Protéger l’adresse email de votre site Web : prévenir les spams

Indiquer une adresse email de contact sur son site Web est re­com­mandé, mais peut par con­sé­quence l’exposer aux risques d’attaques de spam. Dans cet article, nous répondons à la question suivante : comment peut-on limiter l’accès in­dé­si­rable des spambots aux adresses email sans en­freindre les obli­ga­tions du RGPD ? Nous vous pré­sen­tons les méthodes les plus po­pu­laires pour protéger son adresse email et ex­pli­quons leurs avantages et in­con­vé­nients.

Collecte d’emails : comment les spambots guettent-ils leurs proies ?

La collecte d’emails (email har­ves­ting en anglais, lit­té­ra­le­ment « moisson d’emails » en français) est l’ac­qui­si­tion d’adresses email pour de la publicité déloyale, des attaques de phishing et la pro­pa­ga­tion de logiciels mal­veil­lants. Des pro­grammes spé­cia­li­sés, qui sont des robots mois­son­neurs d’emails, ou spambots, passent au peigne fin les sites Web, les listes de contact, les forums et les réseaux sociaux à la recherche d’adresses email. La syntaxe ca­rac­té­ris­tique des adresses email fournit des indices pour iden­ti­fier les in­for­ma­tions con­voi­tées. Par exemple, les robots ef­fec­tuent des re­cherches dans les textes sources avec le signe @. Les spambots les plus dé­ve­lop­pés incluent souvent d’autres or­tho­graphes, comme [at], [AT], (at) ou (AT) dans leur recherche.

La référence email HTML est encore plus trai­tresse, comme dans l’exemple mailto:utilisateur@domaine.fr. Ceci permet aux visiteurs d’un site Web d’ouvrir leur programme d’email préféré en un seul clic. C’est certes pratique, mais cela permet aussi aux spambots de com­prendre clai­re­ment qu’il s’agit d’une adresse email prête à être capturée. Par con­sé­quent, les opé­ra­teurs de sites Web essaient parfois de forcer les modèles d’adresses email clas­siques.

Formule classique d’une adresse email sans pro­tec­tion

Il est important de com­prendre comment une adresse email est intégrée à une page Web pour mieux se protéger des attaques au­to­ma­tiques de robots mois­son­neurs. Un dis­po­si­tif simple et sans obstacle d’une adresse élec­tro­nique peut par exemple être intégré dans une page en utilisant le code suivant :

<p>Pour toute information complémentaire, contactez-nous par email :
<a href="mailto:utilisateur@domaine.fr">utilisateur@domaine.fr</a>.
</p>

Du point de vue de l’uti­li­sa­teur, c’est la meilleure pré­sen­ta­tion d’adresse email sur le Web. Afin de préserver la con­vi­via­lité de cette pré­sen­ta­tion pour l’uti­li­sa­teur, les méthodes les plus po­pu­laires pour protéger son adresse email tendent à la rendre invisible dans le texte source, sans changer son apparence dans le na­vi­ga­teur. Il est également possible de séparer l’adresse email du site Web et de faire suivre la référence mailto grâce à un serveur.

Pour protéger son adresse email des spams, les méthodes efficaces con­sis­tent donc à la remplacer, la masquer ou l’encoder dans le texte source, ce qui entrave les spambots mais pas les uti­li­sa­teurs.

Méthode n°1 : les CAPTCHAs

Les CAPTCHAs per­met­tent de protéger l’adresse email d’un site Web contre le spam. Ces adresses chiffrées ne sont alors affichées en texte clair que lorsque les uti­li­sa­teurs ont prouvé qu’ils étaient humains en passant un test. Ces contrôles peuvent demander la saisie d’une com­bi­nai­son de lettres ou de chiffres. Il est par exemple également possible d’effectuer de courts calculs, des exercices de déduction ou des puzzles.

Les CAPTCHAs offrent une pro­tec­tion re­la­ti­ve­ment élevée contre les spams, car ils per­met­tent de chiffrer les adresses email, de façon qu’elles soient cachées dans le code source. Les CAPTCHA s’intègrent désormais certes très bien dans le design d’un site Web, mais l’effort sup­plé­men­taire né­ces­saire pour accéder à l’adresse email peut avoir un effet négatif sur la con­vi­via­lité du site Web. Cela va en effet à l’encontre du principe d’accès libre et sans barrière aux in­for­ma­tions de contact im­por­tantes.

