D'où viennent les listes
Une liste noire de domaines jetables est un fichier texte : un domaine par ligne, des dizaines de milliers de lignes. Plusieurs sont publiques et maintenues sur GitHub, des API de validation commerciales tiennent les leurs, et la plupart des frameworks applicatifs ont un paquet qui en fournit une. Un domaine y arrive de trois façons :
- Il apparaît sur un site de mail jetable. Les mainteneurs parcourent les pages d'accueil des services jetables et ajoutent chaque domaine qu'ils proposent.
grabmail.iofigure sur les listes exactement pour cette raison, tout comme chaque domaine public d'ici — il est imprimé sur la propre page d'accueil de ce site. - Il se comporte comme tel. Un domaine dont le MX pointe vers un service jetable connu, ou qui accepte n'importe quelle adresse aléatoire, se fait ajouter par les sondages décrits plus bas.
- Quelqu'un l'a signalé. Un site qui a vu une vague d'inscriptions venant d'un domaine le soumet, et la version suivante l'inclut.
Les listes sont volumineuses, publiques et lentes à changer dans les deux sens : un domaine ajouté par erreur y reste des mois, et un domaine véritablement jetable peut mettre des semaines à y apparaître. La seule propriété fiable, c'est qu'un domaine imprimé sur un site de mail jetable y figure, et qu'un domaine qui n'apparaît jamais nulle part publiquement n'y figure pas.
Les quatre vérifications qu'un formulaire peut effectuer
« Veuillez saisir un e-mail valide » est un seul message pour quatre vérifications différentes, et celle qui vous a refusé détermine ce qui fonctionnera à la place :
| Vérification | Comment ça fonctionne | Ce que ça attrape | Ce qui passe au travers |
|---|---|---|---|
| Liste de domaines | Le domaine de l'adresse est recherché dans une liste noire, généralement avant même que le formulaire ne soit envoyé. | Chaque domaine jetable public, à partir du jour où il a été listé. | Tout domaine absent de la liste : le vôtre, ou un domaine jamais publié. |
| Recherche MX | Le DNS est interrogé pour savoir où va le courrier du domaine. Si le MX désigne un fournisseur jetable connu, l'adresse est refusée. | Les domaines pointés vers le serveur de messagerie d'un fournisseur listé — y compris, parfois, votre propre domaine pointé ici. | Un domaine dont le MX ne figure pas sur la liste de fournisseurs. Plus rare que la vérification par domaine, parce que ça coûte une requête DNS par inscription. |
| Sondage catch-all | Le serveur du site ouvre une conversation SMTP et demande au MX si une adresse aléatoire sur le domaine serait acceptée. | Chaque domaine catch-all, jetable ou non — y compris le catch-all propre à une entreprise. | Un domaine qui refuse les adresses inconnues, ce qu'une boîte catch-all, par définition, ne fait pas. |
| Score de risque du fournisseur | L'adresse est envoyée à une API de validation qui combine tout ce qui précède avec son propre historique et renvoie un score. | Tout ce que ce fournisseur a déjà vu, ce qui représente beaucoup de choses. | Les adresses dont le fournisseur n'a aucun historique — ce qui est le cas de la plupart des adresses sur un domaine que personne n'a utilisé auparavant. |
La première vérification est de loin la plus courante, parce qu'elle est gratuite et s'exécute dans le navigateur. La troisième est celle qui compte pour la suite de ce guide : c'est la seule vérification qui refuse un domaine qui vous appartient, et c'est la raison d'être du pool payant.
Pourquoi les sites font ça, et ce que ça leur coûte
Il est facile de lire un refus comme une hostilité. C'est généralement de l'arithmétique, et cette arithmétique mérite d'être comprise, parce qu'elle indique quels sites ne céderont jamais :
- Abus d'essais gratuits et de crédits
- Un service qui offre des crédits, des minutes ou un mois gratuit par compte se fait inscrire mille fois par heure par des scripts. Bloquer les domaines jetables retire le moyen le moins cher de faire ça. Ces sites n'arrêteront pas de bloquer, et ne le devraient pas.
- Bounces et délivrabilité
- Le courrier envoyé à des adresses qui expirent finit en bounce, et un taux de bounce au-delà d'un ou deux pour cent fait brider le domaine de l'expéditeur par chaque grand fournisseur de messagerie. Un site qui envoie beaucoup de courrier protège sa propre réputation en n'envoyant pas à des adresses qui n'existeront plus la semaine prochaine.
- Fraude et rétrofacturations
- Tout ce qui touche au paiement est noté, et un domaine non reconnu ou jetable est une donnée d'entrée parmi d'autres. Ici, le blocage vient souvent du score plutôt que d'une liste.
