David Madore's WebLog: Quelques mots sur mes adresses mail

Je vais faire une nouvelle tentative pour parler d'autre chose que de covid en abordant la question de mes adresses mail, qui sont assurément une source de confusion pour les gens qui veulent m'écrire, et éventuellement une légère source d'embarras quand on me demande quelle est mon adresse mail.

La première adresse que j'ai eue pour moi personnellement (il m'était arrivé auparavant de me faire adresser des courriers à mon papa) est quand je suis entré à l'ENS en septembre 1996 : c'était donc logiquement davidmadoreensfr. Je m'en suis servi pour tout mon courrier, personnel ou académique. J'ai commis l'imprudence (j'étais jeune, naïf et innocent, à l'époque) de poster sur Usenet avec, et de la mettre en clair dans des pages web. J'ai donc commencé à recevoir des quantités impressionnantes de spam dessus.

Cette adresse m'a duré assez longtemps : j'ai été élève de l'ENS de 1996 à 2000, puis j'ai demandé que mon adresse soit prolongée un certain temps (à l'époque ça ne faisait guère de difficulté), et j'y ai été enseignant de 2004 à 2007 (et j'en ai profité pour demander que mon compte sur les machines élèves soit prolongé, parce que c'est ce que j'avais l'habitude d'utiliser). Mais il est devenu clair que je devais chercher un système plus pérenne : je n'allais pas pouvoir demander des prolongations indéfinies, et de toute façon l'utilisation de cette adresse était problématique à cause de la quantité de spam qu'elle recevait. En avril 2005, j'ai acheté le domaine madore.org et j'ai commencé à basculer mon mail et mon site web dessus. Mon adresse mail à l'ENS (c'est-à-dire, la redirection vers ma nouvelle adresse) a cessé de fonctionner vers 2014 (c'était d'ailleurs assez cavalier : le mot de passe de mon compte ne fonctionnait plus depuis un moment, mes demandes à le faire changer étaient ignorées, et un jour il a été supprimé de façon automatique). Je considère maintenant que quiconque se préoccupe un peu de la pérennité des liens et adresses ne devrait jamais publier un email institutionnel mais uniquement dans un domaine qu'il détient (ce qui n'interdit pas, évidemment, de rediriger vers un mail chez gmail.com ou univ-paris-42.fr ou quelque chose comme ça).

L'avantage de gérer moi-même mon serveur mail est que je peux le configurer comme je veux, par exemple ajouter toutes sortes de filtres, y compris rejeter des mails dès la conversation SMTP (ne même pas accepter de les traiter) ou ce genre de choses. L'avantage aussi, c'est que je peux me fabriquer autant d'adresses que je veux. Il y a éventuellement le problème que je dois me préoccuper de la réputation de mon serveur (s'il est considéré comme source de spam, je pourrais être blacklisté par tel ou tel fournisseur) : je ne crois pas avoir eu trop de problème de ce côté-là, même si certains de mes mails ont parfois semblé disparaître mystérieusement, j'ai toujours trouvé une explication ailleurs.

J'ai évidemment reçu une adresse mail quand je suis rentré à Télécom Paris, qui s'appelait encore l'ENST quand je suis arrivé, en 2007 : c'était donc davidmadoreenstfr (mon papa m'avait fait remarquer que c'était commode, il suffisait d'ajouter une lettre à mon adresse précédente). Mais j'ai vite compris que ce serait une très mauvaise idée de m'en servir pour mon courrier personnel, ou même de la mélanger avec : comme mon adresse à l'ENS, elle ne serait pas pérenne (même si j'avais, cette fois, un poste permanent), mais aussi, elle recevait, et continue de recevoir, des quantités hallucinantes de « quasi-spam », c'est-à-dire de la pub académique, notamment pour un nombre fou de conférences qui ne m'intéressent jamais, pour des offres d'emploi internes, etc. Je m'en sers uniquement pour ce qui est strictement en rapport avec mon travail à Télécom Paris (l'organisation des cours, ce genre de choses), et je déconseille fortement de m'y écrire pour quoi que ce soit d'autre. Accessoirement, comme Télécom Paris change de nom tous les quelques années (ça a été l'ENST, comme je disais, puis Télécom ParisTech, ça a failli être Télécom ParisSaclay, et maintenant c'est Télécom Paris… depuis que ce n'est plus du tout à Paris), j'ai collectionné les domaines où on peut m'écrire, mais tous ceux-là arrivent au même endroit.

Bon, mais du coup, dès lors que j'avais ce domaine madore.org et la possibilité de créer autant d'adresses que je voulais, quelle adresse créer effectivement dessus ?

