Votre adresse e-mail circule beaucoup plus que vous ne le croyez. Entre les inscriptions à des newsletters, les comptes sur des marketplaces et les formulaires de contact, elle finit souvent revendue ou stockée dans des bases qui fuient tôt ou tard. Une technique simple permet de tracer ces fuites et de limiter les dégâts : les alias, aussi appelés « plus addressing ».
Qu’est-ce qu’un alias e-mail ?
L’alias e-mail est une fonctionnalité que beaucoup d’utilisateurs méconnaissent encore. Gmail l’a popularisée au début des années 2000. Le principe est resté le même : ajouter un tag distinctif à votre adresse pour savoir d’où viennent les messages reçus. Concrètement, vous collez un signe « + » entre votre nom d’utilisateur et le nom de domaine.
Exemple : si votre adresse principale est votreadresseemail@gmail.com, vous pouvez renseigner votreadresseemail+newsletter@gmail.com lors d’une inscription. Les messages arrivent dans la même boîte, avec l’alias visible dans le champ destinataire. Si vous commencez à recevoir du spam sur +newsletter, vous savez que la source de la fuite vient du site où vous aviez utilisé ce tag précis. Pratique pour reprendre le contrôle sans changer d’adresse principale.
Côté filtrage, Gmail reconnaît nativement l’alias dans les règles. Passez par Paramètres > Filtres et adresses bloquées > Créer un filtre. Dans le champ « À : », renseignez votreadresseemail+newsletter@gmail.com, puis choisissez une action : appliquer un libellé, ignorer la boîte de réception ou supprimer directement. La boîte reste propre et vous gardez la trace des expéditeurs qui vendent votre adresse.
Activer Hide My Email sur iCloud+
Chez Apple, les abonnés à iCloud+ disposent de Hide My Email. La fonction génère automatiquement des adresses aléatoires qui masquent votre vraie adresse tout en redirigeant les messages vers votre boîte principale. La logique diffère du « + ». Le site que vous venez d’inscrire ne voit jamais votre vraie adresse. Vous désactivez l’alias quand bon vous semble.
Sur iPhone et iPad, ouvrez Réglages, touchez votre nom en haut, puis iCloud, puis Hide My Email. Vous pouvez créer autant d’adresses que vous le souhaitez, sans plafond sur l’abonnement iCloud+. Chaque alias peut recevoir un libellé (« Compte Shopify », « Newsletter Le Monde ») pour vous y retrouver plus tard.
Sur Safari, quand un site vous demande une adresse lors d’une inscription, iOS propose directement « Masquer mon adresse e-mail ». Une adresse aléatoire est créée à la volée et associée au formulaire. Même logique dans l’app Mail : au moment de rédiger un nouveau message, touchez le champ De et sélectionnez une adresse Hide My Email existante pour envoyer depuis un alias plutôt que depuis votre vraie adresse.
Pour révoquer un alias, retournez dans Réglages > iCloud > Hide My Email, puis désactivez l’adresse. Les messages s’arrêtent net, sans notification à l’expéditeur.
Sur Mac, ouvrez Réglages système (menu Apple), cliquez sur votre nom, puis iCloud, puis Masquer mon adresse e-mail. Même interface, même création instantanée. La fonctionnalité est disponible depuis macOS Ventura (13) et se retrouve aussi dans Safari pour remplir les formulaires d’inscription directement depuis le bureau, sans passer par l’iPhone.
Alias iCloud Mail classique, sans abonnement iCloud+
Pour ceux qui n’ont pas souscrit à iCloud+, un autre mécanisme existe côté iCloud Mail. Depuis un navigateur, connectez-vous à iCloud.com, ouvrez Mail, puis l’icône des réglages en bas à gauche, section Compte > Alias. Vous pouvez ajouter jusqu’à 3 alias iCloud Mail gratuits associés à votre compte. Ces alias fonctionnent comme des adresses secondaires classiques. Aucune randomisation, aucun abonnement payant non plus. Utile pour séparer sphère perso et inscriptions services si vous ne voulez pas passer à iCloud+.