Ce que ça leur coûte est réel aussi : chaque liste porte son lot de faux positifs — petits fournisseurs de messagerie, domaines universitaires, catch-all propre à une entreprise — et chaque inscription refusée est une personne qui a tapé une véritable adresse et à qui l'on a dit qu'elle était invalide. Un site qui bloque sans dire pourquoi perd ces personnes en silence. La dernière section s'adresse à ceux qui gèrent de tels formulaires.
Pourquoi changer le nom avant le @ n'aide jamais
Le réflexe après un refus est d'essayer john.smith au lieu de js. Ça ne fait rien. Aucune des quatre vérifications ne regarde la partie locale — la liste est une liste de domaines, la recherche MX est par domaine, le sondage est par domaine, et le score traite le domaine comme le signal le plus fort. Chaque adresse sur grabmail.io est refusée en bloc, tout comme chaque adresse sur mixozia.com et linqmail.com.
Ça vaut la peine de le dire clairement, parce que l'inverse est vrai aussi : ce qui fonctionne, c'est de changer de domaine, et seulement ça. Tout ce qui suit dans la section suivante est un domaine différent.
Trois façons honnêtes de contourner ça
Chacune de ces solutions est un domaine différent, et chacune répond à une vérification différente. Choisissez en fonction de la vérification qui vous a refusé et de l'usage du compte :
| Façon de contourner | Passe outre | Coûte | Adapté quand |
|---|---|---|---|
| Un domaine qui vous appartient, pointé ici avec un enregistrement MX | La liste de domaines et le score du fournisseur. Pas la recherche MX sur un site strict, ni le sondage catch-all. | Un domaine que vous possédez déjà, ou un domaine bon marché. Aucun compte, aucun frais. | Tester votre propre application, ou une adresse personnelle pour des inscriptions que vous aimeriez garder fonctionnelles. |
| Un domaine issu du pool tenu à l'écart des listes | Les quatre vérifications : les domaines ont l'apparence de .com ordinaires, ne sont jamais publiés, ont des enregistrements MX simples, et sont vérifiés par rapport aux listes publiques chaque jour. | Un abonnement mensuel, depuis la page tarifs. Un accès API au pool, lu avec une clé. | Une automatisation qui doit s'inscrire sur des sites qui bloquent fermement, et pour qui le domaine qui vous appartient a lui aussi été refusé. |
| Un alias qui redirige vers votre véritable boîte | Tout, généralement — les domaines d'alias figurent sur certaines listes, mais la plupart des formulaires les acceptent. | Un service d'alias, ou la fonctionnalité propre à votre fournisseur. | Un compte que vous voulez réellement garder : un compte qui pourrait avoir besoin d'une réinitialisation de mot de passe, ou qui vous envoie quelque chose qui vaut la peine d'être lu. |
Votre propre domaine, en un seul enregistrement
Ajoutez cet enregistrement MX chez votre fournisseur DNS, et chaque adresse du domaine devient une boîte ici, lisible exactement comme les boîtes publiques. Le premier message qui arrive le connecte ; il n'y a ni compte, ni formulaire à remplir. Le guide de configuration passe en revue les fournisseurs DNS courants, et des comptes de test illimités sur un seul domaine montre à quoi ça ressemble dans une suite de tests.
Enregistrement MX pour votre domaine10 smtp.grabmail.io
Le pool qui reste à l'écart des listes
Le pool existe pour une seule raison : le sondage catch-all. Un domaine qui vous appartient et pointé ici accepte chaque adresse, ce qui est précisément ce qui le rend utile et ce qu'un sondage détecte. Les domaines du pool sont de simples .com qu'aucune page de mail jetable n'a jamais imprimés, et le service vérifie chacun par rapport aux listes publiques quotidiennement ; celui qui y apparaît est retiré. C'est la seule chose payante sur ce site, et tout le reste reste gratuit, que vous le preniez ou non.
Un alias, quand le compte compte
Si le site refuse fermement et que le compte est un compte dont la perte vous contrarierait, la réponse n'est pas une meilleure adresse jetable ; c'est une adresse qui vous atteint. Un alias livre dans votre véritable boîte et peut être désactivé plus tard. Burner, alias ou mail jetable est la comparaison plus détaillée, et s'inscrire sans donner sa véritable adresse couvre les habitudes qui font fonctionner l'un ou l'autre.
Si vous gérez le formulaire : comment bien bloquer
Bloquer les domaines jetables est une chose raisonnable à faire. Mal bloquer coûte de vraies inscriptions, et la différence tient à cinq décisions :
- Vérifiez une liste, pas une heuristique. Une liste maintenue se trompe moins souvent qu'une règle du genre « refuser tout domaine de moins d'un an ». Mettez-la à jour selon un calendrier plutôt qu'au moment du déploiement.