Le plus évident aurait été davidmadoreorg, tout simplement. Je n'ai pas créé cette adresse, et de fait, elle ne fonctionne pas. C'est voulu et assumé : si je créais et publiais cette adresse « naturelle », je me coinçais avec elle, tout le monde aurait naturellement envie de m'y écrire, et ce serait beaucoup moins évident de revenir dessus si, par exemple, elle se mettait à recevoir du spam, que si elle envoie de façon persistante un message d'erreur (raisonnablement explicatif sur comment m'écrire).

À la place, j'ai adopté le principe suivant, qui me semble toujours raisonnable même si les détails de comment je l'ai appliqué sont regrettables : à chaque usage différent du mail, à chaque raison de m'écrire, voire à chaque expéditeur, doit correspondre une adresse mail différente, même si ces adresses aboutissent in fine, au même endroit (mais peuvent être traitées différemment). Je m'explique.

Le principe que j'avais en tête était le suivant : imaginons que j'aie besoin d'échanger avec la compagnie ACME (par exemple pour leur acheter quelque chose, ils me demandent de créer un compte et me demandent notamment une adresse mail) : je vais alors utiliser une adresse mail spécifique que je ne donnerai qu'à eux. L'avantage est que si ACME communique mon adresse mail à quelqu'un d'autre, je le saurai, parce que je recevrai des mails à l'adresse communiquée à ACME (et uniquement à eux) venant d'une autre source. Si je considère que c'est abusif, je peux alors prendre différentes contre-mesures : arrêter d'avoir affaire à ACME, les dénoncer pour leurs pratiques, filtrer l'adresse communiquée à ACME pour qu'elle n'accepte que les mails venant d'ACME, ou la fermer complètement (soit en envoyant automatiquement à la poubelle ce qu'elle reçoit, soit en rejetant mails dès la conversation SMTP) : les possibilités sont infinies. À l'inverse, si les mails d'ACME sont particulièrement importants pour moi (par exemple, s'il s'agit en fait du Trésor Public, ou de l'Éducation nationale, ou quelque chose de ce genre), je peux enseigner à mon filtre à spam que tout ce qui arrive à cette adresse est du non-spam (quitte à revenir sur cette décision s'il s'avère que l'adresse cesse d'être non-polluée), sans avoir à savoir de quelle adresse exacte ACME m'écrira (ce qui n'est d'ailleurs pas forcément bien défini).

Je n'ai évidemment pas envie de créer des tas d'adresses à la main. Le comportement est donc simplement que mes adresses prennent la forme davidextensionmadoreorg avec une certaine extension (obligatoire, comme je l'ai expliqué), et que par défaut toute extension existe et tout arrive au même endroit, mais je peux ensuite créer des règles de filtrage fin comme bon me semble. Sur mon site web, je publie l'adresse davidwwwmadoreorg, par exemple ; dans les mails que j'envoie j'en utilise une autre « par défaut », encore une autre dans les mails que j'échange avec ma famille, une avec certains amis, une qui me sert quand je parle de maths, etc.

Je suis content du principe général de mon système, mais il y a un certain nombre de problèmes qui font que tout ne se passe pas comme je l'avais voulu.

Disons que le principe général, la manière dont je conçois que le mail (ou n'importe quel mécanisme de messagerie) devrait fonctionner pour mettre en échec le spam, c'est que pour écrire à quelqu'un il faut, en plus d'une adresse, ce que je pourrais appeler un jeton de conversation. Le jeton pourrait être créé par le détenteur de l'adresse, et un bon système de messagerie proposerait un moyen d'incorporer l'information du jeton avec l'adresse (c'est essentiellement ce que je fais avec le caractère ‘+’ dans mes adresses mail) ; il pourrait aussi être demandé, pour initier une conversation la première fois : typiquement, cela consisterait à consulter une page web et passer un mini test de Turing (possiblement un CAPTCHA, mais j'imagine plutôt que chacun créerait une page web à sa sauce, posant une question simple sur son propriétaire, du genre quel est mon métier ?, la réponse figurant ailleurs sur la page, et fournirait un jeton si on répond correctement — l'idée étant qu'un humain passe cinq secondes à ce test, ce qui est raisonnable si on veut écrire à quelqu'un, mais que ça devient ingérable si on veut écrire à plein de gens à la fois, ce qui est justement tout l'intérêt). Donc, si on écrit à quelqu'un sans jeton, on reçoit une erreur qui explique comment obtenir un jeton, et si on a déjà un jeton, on l'utilise (notamment pour répondre à un mail, qui vient avec un jeton pour continuer). Le propriétaire de l'adresse est libre de révoquer des jetons comme il l'entend, s'il estime que la personne à qui il les a confiés en a abusé (par exemple si c'est un spammeur). Ce système n'est évidemment pas parfait, mais il représenterait un progrès considérable par rapport à la situation actuelle. Et c'est ce que j'ai cherché à émuler avec mes adresses mail « avec extension ».

