Lire l'expéditeur et les en-têtes

Module 2: Lire ses e-mails · Temps de lecture : 10 minutes

Objectif pédagogique : À l'issue de cette leçon, vous savez distinguer le nom affiché et l'adresse réelle d'un expéditeur, ouvrir les en-têtes d'un message et lire Return-Path, Received, Authentication-Results et List-Unsubscribe. Vous savez aussi ce que les images externes et les accusés de réception révèlent sur vous.

Notions clés : nom affiché, Répondre à, En-têtes, Afficher la source, Authentication-Results, alignement, List-Unsubscribe, ressources distantes, pixel espion, accusé de réception

Un nom n'est pas une adresse

Dans la liste des messages, vous ne voyez généralement pas d'adresse e-mail, mais un nom : "Karim", "Atelier floral Example", "Service client". C'est le nom affiché. Dans l'en-tête From, il figure devant l'adresse :

From: Julie Dubois <julie@example.com>

L'expéditeur choisit lui-même son nom affiché, et n'importe qui peut saisir n'importe quel nom. Un escroc peut donc envoyer un e-mail sous le nom "Julie Dubois" depuis une tout autre adresse. Dans la leçon 4.1, vous configurerez votre propre nom affiché ; ici, l'essentiel est de ne pas vous fier aveuglément à celui des autres.

Dans la webmail, cliquez sur Détails au-dessus d'un message ouvert. Vous voyez alors, en plus du nom, l'adresse complète de l'expéditeur et de tous les destinataires. Lorsqu'un e-mail vous demande quelque chose, regardez toujours l'adresse, et surtout la partie après le @.

Répondre à : où va réellement votre réponse

Un e-mail peut contenir un en-tête Reply-To, affiché dans la webmail sous le nom Répondre à. Si vous cliquez sur Répondre, votre réponse part vers cette adresse et non vers From. Il y a de bonnes raisons à cela. Une boutique en ligne, par exemple, envoie depuis noreply@ et indique son service client dans Répondre à.

Mais c'est aussi une ruse bien connue. Un e-mail semble venir du directeur, avec la bonne adresse dans From, mais Répondre à pointe vers une adresse de l'escroc. Quiconque répond discute dès lors avec l'escroc. Face à une demande inattendue, vérifiez donc dans la fenêtre de rédaction vers quelle adresse part votre réponse, avant de cliquer sur Envoyer.

Ouvrir les en-têtes

L'affichage d'un e-mail ne montre que quelques en-têtes. Vous pouvez ouvrir les autres de deux façons :

• En-têtes au-dessus du message : la webmail ouvre une fenêtre avec tous les en-têtes du message, comme sur l'image.
• Plus > Afficher la source : la webmail ouvre dans un nouvel onglet le message complet tel qu'il est stocké sur le serveur, c'est-à-dire les en-têtes, une ligne vide, puis le contenu et les pièces jointes sous forme de texte.

Dans le menu Plus, vous trouvez aussi Exporter.... Cette option télécharge le message sous forme de fichier .eml, par exemple pour le transmettre à votre fournisseur ou à un collègue qui doit examiner les en-têtes.

Au début, les en-têtes ressemblent à un fouillis. Inutile de tous les connaître. Cherchez de façon ciblée quatre types d'en-têtes.

Quatre en-têtes qui en disent long

Karim reçoit une newsletter de son grossiste, "Grossiste Example". Les en-têtes contiennent notamment ceci (version abrégée) :

Return-Path: <bounce-7731@mailer.example.org>
Received: from mailer.example.org (mailer.example.org [198.51.100.40])
        by mx.example.net with ESMTPS
        for <karim@example.net>; Mon, 09 Nov 2026 07:02:11 +0100
Authentication-Results: mx.example.net;
        spf=pass smtp.mailfrom=mailer.example.org;
        dkim=pass header.d=example.org;
        dmarc=pass header.from=example.org
From: Grossiste Example <actualites@example.org>
List-Unsubscribe: <https://www.example.org/desabonnement?id=7731>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Return-Path est l'adresse d'expéditeur de l'enveloppe vue dans la leçon 1.1. Les messages d'erreur y sont envoyés. Pour les newsletters, il s'agit souvent d'une adresse distincte par destinataire, afin que l'expéditeur puisse voir quelle adresse ne fonctionne plus.

