English | Español | Deutsch | Italiano | Dutch | Hrvatski | Hindi

Publié à l'origine sur Substack le 18 septembre 2022

Mis à jour ici le 18 décembre 2024

Guide de Darth sur la gestion des spams

SPAM - Ne le combattez pas, mais évitez-le en silence.

Oui, si vous le « combattez », cela devient agressif et vous n'arriverez à rien. L'évitement est la solution, vous prétendez que leurs tactiques de spam ont fonctionné sur vous, mais en fait, vous le jetez simplement à la poubelle.

J'ai été contacté par certains de mes lecteurs et ils m'ont demandé d'écrire un guide sur le spam par courrier électronique, alors le voici ! Oui, de nombreux utilisateurs de Bitcoin sont aujourd'hui frappés par beaucoup de spam et beaucoup d'entre eux ne sont pas très doués en technologie avec ce genre de choses et peuvent avoir peur et ne pas savoir quoi faire.

Je vais essayer de vous donner quelques conseils et solutions simples, que tout utilisateur normal peut faire. J'ai fait plus de 20 ans de tâches d'administrateur système, y compris pour gérer les spammeurs sur les serveurs de messagerie que je gérais toutes ces années.

Tout le monde ne sait pas comment fonctionne un système de messagerie, ce qui se cache derrière toute la communication. Je vais essayer de ne pas trop entrer dans les détails techniques.

Tout d'abord, catégorisons le spam, nous avons les types suivants :

a. Courrier électronique non sollicité ordinaire

Vous recevez une tonne de messages contenant beaucoup de déchets. Principalement parce que vous avez toujours utilisé votre adresse électronique habituelle pour vous abonner sur de nombreux sites Web différents et que certains d'entre eux ont divulgué cette adresse à des spammeurs ou que vous tombez simplement sur un site Web piège à spam.

b. Courrier électronique usurpé

Lorsque votre adresse électronique tombe entre les mains/listes de spammeurs et est utilisée comme « expéditeur » (dans le champ « de ») des courriers indésirables qu'ils envoient à d'autres personnes. Soyez vigilant ! Elle est également utilisée pour voir si votre serveur de messagerie a mis en place un système de « rapport de non-livraison » et comment gérer les e-mails qui ont une adresse « de confiance »/« sur liste blanche » dans le champ « de ».

c. E-mails de phishing

Voici également 2 sous-catégories : ceux qui connaissent votre véritable adresse e-mail et ceux qui envoient simplement à divers e-mails possibles de votre domaine (si vous en utilisez un personnel).

Ceux-ci sont envoyés pour vous tromper en vous faisant cliquer sur les liens dans le corps du message. Tous ressembleront presque aux véritables expéditeurs, généralement des services Bitcoin célèbres que vous avez peut-être utilisés. Ils ne le savent pas encore, mais ils essaient de le découvrir en vous faisant cliquer dessus. Presque tous redirigent vers des liens d'adresse étranges ou essaient de falsifier la vraie, en changeant/omettant une lettre, des choses comme ça.

d. Spams de type Flood

Lorsque votre serveur est littéralement submergé par une énorme quantité de messages envoyés vers votre serveur et est littéralement bloqué. En ce moment, vous êtes complètement foutu, vous êtes directement attaqué, quelqu'un veut vraiment que votre serveur soit hors service.

Que faire ?

Alors, que peut faire un simple utilisateur pour se protéger des attaques de spam, en particulier lorsqu'il s'agit de sites Bitcoin, d'échanges, etc. ?

Il existe deux niveaux de réponse à cette question : basique et avancé.

ÉTAPES DE BASE (que tout utilisateur régulier peut effectuer) :

Utiliser des alias

Lorsque vous devez utiliser une adresse e-mail pour vous inscrire/vous abonner sur un site Web ou un service, utilisez TOUJOURS un alias.

Un alias est comme une adresse e-mail secondaire liée à votre boîte mail principale. C'est comme un portefeuille Bitcoin, avec différentes adresses BTC / UTXO. Utilisez donc un alias spécifique pour chaque site Web/service.

Exemple : pour créer un compte sur une bourse BTC, utilisez exchange-x-y-z@votre-nom-de-domaine.com.