Les problèmes que j'ai rencontrés tiennent surtout au fait que comme je suis essentiellement le seul à faire ça, les gens ne sont pas habitués. (J'ai certes un ami qui avait mis en place un système assez proche : la première fois qu'on lui écrivait, on recevait un message d'erreur disant qu'il fallait renvoyer le mail pour se faire whitelister ; mais je crois qu'il n'a pas persevéré.)

Premier problème : le caractère plus (U+002B PLUS SIGN, c'est-à-dire ‘+’). Plein de singes sont persuadés que ce caractère ne peut pas faire partie d'une adresse mail. Pourtant, cet usage de ce caractère précis pour délimiter une extension est parfaitement standard ; d'ailleurs il est supporté, par exemple, par Gmail : toute personne qui a une adresse Gmail peut ajouter +extension, avec n'importe quelle extension, juste à gauche du signe ‘@’, et obtenir ainsi une quantité illimitée d'adresses mails différentes qui arrivent toutes au même endroit (l'intérêt est assez faible parce que les possibilités de filtrage sont limitées, mais elles existent). Bon, mais le problème, comme je disais, vient du nombre de singes qui pensent que le caractère plus ne peut pas faire partie d'une adresse mail.

En fait, ça faisait vaguement partie de mon plan : publier l'adresse davidwwwmadoreorg sur ma page web, outre le fait que cette adresse est protégée par un peu de JavaScript (et de CSS comme fallback) pour ne pas apparaître de façon trop évidente dans la page, fournit l'espoir que les spammeurs trop idiots ne reconnaîtront même pas que c'est une adresse mail, ou bien écriront à la mauvaise (en coupant la partie qui précède le ‘+’, ou peut-être la partie entre lui et le ‘@’). Malheureusement, il y a des vrais humains qui veulent vraiment m'écrire et qui se disent parfois que c'est vraiment bizarre, ce signe ‘+’, il faut sans doute l'enlever (soit l'enlever complètement, soit écrire à telle ou telle partie).

Mais surtout, il y a un nombre hallucinant de formulaires web qui vous demandent de saisir votre adresse mail et qui la rejettent quand il y a un ‘+’ dedans. Au début je me suis dit que j'allais me plaindre à chaque fois (en écrivant depuis une adresse avec un ‘+’ et en signalant que mon adresse ne passe pas dans leur site web alors qu'elle est manifestement valable, d'ailleurs voyez, j'écris depuis elle). J'ai vite jeté l'éponge : j'ai créé d'autres combinaisons de caractères utilisables à la place du ‘+’ et complètement interchangeables avec lui (j'ai commencé par ‘__’ avec deux traits de soulignement U+005F LOW LINE, je ne sais plus d'où je tirais cette idée, mais elle a aussi causé de la confusion parce que beaucoup de gens sont incapables de saisir correctement une telle adresse et n'en mettent qu'un ; j'ai fini par accepter ‘-’ comme équivalent au ‘+’, et maintenant c'est ce que je donne le plus souvent quand je crains d'être face à un mur d'idiotie). Le problème est insidieux : encore, quand la page web rejette l'adresse mail d'emblée, on est au courant, mais parfois elle l'accepte et ça fait bugguer un moteur derrière, et on ne reçoit même pas d'erreur (j'ai des commandes passées en ligne qui ont posé problème à cause de ça). Le pire étant quand ça semble marcher mais que l'infrastructure qui gère correctement les choses retransmet les informations à une autre, laquelle ne les gère pas (par exemple, il m'est arrivé qu'une commande passée en ligne m'arrive, mais pas les mails disant qu'elle était arrivée au point de retrait, parce que le livreur ne savait pas m'écrire, probablement parce qu'il ne digérait pas l'adresse mail que lui avait donné le transporteur).

Il est vrai que j'ai eu des problèmes qui étaient de ma faute : je créais une adresse mail pour ACME, disons, et je mettais en place une règle de filtrage faisant que seul ACME pouvait m'y écrire. L'ennui c'est qu'ACME avait tout de même un motif légitime à transmettre mon adresse mail : à savoir au transporteur qui allait livrer mon colis (et que je ne connais pas forcément a priori).

Un autre problème auquel je n'avais pas vraiment pensé, c'est que, comme tout le monde, je me retrouve avec plein de comptes sur plein de sites marchands ou autres, et que j'oublie quelle adresse mail a servi pour créer le compte : le navigateur en retient un bon nombre, bien sûr, mais toutes sortes de raisons peuvent faire que ça ne marche pas, et la plupart des formulaires du style mot de passe oublié voire nom de login oublié supposent que vous connaissez au moins votre adresse mail, ce qui n'est pas mon cas puisque j'en utilise une différente pour chacun de ces sites. (Et même si je sais quelle est l'extension que j'ai utilisée, comme elle peut être séparée par ‘+’ ou ‘__’ ou ‘-’, ça ne résout toujours pas le problème.) Maintenant je fais plus attention à toujours noter ces choses, pour ne pas avoir à fouiller dans mes mails pour retrouver la bonne adresse mail (si tant est que j'aie effectivement reçu un mail).