- Ne sondez pas pour détecter un catch-all. Ça refuse chaque entreprise qui en fait tourner un, et ça oblige votre serveur à ouvrir des conversations SMTP avec des inconnus à chaque inscription. Laissez plutôt l'e-mail de vérification faire le travail.
- Vérifiez en envoyant. Une adresse qui reçoit votre e-mail de confirmation et clique dessus a prouvé plus que ce qu'aucune liste ne peut prouver. La plupart des fraudes échouent à cette étape d'elles-mêmes, parce qu'elles ne lisent jamais le courrier.
- Dites pourquoi. « Nous n'acceptons pas les adresses e-mail temporaires — utilisez-en une que vous pourrez consulter plus tard » perd moins de monde que « veuillez saisir un e-mail valide » sur un e-mail valide, et ça indique aux personnes légitimes quoi faire.
- Limitez le débit de ce qui est réellement exploité, pas de l'adresse. Si le problème, ce sont des crédits gratuits, plafonnez les crédits par moyen de paiement ou par appareil ; la vérification du domaine n'en est qu'un indicateur indirect, et un indicateur indirect, c'est précisément ce qu'on contourne.
Rien de tout cela n'arrête un fraudeur déterminé disposant d'un pool payant de domaines. Ça arrête la fraude bon marché, qui en constitue l'essentiel, sans refuser les clients qui gèrent par hasard leur propre messagerie.
La version courte
- Un refus concerne le domaine. La partie locale n'a aucune importance — n'essayez pas d'autres noms.
- Pour votre propre application : un domaine qui vous appartient, un enregistrement MX, gratuit.
- Pour l'automatisation sur des sites stricts : un domaine issu du pool tenu à l'écart des listes.
- Pour un compte que vous voulez garder : un alias qui atteint votre véritable boîte, pas une adresse jetable du tout.
Et si l'e-mail de confirmation a été accepté mais n'est jamais arrivé, c'est un problème différent qui a son propre guide : l'e-mail de vérification qui n'arrive pas.
Questions
Utiliser une adresse jetable va-t-il à l'encontre des règles du site ?
Parfois. Un site qui les bloque les interdit généralement aussi dans ses conditions d'utilisation, et un compte créé de cette façon peut être fermé. Rien ici ne vous aide à enfreindre les règles d'un site — les façons honnêtes de contourner un refus sont toutes des adresses que vous avez le droit d'utiliser, et l'option alias existe précisément pour les comptes qui comptent.
Mon propre domaine finira-t-il sur les listes ?
Seulement s'il est publié quelque part que les mainteneurs de listes parcourent, ou s'il est signalé. Un domaine qui n'apparaît jamais que dans votre propre suite de tests ou vos propres inscriptions n'a aucun moyen d'y figurer. La recherche MX peut quand même le reconnaître sur un site strict, et le sondage catch-all le fera — pour ces cas-là, le pool est la réponse.
Comment les domaines du pool sont-ils tenus à l'écart des listes ?
Ils ne sont jamais imprimés sur aucune page, ce sont des .com ordinaires avec leurs propres enregistrements MX simples, et chacun est vérifié par rapport aux listes noires publiques chaque jour. Celui qui apparaît quand même est retiré du pool. Le pool se lit via l'API avec une clé, ce que fournissent les abonnements payants.
Pourquoi le site accepte-t-il mon adresse et n'envoie-t-il ensuite jamais le courrier ?
Certains sites refusent silencieusement : le formulaire dit « consultez votre boîte » et rien n'est envoyé. Ça ressemble à un problème de livraison, mais c'est un blocage. L'e-mail de vérification qui n'arrive pas propose la vérification de soixante secondes qui distingue les deux cas.
GrabMail publie-t-il une liste de ses propres domaines ?
Les domaines publics sont sur la page d'accueil, ce qui revient à les publier. Les domaines du pool et les propres domaines des clients ne sont jamais listés nulle part, et aucun endpoint ne les énumère.
Un formulaire peut-il détecter que mon propre domaine pointe vers GrabMail ?
Une recherche MX le peut, si le site tient une liste des serveurs de messagerie des fournisseurs jetables et vérifie par rapport à elle. Peu le font, parce que ça coûte une requête DNS par inscription, mais des sites stricts existent. Un sondage catch-all le peut aussi. La vérification par liste de domaines, qui est la plus courante, ne le peut pas.
Quelle est la différence entre tout ça et un « générateur de fausse adresse » ?
Rien, à part le nom. Un générateur vous donne une adresse aléatoire sur un domaine jetable public — sur les listes, refusée par les mêmes formulaires. Ce qu'est le mail jetable démêle le vocabulaire.
