La Salle des Cent Boîtes · Emails et alias

L’essentiel en cinq lignes

1. Où vous êtes : la Salle des Cent Boîtes, dans la Tour aux Volets (la vie privée).
2. Ce que vous apprenez : donner une adresse email différente à chaque site.
3. Ce que vous faites : vous créez un alias, une adresse jetable qui fait suivre le courrier vers votre boîte.
4. Ce qu’il vous faut : un compte gratuit chez un service d’alias. Effort : 2 sur 5. Durée : une demi-heure.
5. Ce que vous y gagnez : quand un site fuite, vous savez lequel, et vous coupez son seul alias.

Pourquoi cette salle

Votre adresse email est probablement la même depuis des années. Vous l’avez donnée à votre banque, à votre mutuelle, au site de pièces auto et à la plateforme où vous avez acheté vos premiers satoshis (la plus petite unité du bitcoin). Elle relie tous ces comptes entre eux, dans chaque base de données qui fuite.

Cette salle répond à une question : comment garder le confort d’une seule boîte sans donner partout la même adresse ? À la fin, vous saurez :

• créer un alias pour chaque site, et le couper en un clic ;
• choisir une boîte qui ne lit pas votre courrier ;
• fermer les deux détails qui relient une boîte chiffrée à une personne : l’adresse IP de connexion et l’adresse de récupération.

L’histoire

Deux affaires réelles montrent la même chose : le chiffrement a tenu, ce sont les à-côtés qui ont parlé.

Paris, 2021. Un collectif militant pour le climat s’organise avec une boîte Proton Mail. La police française veut savoir qui tient le compte. Proton, entreprise suisse, ne lui répond pas : la demande passe par Europol, l’agence de coopération des polices européennes, puis par le Département fédéral de justice suisse, qui adresse à Proton un ordre contraignant, sans appel possible. Proton ne peut pas livrer le contenu des emails, chiffré sans qu’il ait la clé. Mais l’ordre demande l’adresse IP de connexion (le numéro qui identifie votre accès à Internet) et des informations sur l’appareil. Proton les enregistre pour ce compte et les transmet. L’adresse IP mène à un abonnement Internet, l’abonnement à une personne. Selon le patron de Proton, elle a été interpellée.

Espagne, affaire révélée en 2024. La Guardia Civil, la gendarmerie espagnole, enquête sur les émeutes de 2019 en Catalogne, poursuivies comme terrorisme et crime organisé. Visant un membre présumé d’un mouvement indépendantiste, elle demande à Proton, par la voie suisse, des informations sur un compte. Proton n’a toujours pas le contenu, mais il a l’adresse de récupération, renseignée à l’inscription pour le jour où le mot de passe serait oublié : une adresse iCloud. Apple, à son tour, livre un nom complet, deux adresses postales et un compte Gmail lié.

Personne n’a lu une ligne de ces emails. Le premier utilisateur se connectait depuis chez lui, avec son adresse IP ; le second avait relié sa boîte à son identité par une adresse de récupération.

On peut penser ce qu’on veut de ces deux personnes. La mécanique, elle, vaut pour tout le monde : une boîte chiffrée ne protège que ce qu’elle chiffre.

Votre risque le plus probable n’est pas une enquête internationale, mais le site de pièces auto qui se fait voler sa base clients, puis le faux SMS « votre colis est bloqué ». Les gestes de cette salle traitent les deux cas.

B

Maître Brodolf, le nain guichetier de l’administration : « Pour une boîte chez Proton, la police française passe par l’entraide avec la Suisse, et c’est la justice suisse qui ordonne. Le formulaire fait plusieurs pages ; je les tamponne toutes, c’est ma façon de participer. »

La recette

Quatre étapes ; les deux premières donnent l’essentiel : un alias par site.

Commencez de préférence par L’Atelier du Serrurier · Les mots de passe, enfin réglés, sans obligation. Avec vingt alias, seul votre gestionnaire de mots de passe saura lequel sert à quel site.

Étape 1 : créez votre premier alias

Vous gardez votre boîte actuelle et placez devant elle un service d’alias. Chaque alias reçoit le courrier et le fait suivre vers votre boîte ; vous pouvez répondre depuis l’alias sans que votre vraie adresse apparaisse.

