SimpleLogin, une adresse email différente pour chaque site, sans jamais révéler la vraie

Chaque brèche racontée sur ce site, de DentaQuest à Klue, a un point commun : les adresses email des personnes concernées font presque toujours partie du lot volé. Une adresse unique, utilisée partout, devient alors un fil qui relie tous les comptes d'une même personne, et une cible toute trouvée pour le phishing. SimpleLogin part d'une idée simple : ne plus jamais donner sa vraie adresse.

Le principe : un alias par site

SimpleLogin crée des alias, des adresses email qui n'ont pas de boîte de réception propre : tout ce qu'elles reçoivent est transféré automatiquement vers la vraie adresse de l'utilisateur, qui reste inconnue de l'expéditeur. On crée un alias différent pour chaque site où l'on s'inscrit, en un clic depuis l'extension de navigateur ou l'application, avec un nom aléatoire ou choisi.

Répondre reste possible : la réponse repart par SimpleLogin, qui la réexpédie depuis l'alias, si bien que le destinataire ne voit jamais la vraie adresse, ni dans un sens ni dans l'autre.

Ce que ça change concrètement

L'intérêt ne se limite pas à cacher une adresse. Des alias séparés changent la façon de réagir à plusieurs situations très courantes :

• Savoir qui a fuité ou revendu l'adresse : si l'alias créé uniquement pour une boutique en ligne commence à recevoir du spam, l'origine ne fait plus aucun doute
• Couper une seule adresse : un alias compromis ou envahi de spam se désactive en un clic, sans rien changer aux autres comptes
• Repérer le phishing plus facilement : un email se présentant comme la banque, mais arrivé sur l'alias réservé à un site de jeux, trahit immédiatement l'arnaque (voir l'article sur le phishing)
• Casser le lien entre les comptes : une adresse volée dans une fuite ne permet plus de retrouver les autres comptes de la même personne, ni de tester en masse le même identifiant ailleurs, ce qu'exploite le vol d'identifiants décrit dans l'article sur les mots de passe

Qui est derrière, et ce que ça coûte

SimpleLogin a été racheté en 2022 par Proton, l'entreprise suisse derrière Proton Mail, et s'intègre désormais à son gestionnaire de mots de passe, Proton Pass. Son code est publié en open source (voir l'article sur l'open source), ce qui permet de vérifier son fonctionnement et même de l'héberger soi-même. Il fonctionne avec n'importe quelle boîte mail existante, pas uniquement Proton Mail, et certains gestionnaires comme Bitwarden peuvent générer un alias SimpleLogin directement au moment de créer un compte.

Au moment où ces lignes sont écrites, la formule gratuite propose 10 alias, la possibilité de répondre depuis un alias et une seule boîte de réception de destination. La formule payante, autour de 36 dollars par an, débloque les alias illimités, l'utilisation de son propre nom de domaine, et le chiffrement PGP des emails transférés.

Le détail qui compte : le nom de domaine

Par défaut, les alias utilisent un nom de domaine appartenant à SimpleLogin. Cela crée une dépendance réelle : si le service disparaît, ou si l'on décide de le quitter, ces alias cessent de fonctionner, et avec eux la possibilité de recevoir les emails de réinitialisation de mot de passe des comptes concernés. Utiliser son propre nom de domaine supprime ce risque : les alias restent sous le contrôle de leur propriétaire, qui peut les faire pointer vers un autre service le jour où il le souhaite. Certains sites refusent aussi les inscriptions depuis des domaines d'alias connus, un problème qui disparaît avec un domaine personnel.

Ce qu'il faut accepter en échange

• SimpleLogin voit passer les emails qu'il transfère : la confiance ne disparaît pas, elle se déplace vers cet intermédiaire, sauf à activer le chiffrement PGP vers sa boîte de réception
• Si le service est indisponible, les emails n'arrivent pas, et un compte SimpleLogin perdu fait perdre d'un coup l'accès à tous les alias : il mérite une double authentification solide, idéalement une passkey (voir l'article sur les passkeys)
• Un alias ne protège pas de ce qu'on donne ailleurs : un nom réel, un numéro de téléphone ou une adresse postale relient les comptes tout aussi sûrement qu'une adresse email
• Il ne filtre pas le contenu des emails : un lien de phishing arrive sur un alias exactement comme sur une vraie adresse

D'autres services reposent sur le même principe, comme addy.io, également open source, Firefox Relay chez Mozilla, ou la fonction "Masquer mon adresse e-mail" d'Apple. SimpleLogin se distingue surtout par son code public et la possibilité d'utiliser son propre domaine. Quel que soit l'outil choisi, l'idée de fond reste la même : une adresse email n'a aucune raison d'être la même partout, et chaque site n'a besoin de connaître que celle qu'on a créée pour lui.