Oui, direz-vous, mais j'utilise gmail/hotmail etc... Arrêtez d'utiliser ces services de messagerie hébergés publics. Utilisez-les UNIQUEMENT comme récupérateurs de mémoire, ou dans des cas spécifiques lorsque vous ne souhaitez pas révéler votre nom de domaine personnel, éviter de divulguer votre identité ou des choses de ce genre. Ces services de domaine public ne les utilisent que pour des conneries PUBLIQUES, pour garder vos conneries privées privées.

Beaucoup de ces services de domaine public proposent également la création d'alias, certains d'entre eux sont des services supplémentaires payants.

L'utilisation de votre propre nom de domaine de messagerie vous donne plus de flexibilité pour contrôler tous ces alias, mais faites également attention OÙ vous l'utilisez, il n'est pas toujours bon d'utiliser votre domaine de messagerie personnel.

Une autre façon est d'utiliser des services dédiés qui gèrent des alias spécifiques et redirigent tous les e-mails vers votre véritable adresse e-mail. Il y en a pas mal, peut-être que plus tard, j'en ajouterai une liste ici. Il suffit de rechercher sur Internet "alias de redirection d'e-mail" et vous les trouverez. Beaucoup sont gratuits, mais sachez que certains peuvent également être des services de collecte de spam.

Organisez donc votre boîte mail avec des règles qui vérifient le champ « À », contenant votre alias « spécial », et redirigez ces messages vers des sous-dossiers spécifiques que vous créez dans votre boîte de réception principale. De cette façon, vous savez toujours de QUI et à QUEL alias a été envoyé un spam.

Si vous voyez que sur un alias vous commencez à recevoir des spams, vous avez deux options simples :

• supprimez simplement cet alias, s'il a été utilisé pour des choses non importantes
• s'il s'agit de choses importantes, allez sur le site Web où vous l'utilisez et remplacez l'adresse e-mail par un autre alias. Dans le même temps, informez le propriétaire du site Web de la fuite. Si l'alias n'existe plus, tous les spams seront envoyés dans Ether et/ou rejetés.

Aucune image dans le client de messagerie

Que vous utilisiez un client de messagerie de bureau ou mobile, configurez votre logiciel client pour NE PAS télécharger les images jointes à un message.

Oui, il existe une option comme celle-là dans tout client de messagerie décent. Et cela vous protégera du téléchargement de toute image jointe bidon, qui peut être masquée et peut être utilisée comme algorithme de suivi. Habituellement, ils placent les images sur des serveurs dédiés à partir desquels elles sont téléchargées et chaque téléchargement est un suivi de votre IP, appareil, système d'exploitation, logiciel, etc.

De plus, ces images cachent le vrai lien derrière, le lien du malware, sur lequel vous cliquerez sans le savoir et… voilà, vous êtes infecté ou tracé.

Vous pouvez cliquer manuellement pour télécharger des images à partir d'un expéditeur de courrier électronique de confiance, mais pas automatiquement par défaut pour tous.

Politiques de mot de passe

N'utilisez pas le même mot de passe sur tous les sites Web/services que vous utilisez !

C'est l'une des règles les plus importantes et les plus simples.

Un moyen simple de gérer plusieurs mots de passe (je sais qu'il est difficile de tous les retenir) est d'utiliser un gestionnaire de mots de passe. KeePass ou BitWarden sont vraiment bons et peuvent être utilisés totalement hors ligne, sur plusieurs appareils. Ces gestionnaires de mots de passe ont également intégré un générateur de mots de passe, facile à créer de nouveaux mots de passe aléatoires. Pourquoi est-il bon d'avoir un mot de passe aléatoire ? Parce que vous ne pourriez pas être « attaqué mentalement » et divulguer vous-même les mots de passe habituels que vous générez vous-même.

Les gestionnaires de mots de passe en ligne ne sont PAS fiables ! Tout ce qui est stocké sur le serveur de quelqu'un d'autre ne vous appartient PAS !

Si vous souhaitez toujours enregistrer un mot de passe de connexion dans votre navigateur habituel, allez au moins dans les paramètres et définissez un mot de passe principal fort pour ouvrir ce coffre-fort, de manière temporaire. De plus, configurez votre navigateur pour NE PAS enregistrer l'historique, les cookies, etc. en une seule session, de sorte qu'une fois que vous fermez l'application, toutes les conneries restantes soient effacées, de sorte que tous les petits cookies possibles qui peuvent encore lire ces mots de passe stockés disparaissent au redémarrage. Mais cela ne fonctionne pas toujours à 100 %. Alors ne stockez que ceux que vous avez principalement utilisés et qui ne sont pas si importants.