Trois services ont une offre gratuite (tarifs relevés en octobre 2026) :

Service	Gratuit	Payant	Remarque
Proton Pass (alias « Hide-my-email »)	10 alias	alias illimités avec Pass Plus, 2,99 $ par mois, facturé à l’année	intégré au gestionnaire de mots de passe de Proton
SimpleLogin (fondé à Paris en 2019, racheté par Proton en 2022, code ouvert : tout le monde peut lire son programme)	10 alias, 1 boîte de destination	36 $ par an, ou 4 $ par mois, alias illimités	le plus ancien et le plus documenté
addy.io (ex-AnonAddy, code ouvert)	10 alias aléatoires, plus des alias illimités sur votre nom d’utilisateur ; 10 Mo de courrier transféré par mois	à partir de 1 $ par mois (Lite, facturé à l’année)	le moins cher en payant

La marche à suivre, quel que soit le service :

1. Créez un compte sur le service d’alias. Indiquez votre boîte actuelle comme destination.
2. Installez son extension de navigateur (un petit programme ajouté à votre navigateur), ou activez les alias dans votre gestionnaire de mots de passe.
3. Quand un site vous demande votre email, cliquez sur l’icône du service dans le champ : il crée un alias aléatoire, le remplit et l’enregistre.
4. Notez dans le gestionnaire à quoi sert l’alias, si le service ne le fait pas tout seul.

Dix alias gratuits suffisent pour les dix sites qui comptent le plus : ceux qui ont votre identité (banque, assurance, plateforme crypto) et ceux qui envoient le plus de courrier indésirable. Au-delà, prenez l’offre payante ou un second service.

Préférez les alias aléatoires (x7k2qp9@…) aux alias lisibles (paul.jardin@…), qui disent qui vous êtes et ce que vous aimez. Les alias d’addy.io bâtis sur votre nom d’utilisateur (jardin@votrepseudo.anonaddy.me) sont pratiques, mais se ressemblent tous : qui en voit deux comprend qu’ils sont à la même personne. Pour les comptes à séparer vraiment, prenez les alias aléatoires.

Étape franchie : votre adresse email, identifiant universel, est devenue un jeu de clés jetables. L’État vous a attribué à la naissance un numéro de quinze chiffres, à recopier sur chaque formulaire et à ne jamais changer. Vous venez de fabriquer un identifiant en trois secondes, révocable d’un clic : l’un des deux a compris à quoi sert un identifiant.

Étape 2 : coupez l’alias qui reçoit des indésirables

Un jour, l’alias du site de pièces auto reçoit des offres de crédit, de faux colis ou des promesses de rendement à 40 %. Vous savez alors qui a fuité.

1. Désactivez cet alias dans le service. Le courrier indésirable s’arrête, et vos autres comptes ne sont pas touchés.
2. Si vous tenez encore à ce site, créez-lui un nouvel alias.
3. Mettez ce nouvel alias à jour dans votre compte sur le site.

Avec une adresse unique, il faudrait en changer partout ; avec les alias, c’est un clic.

Étape 3 : déménagez votre boîte principale chez Proton ou Tuta

Ce geste peut venir plus tard. Gmail, Outlook et Yahoo chiffrent votre courrier sur leurs disques, mais avec leurs propres clés : ils peuvent le lire, l’analyser et le remettre en clair à la justice qui le demande. Proton et Tuta chiffrent le courrier stocké avec une clé qu’ils n’ont pas.

Proton et Tuta comparés : offre gratuite, prix, alias, droit applicable

	Proton Mail (Suisse)	Tuta (Allemagne)
Gratuit	1 adresse, 500 Mo à 1 Go, 150 messages par jour	1 adresse, 1 Go ; le compte est supprimé après plus de six mois sans connexion
Payant	Mail Plus, 3,99 $ par mois, facturé à l’année	offres Revolutionary et Legend ; un utilisateur de plus coûte 3 € par mois en Revolutionary
Alias	Proton Pass et SimpleLogin, du même groupe	un service d’alias à part
Droit applicable	suisse ; une demande étrangère passe par l’entraide judiciaire (la coopération entre les justices de deux pays)	allemand ; une demande française passe par la décision d’enquête européenne, une demande directe d’un juge européen à un autre

La marche à suivre :

1. Créez la boîte, sans numéro de téléphone si on vous le permet, et sans adresse de récupération reliée à votre nom (voir l’étape 4).
2. Dans votre service d’alias, changez la destination : les alias font désormais suivre vers la nouvelle boîte. Vos sites suivent sans que vous changiez rien chez eux.
3. Gardez l’ancienne boîte quelques mois, avec un transfert automatique vers la nouvelle.
4. Changez l’adresse des sites restants au fil de vos connexions.

