition.

La forme mailto: présente dans le même en-tête existe dans le même but et est sûre dans les mêmes cas — elle envoie un message nu, sans passer par un navigateur. C’est aussi la forme que personne n’a jamais bien implémentée en vingt ans, donc traitez-la comme un recours plutôt que comme un plan.

Signaler comme spam, bloquer ou supprimer : ce que votre fournisseur apprend de chacun

Quatre commandes se trouvent à un centimètre les unes des autres dans chaque messagerie, et elles font quatre choses sans rapport entre elles. Une seule rend le mois prochain plus calme.

Courrier indésirable / Signaler comme spam

La seule qui entraîne quoi que ce soit. Votre propre filtre en tient compte immédiatement, et le signalement est mis en commun avec celui de tous les autres : un expéditeur dont le taux de plaintes dépasse environ un tiers de point de pourcentage commence à atterrir dans le dossier spam de personnes qui ne se sont jamais plaintes. C’est le bouton le plus efficace de cette page.

Bloquer l’expéditeur

Une règle qui n’existe que dans votre compte, appliquée à une adresse ou un domaine que l’expéditeur a choisi et peut changer en une seconde. Utile contre une personne insistante, inutile contre une campagne — ce qui explique pourquoi la même offre revient depuis news-2@ la semaine suivante.

Supprimer

N’apprend rigoureusement rien. Le message a disparu et le filtre se trompe exactement autant qu’un instant plus tôt, si bien que le suivant atterrit aussi dans la boîte de réception. C’est l’erreur la plus courante de cet article.

Le déplacer vers un dossier, ou le filtrer

Cache le problème à vos yeux et à ceux du filtre en un seul geste. Cela vaut la peine pour du courrier que vous avez demandé et ne voulez pas voir ; c’est activement contre-productif comme façon de traiter du courrier que vous n’avez jamais demandé.

Signaler comme hameçonnage

Un circuit différent de celui du spam, chez Google comme chez Microsoft, avec des personnes et des demandes de retrait au bout. Utilisez-le quand un message usurpe l’identité de quelqu’un — une banque, un collègue, une société de livraison — plutôt que de simplement vendre quelque chose.

Il existe une cinquième commande, et elle compte autant que la première : sortir un message hors du dossier spam est aussi une forme d’entraînement. Une newsletter que vous sauvez apprend au filtre que cet expéditeur est désiré, dans votre compte comme dans l’ensemble. C’est pourquoi un filtre que vous utilisez honnêtement depuis un an vaut mieux qu’un filtre auquel vous n’avez jamais touché.

Dix secondes dans l’en-tête, avant de décider quoi que ce soit

Tout ce qui précède repose sur une seule question — cet expéditeur est-il bien qui il prétend être — et la réponse tient en trois lignes de texte que toute messagerie peut vous montrer. Voici la même boutique que tout à l’heure, sauf que ce n’en est pas une :

From: "Example Shop" <news@examp1e-shop.net>
Return-Path: <b7f2@mailer-4471.example.net>
Authentication-Results: mx.example.org;
        spf=pass smtp.mailfrom=mailer-4471.example.net;
        dkim=none;
        dmarc=none

Rien de tout cela n’est un faux au sens technique. spf=pass est parfaitement vrai : l’expéditeur contrôle réellement mailer-4471.example.net et s’est réellement autorisé lui-même à envoyer depuis ce domaine. Ce qui manque, c’est toute affirmation concernant example.com, dont le nom figure dans la ligne d’affichage et dont le message porte la marque. Quatre choses à regarder, dans cet ordre :

1. L’adresse, pas le nom. Example Shop est du texte libre que l’expéditeur tape. La partie entre chevrons est l’affirmation — et ici, on lit examp1e-shop.net, avec un chiffre à la place d’une lettre.
2. dmarc=, et le domaine qu’il nomme. dmarc=pass header.from=example.com signifie que le domaine propre à la marque a garanti ce message. dmarc=none signifie que personne ne l’a fait. Un succès sur un domaine autre que celui de From: prouve seulement qu’un inconnu possède un domaine.
3. Return-Path: comparé à From:. Les véritables expéditeurs en masse acheminent leurs rebonds via leur propre infrastructure d’envoi, si bien que les deux correspondent rarement à l’identique. Ce qui doit correspondre, c’est l’organisation : mail.example.com sous example.com est normal, mailer-4471.example.net sous ce même nom ne l’est pas.
4. L’existence même d’un List-Unsubscribe. Son absence dans quelque chose qui se prétend message marketing est en soi la réponse — un véritable expéditeur en masse ne peut plus se permettre de l’omettre.

Ce que l’ouverture révèle, avant même que vous ne touchiez à quoi que ce soit

Un message que vous n’avez jamais demandé est une question posée à votre sujet, et y répondre ne coûte rien à l’expéditeur mais vous coûte quelque chose. Quatre choses partent dès que vous en ouvrez un avec les images activées :

• Que l’adresse est active et lue par une personne. Le fait le plus précieux qui soit à propos d’une adresse sur une liste, et celui qui décide si elle sera revendue.
• Quand vous le lisez, et à quelle fréquence. Le pixel est requêté chaque fois que le message s’affiche, pas une seule fois.
• Approximativement où vous êtes, et sur quoi vous lisez. La requête transporte une adresse IP et un user-agent comme n’importe quelle autre.
• Lequel de leurs messages vous avez ouvert. L’URL est unique par destinataire, si bien que la réponse est propre à chaque adresse plutôt qu’agrégée.

