Comment envoyer un email de manière anonyme ?

Que l’on soit lanceur d’alerte, journaliste, dissident, ou simple citoyen soucieux de préserver la confidentialité et la sécurité de ses données personnelles, il est parfaitement légitime de vouloir veiller à son anonymat sur le web et au caractère réellement privé de ses communications en ligne. Comment garantir la confidentialité de ses emails et de son identité en tant qu’expéditeur et destinataire ?

Pourquoi un email compromet-il votre anonymat en ligne ?

Si, en théorie, les messages envoyés par email ne concernent que les participants d’un même échange, la pratique révèle une tout autre réalité. Un email n’est jamais réellement privé et divulgue autant d’éléments d’identification (nom, prénom, adresse email, adresse IP de l’expéditeur, donc FAI et géolocalisation), que d’informations confidentielles contenues dans le texte (identifiants, mots de passe stockés en clair, infos administratives, centres d’intérêt). Des données auxquelles peuvent accéder instances gouvernementales trop curieuses, services en lignes intrusifs ou tiers malintentionnés.

Malgré leur simplicité d’utilisation, leurs options de stockage sécurisé et leur statut d’autorité conféré par leur popularité, les services comme Gmail, Outlook, et les plateformes gérées par les FAI n’octroient pas plus de confidentialité et d’anonymat à leurs utilisateurs et utilisatrices que d’autres messageries moins connues.

À titre d’exemple, Google peut lire et analyser les mails envoyés et reçus sur Gmail afin de proposer des publicités personnalisées à ses internautes.

Par là même, en France, les FAI sont tenus de conserver entre un et cinq ans les informations relatives à l’identité civile de l’utilisateur, les informations fournies par l’utilisateur lui-même lors de la souscription du contrat, les données techniques permettant d’identifier la source de la connexion. En cas d’injonction du Premier ministre, les FAI doivent également fournir un accès rapide aux données relatives aux communications électroniques (Code des postes et des communications électroniques).

Comment garantir la confidentialité de ses emails ?

Compte tenu des différents constats dressés ci-dessus, il est important de prendre plusieurs mesures élémentaires pour protéger la confidentialité de ses échanges électroniques, garantir la sécurité de ses données personnelles et préserver son anonymat, en tant qu’expéditeur comme destinataire.

La première chose à faire consiste à ne jamais divulguer d’informations sensibles par mail, comme des mots de passe ou des identifiants en clair.

Il est par ailleurs impératif d’abandonner les services de messagerie grand public qui, s’ils assurent chiffrer vos communications en transit, ne se gênent pas pour analyser vos correspondances à des fins publicitaires. Même constat pour les plateformes gérées par les FAI, alors que les fournisseurs d’accès à Internet sont légalement contraints de conserver données de connexions et de trafic, ainsi que d’offrir, dans certains cas particuliers, un accès direct aux messages sur ordre des autorités compétentes.

Enfin, même si vous prenez vos dispositions pour rendre vos emails illisibles, il sera toujours possible de tracer vos connexions à des services de messageries chiffrées et sécurisées grâce à votre IP. D’où l’importance, en complément de toutes les précautions prises, de masquer votre adresse IP.

Alors, concrètement, comment fait-on ?

Créer une fausse adresse mail

Les internautes qui souhaitent simplement taire leur identité civile peuvent se contenter de créer une adresse mail sous un faux nom. Il suffit de créer un nouveau compte chez n’importe quel fournisseur de messagerie grand public et d’indiquer de fausses informations (nom, prénom, éventuellement adresse et numéro de téléphone). Ce type d’adresse suffit lorsque l’on souhaite ouvrir un compte sur une plateforme web exigeant la vérification de l’adresse au moment de l’inscription.

D’autres solutions, comme les adresses email jetables, promettent meilleure sécurité des informations privées et respect de l’anonymat, en particulier vis-à-vis des entreprises tirant bénéfice du traitement et de la revente des données personnelles. Divers services gratuits et/ou premium, tels que Guerilla Mail ou AnonymouseMail, permettent d’envoyer et de recevoir des messages à partir d’une adresse temporaire, générée aléatoirement, dont la durée de validité varie de quelques minutes à quelques jours.