Méthode n°2 : remplacer une adresse email

La stratégie de pro­tec­tion basée sur la subs­ti­tu­tion consiste à retirer l’adresse email du texte source et de la remplacer par une image ou un lien de re­di­rec­tion vers le mailto.

Intégrer une adresse email sous forme d’image

Lorsqu’une adresse email est insérée sous forme de visuel, elle reste lisible aux yeux des uti­li­sa­teurs, mais est difficile à re­con­naitre pour les robots. L’insertion d’in­for­ma­tions de contact sous forme d’image apporte par con­sé­quent une haute pro­tec­tion contre les spams. Le code HTML suivant permet d’intégrer une adresse email en tant qu’image sur un site Web.

<img src="Chemin/nomdufichier.png" with="120" height="20" alt="Pour toute information complémentaire, contactez-nous par email : utilisateur@domaine.fr ">

Cette pré­sen­ta­tion sous forme d’image est lisible pour la plupart des uti­li­sa­teurs. Le texte ne peut toutefois être copié ou lié à une référence mailto. Si taper l’adresse ma­nuel­le­ment est déjà pénible pour la plupart des uti­li­sa­teurs, les in­for­ma­tions tex­tuelles pré­sen­tées sous forme graphique ne sont de plus pas ac­ces­sibles pour les personnes ayant une dé­fi­cience visuelle. Il est donc pré­fé­rable d’inclure une des­crip­tion de l’image sous forme d’alt-texte, car ces des­crip­tions sont lisibles par les liseurs d’écran. En revanche, elles sont également faciles à dé­chif­frer pour les spambots : cette méthode seule n’est donc pas re­com­man­dée à titre de pré­ven­tion contre les spams.

Lien HTML par re­di­rec­tion

Pour protéger son adresse email des robots mois­son­neurs, il peut être judicieux de la séparer du site Web. On utilise pour cela gé­né­ra­le­ment un script, qui redirige les uti­li­sa­teurs vers le lien du mailto lorsqu’ils cliquent dessus. Ceci permet d’ouvrir di­rec­te­ment le programme email de l’uti­li­sa­teur avec l’adresse email cor­res­pon­dante. Pour les spambots qui dé­chiffrent le code source d’un site Web, ce lien ressemble à un fichier, ce qui le protège d’une lecture au­to­ma­tique. Ce système de pro­tec­tion peut par exemple être mis en œuvre grâce à un lien vers un fichier PHP qui contient la re­di­rec­tion suivante :

<p>Pour toute information complémentaire, contactez-nous par email :
<a href="redirect-mailto.php">E-Mail</a>.
</p>

Le contenu du fichier redirect-mailto.php est un script qui redirige vers l’au­then­tique lien mailto.

<?php
header("Location: mailto:utilisateur@domaine.fr"); 
?>

Cette technique présente un in­con­vé­nient, puisque l’uti­li­sa­teur a besoin de passer par un in­ter­mé­diaire pour accéder au mailto, et donc à l’adresse email. Dans la pratique, il s’agit en général de mes­sa­ge­ries tels qu’Outlook ou Thun­der­bird. Dans les na­vi­ga­teurs récents, il est toutefois possible de définir comme in­ter­mé­diaire des services email Web.

Méthode n°3 : masquer son adresse email

Si vous ne souhaitez pas remplacer com­plè­te­ment votre adresse email par une image ou un lien mailto, il existe des stra­té­gies al­ter­na­tives. Il est notamment possible de chiffrer ou de masquer son adresse email.

Masquer son adresse email en encodant les ca­rac­tères

L’encodage de ca­rac­tères utilisé pour masquer les adresses email dans le code source est basé sur les entités HTML ou le code HEX. Ce type d’encodage est adapté pour masquer les adresses email, puisque les ca­rac­tères en question sont au­to­ma­ti­que­ment trans­crits dans le na­vi­ga­teur.

Si les ca­rac­tères de l’adresse email utilisateur@domaine.fr sont masqués par des entités HTML, ils sont d’abord écrits dans un style al­ter­na­tif.