Limitez votre présence en ligne

Oui, pourquoi devez-vous vous abonner à toutes les conneries disponibles en ligne ?

Limitez votre présence en donnant vos informations (même si elles sont fausses/nym) à des conneries inutiles que vous trouvez en ligne.

Arrêtez de participer à des quiz, votes, pétitions, sondages, questionnaires inutiles. Ou au moins sélectionnez-les et essayez d'en utiliser davantage sans donner d'adresse e-mail. Si quelque chose est promu comme « des trucs gratuits », soumettez simplement votre e-mail ici... ce qui signifie dans presque tous les cas : collecter des données utilisateur. Les trucs gratuits ne sont JAMAIS gratuits.

ÉTAPES AVANCÉES (pour les utilisateurs ayant des compétences et des connaissances techniques plus poussées)

Utilisez votre propre domaine hébergé et/ou serveur de messagerie

C'est assez avancé, mais avec quelques connaissances de base, vous pouvez le faire même si vous n'êtes pas un administrateur système.

Option A - votre domaine, mais pas votre serveur

Vous ne pouvez acheter que votre propre domaine.com et héberger le serveur de messagerie dans un VPS, il existe de nombreux services bon marché comme celui-ci et en quelques clics simples, vous avez votre propre serveur de messagerie prêt.

Oui, cela sera géré par quelqu'un d'autre, mais vous pouvez contrôler au moins le logiciel et la configuration, exactement comme vous en avez besoin.

Il existe de nombreuses solutions de messagerie disponibles, je ne les nommerai pas ici, choisissez celle qui convient le mieux à votre utilisation. L'important est que vous ayez plus de flexibilité pour gérer vos propres boîtes aux lettres, vos alias, vos accès, vos e-mails privés et chiffrés, etc.

Option B - votre domaine, votre serveur

Cette option nécessite davantage de compétences techniques pour installer, gérer et maintenir la sécurité d'un véritable serveur pour votre domaine et votre système de messagerie.

Avec celle-ci, vous pourriez même devenir un fournisseur de messagerie pour votre famille et vos amis.

Un simple serveur de messagerie comme celui-ci pourrait même être un NAS (Network Area Storage) comme Qnap ou Synology. Recherchez leurs packages d'applications, ils ont une solution simple pour un serveur de messagerie pour un utilisateur domestique. Par exemple, Xeams est très facile à installer et à configurer avec un NAS QNAP. Il existe de nombreuses autres applications de serveur de messagerie.

Si vous souhaitez un système de messagerie plus robuste et avancé, installez-en un sur une machine Linux, avec un logiciel spécifique comme serveur de messagerie. Là encore, il existe de nombreuses applications à utiliser, certaines plus avancées que d'autres. Beaucoup sont gratuites.

Pour les machines Windows, je recommanderais une application très simple, MailEnable. En quelques clics, vous disposez d'un serveur de messagerie sur votre machine Windows habituelle, avec messagerie Web et également accès depuis divers appareils et clients.

Oui, cette option (votre domaine / votre serveur) nécessite des compétences supplémentaires en matière de réseau, d'OS, de fonctionnement du système de messagerie, de gestion de domaine, de sécurité, de pare-feu, etc.

Mais n'ayez pas peur ! Lisez davantage de documentation et vous pourrez avoir votre propre serveur, même à votre domicile, avec votre connexion Internet habituelle. Oui, avec de simples mesures de sécurité, vous pourriez avoir un serveur sécurisé, il n'y a rien à craindre à ce sujet.

Détecter le véritable expéditeur

Lorsque vous souhaitez créer une liste de spam pour mettre sur liste noire tous les expéditeurs spécifiques, vous devez d'abord savoir QUI l'a envoyé. Ne vous laissez pas tromper par ce que vous voyez dans votre client de messagerie comme champ « de ». Il peut s'agir de n'importe quel élément contenant un @.

Ouvrez donc cet élément de message et accédez aux propriétés du message. Cela ouvrira le panneau d'informations de l'en-tête du courrier électronique.

