Suivre le devenir d’une adresse email aspirée depuis une page web par un robot spammeur

En créant mon site d’information sur le tampon encreur, j’ai bien entendu publié une page comportant des mentions légales. Dessus, j’y ai publié mon adresse email pour me joindre en cas de besoin.

Cependant, pour empêcher que les moteurs de recherche légitimes ne servent aux spammeurs à alimenter leurs bases de données d’adresses à spammer, j’ai bloqué l’accès à cette page d’informations via le fichier robots.txt. D’une part, cela bloque les robots d’indexation des moteurs de recherche légitimes empêchant les requêtes telles que « nous contacter » d’aboutir sur les pages où figurent des adresses email de contact ; d’autre part, cela bloque aussi les technologies d’indexation légitimes qui respectent le standard robots.txt, utilisées probablement assez souvent et sans modification par les spammeurs en tous genres pour explorer le web en quête de failles de sécurité et autres usages d’aspirateurs de contenus ou d’adresses mail.

Mais je suis sans doute naïf, me direz-vous. Pourquoi n’ai-je donc pas installé un formulaire de contact ? Parce que cela supposerait que j’installe ou que je configure un serveur mail associé à ce site, et que je ne le souhaite pas, car la gestion des mails est un métier que je ne maîtrise pas, en plus d’être un travail qui nécessite une importante part de maintenance. Beaucoup l’ignorent, mais un bête formulaire de contact est souvent exploité par les spammeurs pour relayer leur spam. Enfin, à quoi bon tenter de résoudre le problème du spam par des moyens détournés alors que de toutes façons, celui-ci arrive en masse par d’autres moyens et qu’il existe des technologies standard ou propriétaires visant à le filtrer, certes, avec une efficacité variable ?

Bref, au lieu de m’assurer qu’aucun spammeur ne puisse découvrir mon adresse email, j’ai préféré plutôt la suivre en la rendant unique et spécifique à la page où elle est publiée. Ainsi, j’ai exploité la fonctionnalité de GMail et Google Apps pour votre Domaine pour y inclure une adresse de la forme martin+mentions-legales-nom-du-site@example.com.

En effet, le protocole mail implique que le signe « + » puisse être suivi de n’importe quoi par après jusqu’au signe « @ » tout en garantissant que ces informations soient purement et simplement ignorées. Ceci permet notamment de mieux gérer le tri automatique ou encore — comme ici — le devenir d’une adresse email. D’autres méthodes existent, comme la mise en place de redirections, mais cela implique un travail additionnel au niveau du serveur mail.

Attention cependant : n’utilisez pas cette astuce abusivement. En effet, beaucoup de lettres d’informations et listes de diffusion notamment acceptent l’adresse avec le « + » à l’abonnement, mais non au désabonnement, refusant un format incorrect, du fait d’une procédure de vérification des emails mal programmée. Vous risqueriez donc d’être abonné à ces listes à vie…

Toujours est-il qu’au moins un spammeur a exploité mon adresse en l’état ce qui me fait dire que tous ou certains spammeurs utilisent des robots aspirateurs d’adresses email sur le web (certes, j’enfonce une porte ouverte), ignorent les pages protégées de l’indexation par un fichier robots.txt (certes, ce qui n’est guère une surprise), prennent les adresses email trouvées telles quelles, sans les nettoyer (certes, à quoi bon ?) et enfin peuvent être suivis.

En suivant ainsi les accès des robots aspirateurs et en analysant le contenu des emails reçus, on peut probablement identifier ne serait-ce que partiellement l’étendue d’un réseau sous contrôle du spammeur, que ce réseau soit à base de serveurs dédiés au spam ou d’ordinateurs zombies.

Comments

  1. pour ma part je fais plus simple je définie des adresses emails spécifiques que je reroute sur mon compte principal tout en créant un filtre dans gmail pour identifier visuellement le bouzin généré par ces newsletters…

  2. @henri : En effet, on peut faire cela, mais cela « coûte » plus cher que d’ajouter un « +identifiant-unique » à une adresse déjà existante.

  3. Quand tu parles d’au moins un spammeur qui a exploite ton adresse, est-ce que justement dans ce cas precis tu as pu suivre le suivre (ou plutot le ‘tracer’) grace a la partie se trouvant apres le + dans l’adresse email?

  4. Autrement j’ai une question assez generale et naive, de non-specialiste du web, peut-etre un jour pourrais-tu developper un article (ou a defaut juste une reponse); devant l’etendue des activites des spammeurs (robots spammeurs…), je me doute bien du gain enorme que cela peut apporter a certains, je parle des personnes qui controlent d’une facon ou d’une autre ces activites, mais je me demande d’ou reellement provient leurs gains? Car moi si je recois un email dont le titre me permet de l’identifier comme spam, je l’efface immediatement, et a defaut si j’ai un doute j’ouvre le message mais alors le contenu me permettra de toute facon de l’identifier comme spam et alors j’efface aussi. Donc ca fait perdre du temps, mais dans tous les cas ca ne passe pas. Je ne pense pourtant pas etre malin dans ce domaine, et surtout j’ai l’impression tout le monde agit exactement comme moi. Alors comment le spam peut-il etre efficace? Qu’est-ce que les spammeurs ont vraiment a gagner?

  5. @Roman Age : Oui, c’est du fait que ce spammeur utilisait l’adresse marquée de manière unique avec le + que j’ai pu identifier la page qu’il a nécessairement explorée pour l’en extraire.

    Pour ce qui est du spam, si toi, tu en as pris l’habitude, comprends que de nouveaux utilisateurs Internet arrivent chaque jour et ne savent pas toujours identifier le spam. Ils sont même très intrigués de voir figurer leur nom dans les emails, emails qu’ils affirment souvent ne jamais avoir fourni à personne (sauf à tous leurs amis, dont certains vérolés), et cliquent sur les URL fournies. Or, ces adresses peuvent contenir des liens d’affiliation vers des boutiques qu’ils fréquentent déjà, ou d’autres formes de publicités qui rémunèrent les affiliés, voire des logiciels malveillants qui transforment leurs ordinateurs en zombies loués par la suite par les pirates pour leur puissance de calcul. Enfin, il y a aussi ceux qui — comme les publicités papier reçues dans les boîtes aux lettres — lisent les spams et les considèrent comme des emails légitimes… Le taux de retour des spams serait aux environs de 1 pour 1.000, et vu ce que ça coûte, certains s’en satisfont très amplement…

  6. Je pense que les éditeurs de solutions antispam doivent laisser des adresses mail sur certains sites pour griller ceux qui les aspirent.

Speak Your Mind

*