Une limite à connaître : un email envoyé de Proton à un correspondant sur Gmail arrive chez Gmail, et Gmail peut le lire. Le chiffrement de bout en bout (seuls l’expéditeur et le destinataire peuvent lire) ne vaut qu’entre deux boîtes du même service, avec PGP (un standard de chiffrement des emails), ou avec un message protégé par mot de passe. Pour parler en privé, l’email n’est pas le bon outil : voyez la Volière, l’aile des messageries.

Étape 4 : fermez les deux portes de service

L’adresse de récupération et l’adresse IP de connexion ont parlé en 2024 et en 2021. On y ajoute un verrou, la double authentification. L’étape coûte peu.

1. L’adresse de récupération. Ne mettez pas d’adresse à votre nom, ni une adresse qui mène à un compte à votre nom (iCloud, Gmail, numéro de téléphone). Le plus simple : aucune adresse de récupération, et la phrase de récupération que propose Proton (Tuta l’appelle « code de récupération »). Notez-la sur papier et rangez-la avec vos papiers importants. C’est le même geste que pour les Douze, vos douze mots notés sur papier à La Herse aux Douze Mots · Vos douze mots, l’entrée du site.
2. La double authentification (un code demandé en plus du mot de passe). Activez-la avec une application de codes, qui affiche un nouveau code toutes les 30 secondes, ou avec une clé de sécurité USB. Notez ses codes de secours sur papier. Sans elle, un mot de passe fuité suffit à ouvrir la boîte qui reçoit tous vos alias.
3. L’adresse IP de connexion. Pour l’usage courant, connectez-vous normalement. Votre fournisseur d’accès sait déjà que vous allez chez Proton, et Proton ne garde pas de journaux IP permanents par défaut (la liste des adresses IP qui se connectent à votre compte). Si la boîte ne doit jamais être reliée à vous, connectez-vous uniquement par Tor ou par un VPN, dès la création : ils font passer votre connexion par d’autres serveurs, qui cachent votre adresse IP.

Étape franchie. Vous avez une boîte chiffrée en Suisse ou en Allemagne, sans téléphone, sans adresse de secours, avec une phrase de récupération sur papier. Il ne vous manque que le compte numéroté et le chalet.

Les variantes : alias seuls, identité cloisonnée, nom de domaine, Apple, Firefox, DuckDuckGo

Variante	Effort en plus	Ce que vous gagnez	Ce que vous risquez
Alias seuls, boîte actuelle conservée (étapes 1 et 2)	aucun	une forte protection face aux plateformes et aux indésirables	votre fournisseur actuel lit toujours votre courrier
Proton ou Tuta, plus des alias (étapes 1 à 3)	une demi-heure	en plus, votre courrier stocké n’est plus lisible par votre fournisseur	rien de nouveau, si l’étape 4 suit
Sans adresse de récupération à votre nom, connexion par Tor (étape 4 complète)	élevé : chaque connexion passe par Tor	une boîte qu’aucun observateur ne relie à vous	perdre l’accès si la phrase de récupération se perd
Votre propre nom de domaine (tout@mondomaine.fr)	moyen : un domaine à payer et à régler	vous changez de fournisseur sans changer d’adresse	le domaine s’enregistre à un nom, et peut relier toutes vos adresses entre elles
« Masquer mon adresse e-mail » d’Apple	aucun, sur iPhone	des alias gratuits avec « Se connecter avec Apple » ; la création libre d’alias demande l’abonnement iCloud+	les alias restent chez Apple, qui connaît votre identité
Firefox Relay	aucun	5 alias gratuits, chez Mozilla	peu d’alias gratuits
Adresses de DuckDuckGo (@duck.com)	aucun	un service gratuit, qui retire aussi des traqueurs cachés dans les emails	un service de plus à garder en mémoire

La boussole

La boussole est le profil de la salle sur six axes, notés de 0 à 3. Le point de comparaison est le village, ce que vous faites déjà : une seule adresse Gmail ou Outlook, donnée partout depuis des années.

