Qu’est-ce que le spam SMTP et comment le combattre ?

Tu ouvres ta boîte mail et… avalanche de pubs, arnaques et newsletters jamais demandées. Respire: on démystifie le spam SMTP et on t’équipe pour le faire taire, que tu sois simple utilisateur ou que tu gères un domaine.

Spam SMTP: c’est quoi (et pourquoi ça t’arrose) ?

Le spam SMTP, c’est l’envoi massif de courriels non sollicités via le protocole SMTP (Simple Mail Transfer Protocol), le standard qui achemine pratiquement tous les e-mails. Les spammeurs abusent d’adresses collectées (achats de listes, fuites de données, scraping) ou de comptes/serveurs compromis pour arroser des millions d’inbox.

À ne pas confondre avec:

• Phishing: spam qui imite un service pour voler tes identifiants/carte.
• Malware: pièce jointe ou lien infecté.
• Scam: promesses bidon d’argent facile, loteries, crypto miracles.

Pourquoi ça continue? Parce que l’e-mail est ouvert, interopérable, très bon marché, et qu’un faible taux de clic suffit aux fraudeurs. Les volumes fluctuent, mais restent généralement énormes.

D’où viennent tes spams ? (indices et causes courantes)

• Fuites de données: ton adresse a pu circuler après une brèche chez un site où tu t’es inscrit.
• Inscription sans opt-in clair: cases pré-cochées, partenaires « marketing » obscurs.
• Scraping: adresse publique sur un CV/portfolio/réseau social.
• Comptes compromis: si un mot de passe réutilisé fuite, ton mail peut être pillonné ou servir à spammer.
• Serveurs mal configurés: « open relay » ou politiques laxistes côté expéditeur.

💡 Astuce simple: crée des alias d’e-mail (ex: prenom+site@domaine.com). Si un alias fuite, tu sais d’où ça vient et tu peux le couper.

Tes moves rapides anti-spam (niveau utilisateur)

• Bouton « Spam/Indésirable »: utilise-le. Ça entraîne le filtre de ta messagerie et écarte les prochains.
• Désabonnement malin: ok pour les marques/liste auxquelles tu t’es vraiment inscrit(e). Évite pour les mails louches: signale en spam et supprime.
• Filtres et dossiers: trie par mots-clés, expéditeurs ou domaines. Crée un dossier « Promo », un « News », etc.
• Alias et adresses dédiées: une adresse pour les achats, une pour les réseaux, une « pro ». Plus facile à couper au besoin.
• Sécurité du compte: mot de passe unique et long (gestionnaire recommandé) + authentification à deux facteurs (2FA).
• Bloquer le chargement auto des images/liens de tracking: limite le « pixel espion » qui confirme que tu lis les mails.
• Ne réponds jamais aux spams, n’ouvre pas les pièces jointes douteuses, et survole les liens pour vérifier le vrai domaine.

Se désabonner: pour ou contre ?

✅ À faire quand:

• Tu reconnais l’expéditeur (marque/service utilisé) et le mail comporte un lien de désinscription clair et standard.
• Le client mail affiche une option « Se désabonner » intégrée (via l’en-tête List-Unsubscribe), signe d’un envoi plus propre.

❌ À éviter quand:

• Le mail est visiblement frauduleux, bourré de fautes, promet des gains, ou l’adresse d’envoi ne correspond pas au domaine annoncé.
• Le lien de désinscription est masqué, pointe vers un domaine louche, ou demande des infos perso.

Tu gères un domaine ou une newsletter ? Les réglages indispensables

Si tu envoies des mails avec ton domaine (asso, indie dev, micro-entreprise, créateur·rice), sécurise-toi pour ne pas être pris pour un spammeur et pour bloquer l’usurpation.

• SPF: déclare quelles adresses IP/serveurs sont autorisés à envoyer pour ton domaine.
• DKIM: signe tes e-mails avec une clé cryptographique; le destinataire vérifie que le contenu n’a pas été modifié.
• DMARC: aligne SPF/DKIM sur le domaine visible par l’utilisateur et définis quoi faire si ça échoue (monitoring, quarantaine, rejet) + reçois des rapports.
• Pas d’open relay: ton serveur ne doit pas relayer pour le monde entier.
• SMTP AUTH et mots de passe forts pour les comptes d’envoi; active la 2FA quand c’est possible.
• Double opt-in pour les listes: l’utilisateur confirme l’inscription via e-mail avant tout envoi.
• Hygiène de liste: supprime les rebonds durs, nettoie les inactifs, respecte les préférences.
• List-Unsubscribe: ajoute l’en-tête pour un désabonnement simple.
• Limitation de débit (rate limiting) et surveillance d’anomalies (pics d’envoi, erreurs).

SPF, DKIM, DMARC en un coup d’œil

Mécanisme	Rôle	À retenir
SPF	Liste les serveurs autorisés à envoyer pour ton domaine	Aide à empêcher l’usurpation d’adresse IP; doit aligner le domaine visible avec l’enveloppe d’envoi
DKIM	Signature cryptographique du message	Protège l’intégrité du contenu; améliore la délivrabilité si la signature est valide
DMARC	Politique qui exige l’alignement SPF/DKIM et envoie des rapports	Permet de dire « surveille », « met en quarantaine » ou « rejette » les échecs; utile pour comprendre qui envoie en ton nom

💡 Commence en mode DMARC « monitoring » (p=none) pour lire les rapports, puis durcis (quarantine → reject) quand tout est propre.

Si ta boîte explose ou si ton compte a (peut-être) fuité

• Change le mot de passe immédiatement et active la 2FA.
• Révoque les sessions/appareils et les applications connectées à ton compte mail.
• Vérifie les règles et redirections: les attaquants créent parfois une règle qui planque tes mails ou transfère tout vers leur adresse.
• Regarde le dossier « Envoyés »: si ça a spammé, préviens tes contacts de ne pas cliquer.
• Nettoie les abonnements: passe 10 minutes à te désinscrire des listes légitimes que tu ne lis plus.
• Passe un check-up d’exposition: si tu apprends une fuite liée à un site où tu étais inscrit·e, change le mot de passe là-bas aussi (et partout où tu l’aurais réutilisé).

Outils et stratégies: avantages et limites

✅ Filtres anti-spam par défaut des grands webmails

• Efficaces pour la majorité des indésirables
• Auto-apprentissage basé sur les signalements des utilisateurs

❌ Filtres trop agressifs

• Risque de faux positifs (mails légitimes en spam)
• Demande de vérifier régulièrement le dossier Indésirables

✅ Alias et adresses jetables

• Faciles à couper si elles fuitent
• T’aident à comprendre qui revend ton mail

❌ Trop d’adresses à gérer

• Tu peux perdre des messages importants si tu oublies de relever un alias

✅ SPF/DKIM/DMARC bien configurés (côté expéditeur)

• Meilleure délivrabilité et protection contre l’usurpation
• Permet de passer progressivement en politique stricte

❌ Mise en place technique

• Besoin d’accès au DNS et de tests; erreurs = mails rejetés

💡 Règle d’or: « moins, mais mieux ». Moins d’inscriptions inutiles, plus de sécurité (2FA), et un tri automatisé bien pensé: ta boîte respire et toi aussi.