Dans le cas où l’on souhaite garder trace de toutes communications, les alias constituent une bonne alternative aux adresses jetables. À titre d’exemple, Firefox Relay propose à ses utilisateurs de créer des adresses mail secondaires (alias). Tous les messages reçus par des alias sont automatiquement transférés vers la véritable adresse mail de l’internaute. En cas de réception massive de spams sur l’un des alias, il est possible de le supprimer et d’en créer un nouveau.

Utiliser un service mail chiffré et vraiment privé

Les solutions précédemment abordées ont l’avantage de lutter efficacement contre les spams et autres emails indésirables. Le caractère éphémère des adresses temporaires empêche toutefois d’entretenir une communication régulière avec un interlocuteur tandis que le lien obligatoire entre alias et adresse mail principale ne permet pas de garantir à 100% l’anonymat des internautes.

C’est ici qu’interviennent les fournisseurs de messageries chiffrées. Ces services reposent sur un mode de fonctionnement identique à celui des messageries grand public, à la différence que tous les emails entrants et sortants sont verrouillés à l’aide d’un chiffrement de bout en bout. Par conséquent, si le message est intercepté entre deux boîtes de réception compatibles avec le même algorithme de chiffrement, il ne pourra être lu ni attribué à un expéditeur/destinataire. Dans les cas les plus sécurisés, les emails chiffrés peuvent également être protégés par un mot de passe complémentaire, garant de l’anonymat des emails envoyés à des contacts utilisant un service de messagerie standard.

Parmi les fournisseurs mail chiffré les plus respectueux de l’anonymat, on peut bien évidemment citer ProtonMail, Mailbox.org ou MailFence.

Masquer son IP avec un VPN

Même en recourant à un service mail chiffré hautement sécurisé, certaines données d’identification peuvent toujours filtrer. On pense en particulier aux métadonnées des pièces jointes qu’il faut impérativement supprimer en amont.

L’adresse IP, toujours accessible aux FAI, plateformes web et autres tiers surveillant le réseau, permet également d’identifier les internautes, de tracer leurs activités en ligne, et donc de savoir quels services de messagerie ils utilisent, à quelle fréquence. D’où l’importance d’activer un VPN à chaque connexion Internet, même s’il s’agit seulement de consulter sa boîte de réception.

Classé parmi les meilleurs services VPN du marché, ExpressVPN permet de masquer efficacement son adresse IP. Équipé d’un parc de plus de 3 000 serveurs RAM répartis dans 94 pays (160 localisations), il permet également de masquer la géolocalisation réelle de l’internaute et de faire croire aux sites web consultés qu’il se connecte d’un autre pays que le sien. La connexion entre l’appareil de connexion et le serveur VPN sélectionné est chiffrée à l’aide de l’algorithme militaire AES-256 et transite via l’un des protocoles VPN sécurisés pris en charge par le service, à savoir sa solution maison open source Lightway, OpenVPN (TCP et UDP), IKEv2 ou L2TP/IPSec.

En activant ExpressVPN à chaque fois qu’il se connecte à Internet, l’utilisateur s’assure que sa connexion, son trafic, et donc ses données personnelles, ne peuvent être interceptés ni déchiffrés par des tiers trop curieux et/ou malveillants. En cas de décrochage du VPN (microcoupure d’électricité, panne Internet, changement de réseau), le kill switch bloque instantanément le trafic Internet entrant et sortant de l’appareil de manière à empêcher les fuites de données en dehors du tunnel VPN. Par conséquent, les communications personnelles sont en permanence certifiées confidentielles et anonymes, à plus forte raison si l’internaute a pris soin de passer par un fournisseur mail chiffré.

Disponible sur desktop (Windows, macOS, Linux), mobile (Android, iOS) et compatible avec de nombreux routeurs et box Internet, ExpressVPN prend en charge jusqu’à cinq connexions simultanées. Afin de permettre aux internautes de tester le service avant de s’engager durablement, le fournisseur VPN dispose d’une garantie satisfait ou remboursée de 30 jours.

Dans l’optique de préserver complètement l’anonymat de ses utilisateurs, ExpressVPN applique une politique zero log très stricte (domiciliation VPN aux Îles Vierges britanniques) et accepte les paiements crypto.