Axe	Pourquoi
Garde	Vous créez et coupez vos adresses vous-même. Mais elles restent hébergées par un service.
Juridiction	Votre courrier quitte les grands fournisseurs américains. Une demande française vers Proton passe par l’entraide avec la Suisse : c’est un délai et un filtre, pas un mur. Chez Tuta, en Allemagne, le filtre est plus mince, et le gain tient surtout au chiffrement.
Monnaie	Cette salle ne touche pas à votre argent.
Discrétion	Vos comptes ne sont plus reliés entre eux par une adresse commune. Avec l’étape 3, votre fournisseur ne lit plus votre courrier stocké.
Confort	Le gestionnaire réglé, créer un alias prend moins de temps que taper votre adresse, et couper un indésirable, un clic.
Prudence (un risque existant réduit)	Une fuite chez un site ne contamine plus les autres, et l’hameçonnage ciblé (les faux messages qui imitent votre banque) perd sa matière première.

Risque nouveau : perdre l’accès à la boîte principale bloque tous les alias d’un coup. D’où le gestionnaire de mots de passe, la double authentification et la phrase de récupération sur papier.

Les quatre caméras

Une caméra est un observateur : le curieux, la banque, la plateforme, l’administration.

Caméra	Ce qu’elle voit, comparé au village
du Badaud (le curieux, le voleur)	Celui qui achète une base volée ne peut plus relier votre compte sur un site à vos comptes ailleurs. L’escroc ne sait plus chez quelle banque vous êtes. Avec un alias lisible ou un nom d’utilisateur commun, le gain baisse.
du Changeur (la banque)	Rien ne change : elle connaît déjà votre identité, votre adresse et votre téléphone. Un alias lui retire seulement le croisement de votre email avec d’autres fichiers.
du Marchand (la plateforme)	C’est le gros gain. Aucun site ne relie plus votre compte à vos comptes ailleurs par l’email, ni ne revend une adresse qui sert partout. Avec l’étape 3, votre fournisseur de mail ne lit plus votre courrier.
de l’Intendance (l’administration)	Pour l’essentiel, rien ne change : vos comptes vérifiés restent à votre nom. Une demande de la justice passera par le service d’alias, puis par le fournisseur. Le gain ne vient qu’avec l’étape 4 complète, pour une identité séparée.

S

Sylvestre, l’elfe de votre compagnie, qui se cache trop : « Une adresse par site, c’est la bonne mesure : un site qui fuite ne trahit que lui. Moi, j’en ai aussi une par jour de la semaine, et je ne retrouve plus le courrier du mardi. »

Les risques, chiffrés

Cinq risques, comparés à votre adresse actuelle, la même partout. Le plus probable est la fuite de votre adresse ; le seul nouveau, la perte d’accès.

Risque	En une ligne
1. Votre adresse dans une fuite	Très probable, et déjà arrivé pour beaucoup. Avec un alias, la fuite touche un seul site.
2. Perdre l’accès à votre boîte ou au service d’alias	Faible avec un gestionnaire, la double authentification et une phrase de récupération.
3. Le fournisseur livre ce qu’il sait	Rare pour un particulier. Il livre des métadonnées (qui écrit à qui, et quand), pas le contenu chiffré.
4. Le service d’alias ferme ou change ses prix	Faible à court terme, réel sur dix ans. Gardez la liste de vos alias.
5. Votre correspondant lit en clair	Systématique s’il est chez Gmail ou Outlook. C’est le même coût qu’aujourd’hui.