Deux limites. Le plafond de 3 alias est définitif : une adresse supprimée ne libère aucune place. L’envoi depuis un alias classique ne fonctionne que depuis iCloud.com ou l’app Mail d’Apple.
Avantages et inconvénients de l’alias e-mail
Côté atouts, l’alias donne un filet de sécurité gratuit : vous routez des types de messages vers des dossiers spécifiques grâce aux filtres. Les plateformes qui abusent se repèrent en quelques jours. La mise en place demande zéro abonnement supplémentaire chez Gmail, Outlook, Yahoo ou Fastmail, qui supportent tous la syntaxe « + ».
Côté limites, certains formulaires refusent encore les caractères « + » dans le champ e-mail. Le refus vient d’une validation trop stricte du formulaire. Le résultat reste le même : il faut une adresse alternative. Quelques hébergeurs e-mail professionnels ne reconnaissent pas non plus le plus-addressing. Pensez à tester avant de généraliser.
Alias e-mail et fuites de données : ce que les chiffres révèlent
La question de la vie privée est devenue centrale. Selon le bilan RGPD publié par la CNIL, 5 629 notifications de violations de données ont été reçues en 2024, soit +20 % par rapport à 2023. La tendance ne fléchit pas : en 2025, la CNIL a enregistré 6 167 notifications sur l’année complète (+9,5 % supplémentaires). Le seul premier trimestre 2026 affiche déjà 2 730 signalements. Dans ce contexte, l’alias e-mail devient un outil de protection concret. Le spam continue d’arriver. L’alias désigne en revanche la plateforme responsable et permet de couper le lien.
Quand une base de données fuite, l’impact ne se limite pas au spam. Les adresses volées alimentent des campagnes de phishing ciblé : l’attaquant connaît votre nom, parfois votre dernière commande. Il rédige alors un message qui se fait passer pour la plateforme concernée. Avec un alias dédié, vous identifiez immédiatement que le message arrive depuis une adresse compromise avant même de l’ouvrir. Le diagnostic se pose en 2 secondes, sans passer 10 minutes à examiner les en-têtes du message.
L’autre risque souvent ignoré : la corrélation d’identités. Un attaquant qui dispose de votre adresse principale peut relier vos comptes sur d’autres plateformes (LinkedIn, GitHub, forums). Un alias par service brise ce lien. La boutique en ligne sait uniquement que vous utilisez son alias dédié ; elle n’a aucun moyen de le relier à votre identité principale ailleurs.
L’alias protège aussi contre les traceurs invisibles. Certains expéditeurs intègrent des pixels espions dans leurs e-mails : un fichier image de 1×1 pixel qui s’active à l’ouverture et transmet l’heure de lecture avec votre adresse IP, laquelle trahit une localisation approximative. En combinant alias et désactivation du chargement des images distantes (option disponible dans Apple Mail, Proton Mail et Thunderbird), vous fermez les deux portes à la fois.
Quand l’alias d’une plateforme commence à recevoir du spam, la réaction dépend du degré d’exposition. Pour un alias Gmail en plus-addressing, un filtre ciblé suffit si la fuite est encore limitée. Pour un alias SimpleLogin ou addy.io, désactivez l’alias en un clic et créez-en un nouveau pour migrer les contacts légitimes. Conservez une note de l’alias compromis et de la plateforme concernée : cette trace devient utile si la même plateforme fait l’objet d’une notification CNIL ou d’une procédure collective plusieurs mois après la fuite.
L’intérêt principal reste la transparence. Vous gardez la trace de qui a reçu quelle version de votre adresse. La révocation intervient au moment où les abus commencent. C’est une forme d’hygiène numérique qui complète un bon gestionnaire de mots de passe et une authentification à deux facteurs.
Les alternatives aux alias classiques
À côté de l’ajout d’un « + » ou de Hide My Email, d’autres solutions existent. SimpleLogin (racheté par Proton en 2022) propose 10 alias gratuits, puis passe en illimité à environ 3 euros par mois (2,99 $, facturés en dollars). Chaque alias se désactive ou se renomme depuis le tableau de bord. addy.io (ex-AnonAddy, rebrandé en 2023) fonctionne sur le même modèle, avec un plafond gratuit un peu plus généreux sur la bande passante. Les deux services proposent une extension navigateur qui génère un alias à la volée sur chaque formulaire.