Vous pouvez y voir la VRAIE communication qui se produit :

• le vrai nom du serveur / IP qui a envoyé ce courrier indésirable
• le vrai nom de domaine qui a été utilisé pour envoyer ce spam. Il n'est pas toujours identique à « expéditeur ». Cela indique donc que la « victime » le domaine a été piraté et leur serveur est utilisé comme « source ».
• l'adresse e-mail utilisée comme expéditeur
• les éventuels serveurs de réacheminement, oui, il peut parfois y avoir plusieurs sauts pour « tromper » vos politiques anti-spam de serveur faibles

Notez donc tous ces détails et/ou faites une liste simple, un texte ou un csv afin de pouvoir les importer plus tard dans les filtres de politique anti-spam de votre serveur.

Organisez vos politiques anti-spam

Il est maintenant temps de vous débarrasser de ces spams inutiles.

Selon le système que vous utilisez, vous devrez donc créer des listes noires et des listes blanches spécifiques.

Il est également bon de mettre en place un système NDR. NDR = réponse de non-livraison.

Il existe plusieurs façons d'utiliser les NDR :

• supprimez simplement les spams en silence
• déplacez-les dans une boîte aux lettres/un dossier spécifique
• marquez-les comme « spam » afin que l'utilisateur puisse être averti visuellement la première fois qu'il les verra dans sa boîte de réception
• répondez à l'expéditeur avec un message spécifique. Je réponds généralement par : « Veuillez m'envoyer 100 000 sat à l'adresse LNURL suivante, afin que vos courriers indésirables ne soient pas traités comme tels ». Choisissez judicieusement le code d'erreur NDR correct parmi les 5.x.x !

Créez des listes blanches. Oui, c'est une bonne pratique d'ajouter les domaines et autres adresses IP de serveurs auxquels vous faites confiance pour recevoir des e-mails, dans une liste blanche.

Certains logiciels de serveur de messagerie sont également livrés directement avec des filtres de listes de spam en ligne comme Barracuda, SpamHaus, SORBS, etc. Ainsi, l'utilisation de listes blanches évitera que ces filtres anti-spam ne rejettent les e-mails valides à recevoir.

Configurez votre serveur de messagerie

Oui, il est très important de configurer correctement tous les paramètres de votre domaine de messagerie : les enregistrements MX, DMARC, SPF, DKIM, etc. sont très importants pour que les autres serveurs ne rejettent pas vos e-mails à cause d'un expéditeur erroné / invalide / inexistant.

Un très bon outil à utiliser dans ce cas est MXToolbox, afin que vous puissiez vérifier vos paramètres et également l'IP sur liste noire (le cas échéant).

Soyez également prudent lors de la configuration des ports ouverts pour votre serveur, si vous l'hébergez chez vous, vous aurez donc besoin d'un accès complet à votre routeur Internet domestique et de gérer les ports.

Un bon outil à utiliser dans ce cas est PING.

Faites attention à ne pas être mis sur liste noire !

Oui, si vous utilisez une IP domestique partagée de votre FAI, elle peut avoir été utilisée auparavant par d'autres spammeurs ou des logiciels malveillants sur certains ordinateurs pour envoyer du spam massif. Automatiquement à des niveaux élevés, cette adresse IP sera bloquée.

Mais ne vous inquiétez pas, il existe des outils pour le débloquer à votre niveau (pas au niveau du FAI) et vous pouvez toujours en informer votre FAI et c'est son devoir de le débloquer (au final, ils vous le fournissent et vous payez pour cela).

De toute façon, cela ne vous empêche pas de garder votre propre réseau propre :

• tous les utilisateurs qui se connectent à votre réseau local ou à votre serveur doivent avoir des PC propres et être conscients des logiciels malveillants qui peuvent utiliser leurs machines pour envoyer du spam massif, en arrière-plan.
• gardez votre serveur propre, ne l'utilisez pas pour vos activités de navigation habituelles.
• Si quelqu'un vous avertit qu'il ne peut pas recevoir d'e-mails de votre part, vous pouvez vérifier sur MXToolbox et prendre les mesures nécessaires, en suivant les instructions.

Jusqu'ici... cela pourrait être quelques étapes de base à suivre. Bien sûr, il y a beaucoup de choses avancées à expliquer, mais ce guide n'a pour but que de vous offrir un point de départ pour en apprendre davantage et vous protéger.

La connaissance est un pouvoir ! Contrôlez-la.