1. Votre adresse dans une fuite

• Possible ? Oui, et c’est souvent déjà fait. Le service Have I Been Pwned recense environ 17,8 milliards de comptes compromis, issus d’un peu plus d’un millier de fuites (compteur relevé le 26 octobre 2026). Tapez votre adresse actuelle sur haveibeenpwned.com : elle y est probablement.
• Probable ? Très probable sur quelques années, pour une adresse donnée partout.
• Coût : avec une adresse unique, la fuite d’un site sert à vous hameçonner partout (« votre banque… », « votre colis… ») et à essayer votre mot de passe ailleurs. Avec un alias, la fuite concerne un seul site, et vous savez lequel.
• Tendance : en hausse : chaque année ajoute ses fuites.
• Durée : une adresse fuitée le reste. Un alias coupé, lui, ne reçoit plus rien.
• Comparé au village : votre adresse unique fuite autant, et sa fuite sert sur tous vos comptes.

2. Perdre l'accès à votre boîte ou au service d'alias

• Possible ? Oui, et c’est le risque que vous créez.
• Probable ? Faible avec un gestionnaire de mots de passe, la double authentification et une phrase de récupération testée. Réel sans eux, surtout si vous refusez l’adresse de récupération sans rien mettre à la place.
• Coût : la réinitialisation du mot de passe de chaque site passe par ces alias. Sans boîte, plus de réinitialisation.
• Tendance : stable.
• Durée : définitive si vous perdez à la fois le mot de passe et la phrase de récupération.
• Comparé au village : Google ou Microsoft peuvent vous rendre l’accès par votre téléphone. C’est précisément la porte de service qui a parlé en 2024. Ici, vous êtes votre propre guichet, comme pour vos douze mots.

3. Le fournisseur livre ce qu'il sait

• Possible ? Oui. Proton et Tuta obéissent aux lois de leur pays.
• Probable ? Proton publie ses chiffres. Ordres légaux reçus pour Proton Mail : 6 243 en 2021 (4 920 exécutés), 11 023 en 2024 (10 368 exécutés), 9 301 en 2025 (8 313 exécutés). Proton dit ne pas pouvoir déchiffrer les emails stockés. En Allemagne, un tribunal de Cologne (2020) puis la Cour fédérale de justice (avril 2021) ont obligé Tuta à surveiller les emails futurs de comptes visés par une enquête pour chantage. Seuls les emails non chiffrés étaient concernés. Proton compte des millions d’utilisateurs : ces ordres visent des enquêtes précises, pas le particulier ordinaire.
• Coût : le fournisseur livre ce qu’il a : la date de création, parfois l’adresse IP, l’adresse de récupération, les métadonnées (qui écrit à qui, et quand). Pas le contenu chiffré.
• Tendance : en hausse chez Proton entre 2021 et 2024, en baisse en 2025.
• Durée : les journaux temporaires s’effacent. Ce qui a été livré reste livré.
• Comparé au village : votre fournisseur actuel reçoit aussi des demandes de la justice, et il peut livrer le contenu de vos emails en plus du reste.

4. Le service d'alias ferme, est racheté ou change ses prix

• Possible ? Oui. SimpleLogin a été racheté par Proton en 2022 ; il comptait alors plus de 2 millions d’alias créés.
• Probable ? Faible à court terme pour les services cités, réel sur dix ans.
• Coût : si le service disparaît sans préavis, les alias cessent de transférer. En pratique, un rachat ou un changement de prix laisse le temps de partir. Gardez la liste de vos alias dans le gestionnaire. Pour les comptes vitaux (banque, plateforme où sont vos fonds), envisagez un nom de domaine à vous, qui se transporte d’un fournisseur à l’autre.
• Tendance : stable.
• Durée : le temps de recréer les alias perdus et de les changer sur chaque site.
• Comparé au village : Gmail ou Outlook peuvent aussi fermer un compte. Avec un nom de domaine à vous, vous ne dépendez d’aucun des deux.

5. Votre correspondant lit en clair

• Possible ? Systématique, dès qu’il est chez Gmail ou Outlook.
• Probable ? Certain pour chaque email envoyé hors de Proton ou de Tuta.
• Coût : le contenu de l’échange est lisible chez lui et chez son fournisseur.
• Tendance : stable.
• Durée : aussi longtemps que l’email est gardé chez lui.
• Comparé au village : c’est le même coût qu’aujourd’hui, pas un risque nouveau. Pour les conversations privées, prenez une messagerie chiffrée.

