Boîte mail : choisir son fournisseur et la verrouiller pour de bon

Réfléchissez une seconde : si quelqu’un prend le contrôle de votre adresse e-mail principale, il prend le contrôle de votre vie numérique. Un clic sur « Mot de passe oublié », et il réinitialise l’accès à votre banque, vos réseaux sociaux, vos achats en ligne, votre espace des impôts. Sans compter ce que la boîte contient déjà : factures, échanges médicaux, preuves d’achat.

Et pourtant, on confie tout cela à une adresse créée à la va-vite il y a quinze ans, qui sert aussi bien pour la banque que pour la moindre lettre d’information. Il est temps de faire mieux.

Gmail, Outlook, Yahoo : le prix de la gratuité

Ce sont les leaders, et ils ont de vrais atouts : une quinzaine de gigaoctets gratuits, une intégration parfaite avec l’agenda, le stockage en ligne et le téléphone. Mais la règle d’or d’Internet s’applique : quand c’est gratuit, c’est souvent vous le produit.

Google a cessé en 2017 de lire le contenu de Gmail pour cibler ses publicités. Mais ses fonctions « intelligentes » analysent toujours vos messages — pour repérer un billet d’avion ou un colis, par exemple —, et les métadonnées disent beaucoup : à qui vous écrivez, quand, à quelle fréquence.

Deux autres limites méritent d’être connues :

• Le compte bloqué. Des algorithmes surveillent la fraude, et il arrive qu’un compte soit suspendu par erreur, avec un recours humain difficile à obtenir. Perdre son compte Google, c’est perdre d’un coup ses e-mails, ses photos et ses documents.
• Le droit américain. Ces services relèvent du CLOUD Act : les autorités des États-Unis peuvent leur demander vos données, même stockées en Europe.

Proton et Tuta : le chiffrement de bout en bout

Ces services chiffrent vos messages de façon que l’entreprise elle-même ne puisse pas les lire : même un piratage de leurs serveurs, ou une saisie des disques, ne livrerait que des données illisibles.

	Proton Mail	Tuta
Pays	Suisse	Allemagne
Points forts	Interface très proche de Gmail, écosystème complet (agenda, stockage, VPN, gestionnaire de mots de passe)	Chiffre davantage de choses, y compris l’objet des messages ; moins cher
À savoir	L’objet des messages n’est pas chiffré de bout en bout	Interface plus austère

Une précision honnête : le chiffrement de bout en bout fonctionne pleinement entre utilisateurs du même service. Un message que vous envoyez à une adresse Gmail arrive en clair chez Google, comme n’importe quel e-mail. Ces services protègent votre boîte ; ils ne peuvent pas protéger celle de vos correspondants.

Infomaniak : l’alternative européenne de confiance

Tout le monde n’a pas besoin d’un chiffrement digne d’un lanceur d’alerte. Souvent, on veut juste un bon service, hébergé en Europe, respectueux du RGPD, qui ne vit pas de la publicité.

Infomaniak, hébergeur suisse, coche ces cases. Il propose une offre gratuite, avec une adresse et un espace de stockage en ligne. Ce n’est pas du chiffrement de bout en bout : l’entreprise pourrait techniquement lire vos messages. Mais son modèle économique repose sur la vente de services, pas sur l’exploitation de vos données.

Les alias : ne plus jamais donner sa vraie adresse

Utiliser la même adresse sur cent cinquante sites, c’est la garantir dans chaque fuite de données : phishing, spam, et tentatives de connexion avec vos mots de passe volés. La parade s’appelle l’alias : une adresse unique par site, qui transfère les messages vers votre vraie boîte.

Concrètement, vous vous inscrivez dans une boutique en ligne :

1. votre service d’alias génère une adresse du type boutique.h8f9@exemple-alias.com ;
2. la boutique écrit à cet alias, qui vous transfère le message ;
3. si la boutique se fait pirater ou commence à vous inonder, vous désactivez l’alias en un clic. Votre vraie adresse n’a jamais été exposée.

Les services les plus connus : SimpleLogin (intégré à Proton), addy.io, Firefox Relay, DuckDuckGo Email Protection, et Masquer mon adresse e-mail pour les abonnés iCloud+ d’Apple.

Le nom de domaine : devenir propriétaire de son adresse

Avec une adresse @gmail.com, vous êtes locataire chez Google. Avec @proton.me, locataire chez Proton — un propriétaire plus respectueux, mais un propriétaire quand même.

L’étape ultime : votre propre nom de domaine. Pour une dizaine d’euros par an, nomdefamille.fr vous appartient, et vous le branchez sur Proton, Infomaniak ou un autre fournisseur. Le jour où ce fournisseur double ses prix ou ferme, vous déplacez votre domaine ailleurs : vous gardez votre adresse, et vos contacts ne voient aucune différence.

Verrouiller la boîte

Le meilleur fournisseur ne sert à rien si l’on entre avec un mot de passe volé.

Un mot de passe unique, long et aléatoire, que vous n’utilisez nulle part ailleurs, rangé dans un gestionnaire de mots de passe. Si un forum où vous utilisiez le même mot de passe se fait pirater, c’est votre boîte qui tombe.

La double authentification, en choisissant la bonne méthode :

Méthode	Ce qu’on en pense
Code par SMS	Mieux que rien, mais un numéro se détourne : à éviter pour la boîte principale
Application d’authentification (Aegis, Ente Auth, Bitwarden Authenticator)	Recommandée : un code qui change toutes les 30 secondes
Clé d’accès ou clé physique (YubiKey et autres clés FIDO2)	La meilleure : elle ne fonctionne que sur le vrai site, et résiste au phishing

Le piège de l’adresse de récupération

Une chaîne n’est jamais plus solide que son maillon le plus faible. Si votre boîte principale, parfaitement protégée, désigne comme adresse de secours un vieux compte sans double authentification, c’est une porte dérobée : le jour où le vieux compte tombe, le pirate demande un nouveau mot de passe… qui arrive chez lui.

Deux solutions : protéger l’adresse de secours aussi bien que la principale, ou s’en passer et s’appuyer sur les codes de secours — Proton propose par exemple une phrase de récupération, à noter sur papier.

La méthode des trois niveaux

Pour qu’une fuite chez un marchand en ligne n’ait jamais d’effet sur votre banque, cloisonnez vos adresses en trois niveaux de confiance.

Niveau	Quelle adresse	À qui la donner
1. La forteresse	Votre nom de domaine, ou à défaut une adresse Proton ou Tuta	Uniquement l’administration, la banque et la santé. Personne d’autre ne doit la connaître
2. Le bouclier	Un alias différent pour chaque site	Toutes vos inscriptions : boutiques, abonnements, réseaux sociaux
3. La poubelle	Un compte classique, Gmail ou Outlook	Ce qui l’exige (compte du téléphone, par exemple), les lettres d’information, les sites douteux. Rien de personnel

Bonus de la forteresse : puisque personne ne connaît cette adresse, un message inattendu qui y arrive est suspect par nature. Le phishing ciblé se repère au premier coup d’œil.

Pour aller plus loin sur les mots de passe et la double authentification, la formation Cybersécurité y consacre ses premiers épisodes. Et si votre adresse a déjà fui, voici quoi faire dans les quinze premières minutes.