Firefox Relay (Mozilla) offre 5 alias gratuits sans compte Proton requis. Le démarrage est plus rapide que chez SimpleLogin, sans chiffrement PGP ni domaine personnalisé. DuckDuckGo Email Protection pousse le concept plus loin : ses alias @duck.com filtrent les traceurs email avant de vous transférer les messages. Le filtrage anti-spam et le blocage des pixels tombent dans le même paquet.
Dernier étage pour qui possède un nom de domaine : le catch-all. Toutes les adresses d’un domaine atterrissent dans la même boîte, ce qui autorise un alias inventé à la volée au moment de remplir le formulaire, sans rien créer au préalable. SimpleLogin, addy.io et Proton Mail acceptent tous un domaine personnalisé sur leurs offres payantes. Le revers, c’est qu’un domaine perso identifie son propriétaire par le registre WHOIS, ce qui annule l’anonymat recherché par certains.
Les e-mails jetables, eux, expirent après quelques heures ou quelques jours. Utiles pour vérifier une fois un code d’activation, moins pour un compte que vous comptez garder. Enfin, les services comme Proton Mail ou Tuta intègrent directement la gestion d’alias dans leur offre, avec chiffrement de bout en bout en bonus.
Ce que chaque méthode apporte concrètement
- Identification rapide des plateformes qui revendent votre adresse
- Gestion fine des newsletters et des comptes services grâce aux filtres automatiques
- Adaptabilité selon les fournisseurs et les outils déjà adoptés
- Surveillance continue pour ajuster votre stratégie anti-spam sur la durée
Scénarios d’utilisation et recommandations pratiques
La bonne méthode dépend de votre usage. Si vous multipliez les inscriptions en ligne, variez les alias associés à chaque service : avec le temps, vous obtenez un réseau de traçage minutieux. Ce maillage limite la casse face aux partenaires qui revendent vos données sans consentement explicite.
En pratique, combinez plusieurs approches selon le niveau de sensibilité. Votre vraie adresse reste réservée à la banque et à l’administration. Les alias iCloud Hide My Email ou les adresses SimpleLogin conviennent pour les services importants mais tiers (plateformes SaaS, comptes e-commerce principaux). Le plus-addressing Gmail est parfait pour les newsletters et les inscriptions ponctuelles où vous voulez savoir qui fuite. Les e-mails jetables sont réservés aux codes d’activation à usage unique.
Concrètement, visez 3 à 5 alias actifs par grand usage (newsletters, achats en ligne, comptes pro). Au-delà, vous perdez le contrôle et l’alias devient un second désordre. Révoquez dès que vous repérez un spam récurrent : la force de Hide My Email ou de SimpleLogin, c’est justement de pouvoir fermer la porte d’un clic.
Quand un alias est submergé et que la source est introuvable, créez une version de remplacement. Avec le plus-addressing Gmail : passez de +newsletter à +newsletter2. Avec SimpleLogin ou addy.io : générez un nouvel alias, migrez les newsletters légitimes, désactivez l’ancien. Comptez 10 minutes de manipulation.
| Technique | Bénéfice | Limitation |
|---|---|---|
| Alias avec + | Traque des sources suspectes | Certains sites refusent l’adresse |
| Email temporaire | Anonymat total à court terme | Création à répéter |
| Adresses proxy (SimpleLogin, addy.io) | Alias illimités et révocables | Payant au-delà de 10 alias |
| Hide My Email (iCloud+) | Adresses aléatoires intégrées à iOS et macOS | Nécessite un abonnement iCloud+ |
Les alias restent la parade la moins coûteuse pour garder la main sur votre identité numérique. Un quart d’heure de mise en place, quelques filtres, puis la prochaine fuite se lit comme une adresse dans un champ destinataire.