La quête : Cent boîtes aux lettres

La quête est l’exercice de la salle. Elle a deux objectifs, indépendants l’un de l’autre. L’objectif de taverne prouve que vous avez compris. L’objectif de donjon prouve que vous avez fait le vrai geste. Vous donnez votre preuve à la Cafetière, l’encart qui vérifie vos réponses dans votre navigateur. Si la preuve est bonne, votre navigateur fabrique votre drapeau : un code GRAIN{xxxx-xxxx} qui prouve votre réussite. La Cafetière l’inscrit dans votre parchemin. Chaque objectif vous donne aussi un écusson (une récompense du jeu) et des liards (les points du jeu).

Le parchemin est votre fichier de progression chiffré.

Objectif de taverne : trouvez le détail qui a trahi chaque personne

Relisez « L’histoire ». Dans les deux affaires, le contenu chiffré n’a jamais été livré. Qu’est-ce qui, en 2021 puis en 2024, a relié la boîte à une personne ?

La Cafetière affiche deux cases, une par affaire. Dans chaque case, saisissez en quelques mots « ce qui a parlé ». Votre navigateur fabrique le drapeau à partir de vos deux réponses.

Objectif de donjon : créez un alias et collez-le

Créez un vrai alias chez le service de votre choix (étape 1). Copiez l’adresse de l’alias, pas celle de votre compte. Collez-la dans l’encart de la Cafetière. Elle vérifie que l’adresse est bien un alias.

Comment la Cafetière vérifie, chez vous

Rien ne sort de votre navigateur, et aucun email n’est envoyé à votre alias.

Le détail de la vérification

• Objectif de taverne : votre navigateur met chaque réponse en minuscules et retire les accents et les articles. Il la transforme ensuite en hash (une empreinte : un code fixe calculé à partir du texte, qui ne permet pas de retrouver le texte). Il compare ce hash à ceux des réponses acceptées. Plusieurs formulations sont prévues pour chaque affaire.

• Objectif de donjon : votre navigateur vérifie trois choses.

  1. L’adresse a un format valide.
  2. Son domaine figure dans la liste des domaines d’alias connus, rangée dans la page : Proton Pass, SimpleLogin, addy.io, Firefox Relay, Apple, DuckDuckGo et quelques autres. Une boîte ordinaire (Gmail, Outlook, Orange, Free, ou Proton Mail en adresse principale) est refusée, avec une explication : c’est une boîte, pas un alias.
  3. La partie avant le @ ne ressemble pas à une adresse nominative. Le navigateur cherche des prénoms courants et des formes prenom.nom. S’il en trouve, la Cafetière ne refuse pas : elle explique pourquoi c’est dommage et propose d’en refaire un aléatoire.

  Seul un hash de l’alias est gardé dans votre parchemin, pour qu’un même alias ne serve pas deux fois. Le site n’a aucun serveur pour écrire à votre alias, et ne le ferait pas s’il en avait un.

• Peut-on tricher ? Oui. Quelqu’un qui lit le code de la page peut inventer une adresse au bon format. C’est assumé : il n’y a rien à gagner, sauf un écusson sur votre propre disque. Le seul vrai gain, c’est d’avoir l’alias.

Les sucres

Les sucres sont trois niveaux d’aide gratuits. Un sucre donne une piste, deux donnent la méthode, trois donnent la solution. Ouvrez-les un par un. Ils ne vous retirent rien : votre journal note seulement combien vous en avez pris.

Un sucre, une piste

Pour l’objectif de taverne : dans les deux affaires, cherchez ce que l’utilisateur a donné en dehors du contenu de ses emails, au moment de se connecter, puis au moment de s’inscrire.

Deux sucres, la méthode

Pour l’objectif de donjon : installez l’extension de Proton Pass, de SimpleLogin ou d’addy.io, ou ouvrez leur site. Cherchez le bouton qui crée un alias. Choisissez le type aléatoire. Le service affiche l’adresse de l’alias : c’est elle qu’il faut copier.

Trois sucres, la solution

• Objectif de taverne : en 2021, l’adresse IP de connexion ; en 2024, l’adresse de récupération (une adresse iCloud).

• Objectif de donjon :

  • dans l’extension Proton Pass : « + », puis « Alias », puis « Create alias » ;
  • dans SimpleLogin : le bouton « Random Alias » du tableau de bord ;
  • dans addy.io : « Create Alias », puis le format « Random Characters ».