Bon, ça encore, ce sont des problèmes logiciels. Les problèmes humains sont moins graves mais possiblement plus insidieux. Déjà, il y a les gens qui sont tout surpris : quand je dis à mon conseiller bancaire quelle est mon adresse mail, il est étonné qu'il y ait le nom de la banque dedans (une fois, je ne sais plus quelle boîte m'a demandé si j'étais de la maison). Ce n'est pas bien grave, mais ça m'oblige à m'expliquer, et à force, c'est un peu agaçant. Je pourrais bien sûr choisir une extension complètement opaque (une suite de lettres et de chiffres aléatoire à chaque fois), mais ce serait agaçant pour d'autres raisons, ne serait-ce que quand je dois en inventer une au vol. Il y a aussi les gens qui pensent que l'adresse avec un ‘+’ concerne deux personnes distinctes (notamment quand j'utilise mon second prénom comme extension, ce que je fais parfois), et je comprends effectivement que ça puisse donner cette impression.

Mais surtout, le problème est que les amis supposent généralement qu'ils peuvent donner mon adresse mail à des tiers. S'il s'agit d'autres humains, ça ne me gêne pas (j'ai un petit ensemble d'extensions que j'utilise, globalement, pour des amis ou des personnes avec qui j'échange souvent, sans différencier entre elles, ça n'a pas grand intérêt). Mais parfois des gens saisissent mon adresse mail dans un site web plus ou moins commercial (par exemple des amis ont fait ça dans un site servant à gérer une cagnotte, une cousine l'a fait pour dans un site servant à gérer un Secret Santa, ce genre de choses) : ça devrait être un tabou (on ne divulgue pas l'adresse mail d'un tiers !), mais ça ne l'est pas. Ça veut dire que j'ai une adresse mail que je considérais comme de bonne réputation (confiée uniquement à des amis, donc ne devant pas recevoir de spam) qui fuite sur des sites douteux, et ce n'est pas vraiment rattrapable. Je ne peux pas vraiment en vouloir aux gens qui ont fait ça : ce n'est pas dans les mœurs de demander je veux entrer une adresse mail à toi pour le site machintruc, que devrais-je utiliser ?, on a juste l'habitude que les gens aient une unique adresse. Encore un problème vient des gens qui se font siphonner leur base de contacts par un quelconque virus. Tout ça ce ne sont pas des problèmes spécifiques à mon système, mais disons que ça montre que j'étais un peu naïf en considérant que je pouvais utiliser une adresse commune pour tous les vrais humains que je connais et n'utiliser des extensions uniques que pour les institutions, sites marchands et autres trucs de ce genre.

Et bien sûr, il y a des erreurs de ma part. Quand j'envoie un mail, comme adresse d'expéditeur, j'utilise par défaut l'extension generic, que j'ai plus tard eu tendance à abréger en g (disons que c'est l'adresse mail qui me sert quand je n'ai pas de raison particulière de faire autre chose). Mais si je dois écrire, par exemple, dans une mailing-list ou sur Usenet ou quelque chose comme ça, il faut que je fasse attention à changer pour la bonne extension, parce que mon adresse en +generic reçoit très peu de spam et je voudrais que ça reste le cas (même si ce n'est pas terriblement grave parce que c'est facile à changer, pour le coup). Or il m'est arrivé d'oublier, et du coup j'ai exposé une adresse que je ne voulais pas exposer.

Enfin, il y a le fait que les gens peuvent être déroutés de recevoir un mail qui ne vient pas de l'adresse à laquelle ils ont écrit (j'essaie de faire attention à ça, mais pas toujours). Je crois vaguement que Gmail peut considérer comme du spam une réponse qui vient d'une adresse à laquelle on n'a jamais écrit.

Bref, même si je ne suis pas mécontent de mon système sur le principe, il y a plein de petites crottes de ragondin qui me posent problème.

Mais pour répondre simplement à la question de à quelle adresse mail on doit m'écrire : (1) ça n'a généralement pas beaucoup d'importance, prenez n'importe laquelle dont vous avez connaissance et qui semble vaguement raisonnable, (2) si vous voulez une réponse un peu plus précise, prenez par exemple celle dont je vous ai écrit la dernière fois, ou davidwwwmadoreorg si vous ne m'avez jamais écrit et que vous me connaissez par ce site web, en revanche (3) merci de ne pas communiquer une de mes adresses mail à un site web (ou à un tiers que je ne connais pas).