Tous les grands fournisseurs font désormais transiter les images distantes par leur propre proxy, ce qui atténue ce que cela révèle sur votre position mais pas ce que cela confirme : la requête a quand même lieu, et elle dit toujours qu’une adresse a ouvert le message. Bloquer les images jusqu’à ce que vous les demandiez est un réglage présent dans chaque messagerie, et le meilleur choix par défaut de cette page. Les pixels de suivi dans les e-mails couvre le mécanisme, et ce que les bloquer apporte ou n’apporte pas. Ici, elles sont bloquées par la politique sous laquelle le message est servi plutôt que par une modification du message, donc il n’y a rien à activer.

L’unique solution qui passe à l’échelle : une adresse différente par service

Chaque commande vue plus haut est une façon de réagir à un courrier déjà arrivé sur une adresse que l’expéditeur possède déjà. La seule approche qui réduit le volume plutôt que de le trier consiste à rendre l’adresse elle-même sacrifiable — de sorte qu’une fuite désigne le service qui l’a laissée filer et puisse être coupée sans toucher à rien d’autre. Il y a quatre façons de faire cela, et elles diffèrent sur des points qu’il vaut la peine de connaître avant d’en choisir une :

Le choix ne se fait pas entre elles une fois pour toutes ; il se fait à chaque inscription, et la question qui le tranche est celle de burner, alias ou mail jetable : cela vous dérangerait-il de perdre ce compte ? Pour une boutique où vous n’achèterez qu’une fois, une adresse jetable est à la fois la bonne réponse et la moins chère. Pour votre banque, c’est une catastrophe. Pour les deux cents inscriptions entre les deux, une adresse sur un domaine qui vous appartient est celle qui continue de fonctionner.

Une étiquette plus figure sur cette liste parce que c’est ce vers quoi les gens se tournent en premier, pas parce qu’elle mérite de passer avant les autres. Elle trie le courrier à merveille et ne cache absolument rien.

L’adresse qui est déjà dans la nature

Une adresse qui figure sur les listes y reste pour de bon, et repartir d’une adresse vierge vaut moins que ce qu’on croit : une nouvelle adresse rejoint les mêmes listes en à peu près le même temps, à moins que ce que vous donnez ensuite ne change aussi. La démarche utile n’est donc pas de repartir à zéro, mais de trier, dans cet ordre :

1. Arrêtez d’aggraver les choses. Ne la publiez pas en texte brut sur une page, ne l’utilisez pas comme contact public d’un domaine, et donnez autre chose au prochain formulaire.
2. Migrez ce que vous ne pouvez pas vous permettre de perdre. La banque, l’administration, votre bureau d’enregistrement de domaine, et surtout l’adresse de récupération de vos autres comptes. C’est une liste courte, et c’est toute la raison de faire quoi que ce soit de tout cela.
3. Changez d’abord l’adresse de récupération, puis l’adresse de connexion. Dans cet ordre, à chaque fois. Faire l’inverse, c’est exactement comment on finit par se verrouiller hors du compte qu’on essayait de protéger.
4. Laissez le reste tranquille. Deux cents comptes de boutiques n’ont pas besoin d’être migrés. Laissez-les garder l’ancienne adresse, et laissez l’ancienne adresse devenir celle que vous survolez plutôt que celle où vous vivez.
5. Puis laissez le filtre travailler. Signalez plutôt que de supprimer, sauvez ce qui a été capturé à tort, et laissez-lui un mois. Un filtre que vous avez entraîné honnêtement bat n’importe quelle règle que vous pourriez écrire à la main.

Ce qui fait l’intérêt d’un tri, c’est qu’il se termine. Il n’existe aucune version où l’ancienne adresse redevient propre ; il existe une version où elle cesse d’avoir de l’importance, et cela prend un après-midi.

La version courte

1. Préférez le bouton Se désabonner que votre messagerie place à côté du nom de l’expéditeur, plutôt que le lien à l’intérieur du message.
2. Ne vous désabonnez que des expéditeurs que vous pouvez prouver : dmarc=pass sur le domaine indiqué dans From:.
3. Ne cliquez sur rien dans un message auquel vous ne vous êtes jamais inscrit. Le lien, c’est la mesure.
4. Signalez comme spam plutôt que de supprimer. Supprimer n’apprend rien à votre filtre.
5. Sauvez aussi le courrier filtré à tort — c’est aussi de l’entraînement, dans l’autre sens.
6. Désactivez les images distantes par défaut, dans chaque messagerie que vous utilisez.
7. Donnez à la prochaine inscription une adresse qui n’existe que pour elle : une étiquette si c’est tout ce que vous avez, une adresse sur votre propre domaine si vous le pouvez, une adresse jetable si vous ne voulez plus jamais entendre parler d’eux.

Les six premiers rendent ce mois-ci plus calme. Le septième est le seul qui rende l’année prochaine plus calme.

Questions