  Copiez l’adresse affichée, puis collez-la dans l’encart.

Le déca

Vous pouvez lire la salle sans accomplir la quête : c’est « prendre un déca ». Vous n’aurez pas l’écusson, mais le chemin continue, et vous pourrez revenir faire la quête quand vous voudrez.

Le verdict

Écusson forgé : Cent boîtes aux lettres. Vous avez une adresse par site. La Poste en rêvait, l’administration fiscale aussi, vous l’avez fait.

Percolozor, en voix off. J’ai une adresse par site, et je ne me souviens d’aucune. Mon gestionnaire de mots de passe, si : c’est toute la différence entre un système et une mémoire.

Ce que dit la loi

En bref : aucun texte n’impose une adresse email à votre nom, et l’usage du chiffrement est libre en France. Le seul risque pénal vient d’un alias qui prend l’identité d’une personne réelle.

La loi en détail : adresse nominative, chiffrement, usurpation, conservation des connexions

• Aucune obligation d’utiliser une adresse à votre nom. Aucun texte n’impose une adresse email nominative pour s’inscrire sur un site. Les banques et les prestataires crypto vérifient votre identité par vos pièces justificatives (c’est le KYC, la vérification d’identité du client), pas par votre adresse. Un alias leur convient.
• Le chiffrement est libre. En France, « l’utilisation des moyens de cryptologie est libre » (article 30 de la loi pour la confiance dans l’économie numérique du 21 juin 2004). Utiliser une boîte chiffrée ne demande aucune démarche.
• Pseudonyme n’est pas usurpation. L’usurpation d’identité (article 226-4-1 du code pénal) punit d’un an d’emprisonnement et de 15 000 € d’amende le fait d’usurper l’identité d’un tiers, ou d’utiliser des données qui l’identifient. Il faut que ce soit pour troubler sa tranquillité ou celle d’autrui, ou pour porter atteinte à son honneur ou à sa considération. Un alias aléatoire n’est l’identité de personne. Prendre l’adresse ou le nom d’une personne réelle, même pour rire, peut tomber dedans.
• Votre fournisseur d’accès garde vos connexions. Les opérateurs français conservent un an les données qui identifient la source d’une connexion, dont l’adresse IP (article L34-1 du code des postes et des communications électroniques). Le décret n° 2026-920 du 30 septembre 2026 leur impose aussi de garder un an les données de trafic et de localisation. Ils savent que vous vous connectez à Proton, pas ce que vous y écrivez.

Le reste du droit des communications (conservation, réquisitions, projets d’analyse des messages) est au Cabinet Noir · Chat Control et la loi.

Pour aller plus loin

Dans la Tour aux Volets

• L’Atelier du Serrurier · Les mots de passe, enfin réglés : la salle à faire avant celle-ci, ou juste après. Vingt alias sans gestionnaire, ce sont vingt adresses oubliées.
• La Diligence aux Rideaux Tirés · VPN et fournisseur d’accès : déplacer la confiance : une première façon de masquer votre adresse IP de connexion.
• Les Souterrains à Trois Relais · Tor : se fondre dans la foule : la façon la plus sûre de la masquer.
• La Garde-Robe · Cloisonner : une identité par usage : la suite. Un alias sépare vos comptes ; une identité cloisonnée sépare vos vies.

Dans l’Aile du Trésor

• Le Grand Salon des Changeurs · Acheter au guichet : la plateforme où vous achetez connaît votre identité, mais elle n’a pas besoin de votre adresse principale. Donnez-lui son alias : le jour où elle fuite, vous saurez d’où viennent les escrocs.
• La Herse aux Douze Mots · Vos douze mots : la phrase de récupération de votre boîte se range comme vos douze mots, sur papier.

Dans la Volière

• La Salle du Tri Postal · L’enveloppe parle plus que la lettre : la leçon de cette salle, généralisée. Le contenu chiffré tient ; les métadonnées parlent.
• Le Pigeonnier Discret · Signal, numéro masqué : pour les conversations privées, l’outil qui remplace l’email.

Sources

Vérifiées en octobre 2026.