@ = @ . = . (point)

Ceci ap­pa­rai­tra ainsi dans le code source :

<p>Pour toute information complémentaire, contactez-nous par email :
<a href="mailto:utilisateur&commat;domaine&period;fr">utilisateur&commat;domaine&period;fr</a>
</p>

Si vous souhaitez chiffrer l’ensemble de l’adresse email, il est possible de la re­pré­sen­ter à l’aide de l’encodage HEX. Pour cela, on utilise le caractère Unicode cor­res­pond qui ap­pa­rai­tra alors ainsi :

&#nu­mé­ro­cor­res­pon­dant;

En général, le numéro Hex de la lettre cor­res­pon­dante est précédé par un « x » minuscule. Par exemple, la lettre « m » s’écrit ‘m’ ou ‘m’ en décimal. L’adresse email utilisateur@domaine.fr incluant le lien mailto sera donc écrite de la façon suivante :

<p>Pour toute information complémentaire, contactez-nous par email :
<a href="&#x6d;&#x61;&#x69;&#x6c;&#x74;&#x6f;&#x3a;&#x75;&#x73;&#x65;&#x72;&#x40;&#x64;&#x6f;&#x6d;&#x61;&#x69;&#x6e;&#x2e;&#x64;&#x65;">E-Mail</a>.
</p>

En général, masquer son adresse email en encodant les ca­rac­tères est facile et rapide, mais la pro­tec­tion est re­la­ti­ve­ment faible par rapport à d’autres mesures, car de nombreux spambots sont aujourd’hui capables de dé­chif­frer les encodages simples.

Masquer son adresse email en ajoutant des ca­rac­tères

En principe, il est possible de masquer son adresse email en ajoutant des ca­rac­tères superflus dans le code source. De cette façon, les pro­grammes ne per­çoi­vent pas l’adresse email comme un tout, et sont dans l’im­pos­si­bi­lité de la lire au­to­ma­ti­que­ment. Les com­men­taires HTML cons­ti­tuent une solution facile pour mettre en place ce type de pro­tec­tion.

<!-- commentaire -->

Si les com­men­taires sont insérés de cette façon, les robots qui tentent de scanner le site Web ne seront pas en mesure de les lire :

<p>Pour toute information complémentaire, contactez-nous par email :
u<!-- commentaire -->ser@domai<!-- commentaire -->n.fr.
</p>

Alors que les uti­li­sa­teurs voient s’afficher l’adresse email correcte dans le na­vi­ga­teur Web, un spambot lit pro­ba­ble­ment aussi le texte masqué dans l’élément span. L’in­con­vé­nient de ce masquage est que l’adresse email ne peut pas être liée à une référence HTML. Les uti­li­sa­teurs doivent donc copier ma­nuel­le­ment l’adresse dans leur programme de mes­sa­ge­rie.

Méthode n°4 : chiffrer son adresse email

L’une des méthodes courantes pour le chif­fre­ment d’email est ROT13, qui peut être mis en œuvre avec juste quelques lignes des Ja­vaS­cript.

<script type="text/javascript">
function decode(a) {
    return a.replace(/[a-zA-Z]/g, function(c){
        return String.fromCharCode((c <= "Z" ? 90 : 122) >= (c = c.charCodeAt(0) + 13) ? c : c - 26);
    })
}; 
function openMailer(element) {
var y = decode("znvygb:orahgmre@qbznva.qr");
element.setAttribute("href", y);
element.setAttribute("onclick", "");
element.firstChild.nodeValue = "Ouvrir programme email";
};
</script>
<a id="email" href=" " onclick='openMailer(this);'>E-Mail : cliquer ici</a>

Ce code montre, à la ligne 9, la version chiffrée de l’adresse utilisateur@domaine.fr, com­pre­nant la référence mailto (znvygb:hg­vyvfn­grhe@qbznvar.se), ainsi que les ins­truc­tions pour le chif­fre­ment, lignes 2 à 7. Les fonc­tion­na­li­tés des lignes 8 à 13 per­met­tent d’ouvrir le programme email favori de l’uti­li­sa­teur, et d’inscrire l’adresse en clair dans les champs du des­ti­na­taire. Le script s’enclenche lorsque l’on clique sur le lien « E-Mail : cliquer ici » (lignes 15 et 16). Juste après, on a accès au texte « Ouvrir programme email » (ligne 12).