• Proton, rapport de transparence (mis à jour le 6 janvier 2026) : https://proton.me/legal/transparency
• Proton, politique de confidentialité, journaux IP (§2.5 : pas de journaux IP permanents par défaut) : https://proton.me/legal/privacy
• Proton, page « À propos » (« utilisé par des millions de personnes ») : https://proton.me/about
• Proton Mail, offres et limites du plan gratuit (relevé le 26/10/2026) : https://proton.me/mail/pricing
• Proton Pass, nombre d’alias et prix de Pass Plus (relevé le 26/10/2026) : https://proton.me/pass/pricing
• Proton Pass, créer un alias depuis l’extension (« + », « Alias », « Create alias ») : https://proton.me/support/pass-add-mailbox
• SimpleLogin, offres (relevé le 26/10/2026) : https://simplelogin.io/pricing/
• SimpleLogin, créer un alias (bouton « Random Alias ») : https://simplelogin.io/docs/getting-started/create-alias/
• addy.io, offres et domaines partagés (relevé le 26/10/2026) : https://addy.io/
• addy.io, créer un alias (« Create Alias », format « Random Characters ») : https://addy.io/help/creating-new-email-aliases
• Firefox Relay, 5 alias gratuits (relevé le 26/10/2026) : https://relay.firefox.com/
• Tuta, offres (1 Go gratuit ; 3 € par utilisateur et par mois en Revolutionary, relevé le 26/10/2026) : https://tuta.com/pricing
• Tuta, aide : suppression des comptes gratuits après plus de six mois sans connexion : https://tuta.com/support
• Apple, « Masquer mon adresse e-mail » avec « Se connecter avec Apple » : https://support.apple.com/en-us/105078
• Apple, « Masquer mon adresse e-mail » inclus dans iCloud+ : https://support.apple.com/en-us/102548
• DuckDuckGo, Email Protection (service gratuit, retrait des traqueurs) : https://duckduckgo.com/duckduckgo-help-pages/email-protection/what-is-duckduckgo-email-protection
• Proton et l’adresse IP d’un militant (2021) : https://www.theregister.com/2021/09/07/protonmail_hands_user_ip_address_police/ ; https://www.welivesecurity.com/2021/09/07/protonmail-log-users-ip-address/ ; https://www.securityweek.com/protonmail-wrongly-criticized-disclosing-user-ip-authorities/
• Proton, Apple et la police espagnole (2024) : https://techcrunch.com/2024/05/08/encrypted-services-apple-proton-and-wire-helped-spanish-police-identify-activist ; https://www.theregister.com/2024/05/13/infosec_in_brief
• Tutanota et le tribunal de Cologne (2020) : https://www.theregister.com/2020/12/08/tutanota_backdoor_court_order/ ; https://cyberscoop.com/germany-court-ruling-tutanota-email-monitoring/
• Cour fédérale de justice allemande, décision StB 47/20 du 27 avril 2021, et sa couverture (secondaire) : https://gesetze.co/urteile/StB_47-20 ; https://cyberscoop.com/court-rules-encrypted-email-tutanota-monitor-messages/
• Proton rachète SimpleLogin (avril 2022 ; fondé à Paris en 2019, code ouvert, plus de 2 millions d’alias) : https://techcrunch.com/2022/04/08/proton-buys-simplelogin/ ; https://startupticker.ch/en/news/proton-acquires-french-privacy-startup-simplelogin
• Have I Been Pwned, compteur de la page d’accueil (17 846 550 965 comptes, 1 047 fuites, relevé le 26/10/2026) : https://haveibeenpwned.com
• ANSSI, liberté d’utilisation de la cryptologie : https://cyber.gouv.fr/crypto-le-webdoc/chapitre-iii-s%C3%A9curit%C3%A9-secret-et-l%C3%A9galit%C3%A9/
• Loi n° 2004-575 du 21 juin 2004, article 30 : https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000006421577
• Code pénal, article 226-4-1 (usurpation d’identité) : https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000023709201
• Code des postes et des communications électroniques, article L34-1 (conservation des données de connexion) : https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000051741279
• Décret n° 2026-920 du 30 septembre 2026, conservation pour un an des données de trafic et de localisation : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000054945173