Received indique quel serveur a transmis l'e-mail à quel serveur. La ligne du haut a été créée par le serveur de Karim lui-même. C'est la ligne la plus fiable : vous y voyez depuis quel serveur et quelle adresse IP l'e-mail est réellement arrivé.

Authentication-Results est le rapport du serveur de réception sur les contrôles vus dans la leçon 1.1 :

• spf=pass avec smtp.mailfrom : le serveur qui a livré l'e-mail est autorisé à envoyer au nom du domaine de l'expéditeur de l'enveloppe.
• dkim=pass avec header.d : la signature numérique est valide et a été apposée par ce domaine.
• dmarc=pass avec header.from : le domaine indiqué dans From correspond à un contrôle SPF ou DKIM réussi. C'est ce qu'on appelle l'alignement. Ici, DKIM est signé par example.org, et From est aussi example.org. mailer.example.org compte également comme aligné, car il relève du même domaine.

Important : seul l'en-tête Authentication-Results de votre propre serveur de réception compte. Un expéditeur peut lui-même insérer dans son message une fausse ligne avec "pass". Regardez donc quel serveur a écrit la ligne (le premier mot, ici mx.example.net). Tous les serveurs n'ajoutent pas cette ligne. Si vous ne la voyez pas, vous pouvez tout de même vérifier s'il existe un en-tête DKIM-Signature et pour quel domaine (d=).

Attention aussi : pass signifie uniquement que l'e-mail provient réellement de ce domaine. Un escroc disposant de son propre domaine, comme example-payment.example, peut très bien obtenir un pass pour les trois contrôles. Le contrôle indique qui envoie, pas si cet expéditeur est digne de confiance.

List-Unsubscribe est une adresse de désabonnement que les logiciels de messagerie peuvent utiliser pour proposer un bouton de désabonnement. Avec List-Unsubscribe-Post en plus, cela fonctionne en un clic, sans devoir d'abord confirmer sur un site web. Pour une newsletter à laquelle vous vous êtes inscrit vous-même, le désabonnement est la bonne solution. Pour du vrai spam, non : vous ne feriez que confirmer que votre adresse existe (leçon 8.2).

Images externes et pixels espions

De nombreuses newsletters chargent leurs images depuis Internet au moment où vous ouvrez l'e-mail. Ce sont des ressources distantes. Une telle image peut contenir un code unique dans son adresse, ou même être une image invisible d'un seul pixel : un pixel espion. Dès que vous ouvrez l'e-mail et que l'image se charge, l'expéditeur sait que vous l'avez ouvert, quand, et depuis quelle adresse IP.

Par défaut, la webmail de WebOké ne charge pas les ressources distantes. Vous voyez alors une barre indiquant qu'elles ont été bloquées, avec un bouton pour les charger malgré tout pour ce message uniquement. Dans Paramètres > Préférences > Affichage des courriels, l'option Autoriser les ressources distantes vous permet de choisir entre jamais, de mes contacts, d’expéditeurs de confiance, ou toujours. Toujours est déconseillé : chaque expéditeur, y compris un spammeur, verrait alors que votre adresse existe et qu'elle est lue.

Accusés de réception

Un expéditeur peut demander un accusé de réception : une notification lorsque vous ouvrez le message. La webmail vous demande alors si vous souhaitez l'envoyer. Vous n'y êtes pas obligé. L'accusé indique d'ailleurs seulement que le message s'est affiché sur votre écran, pas que vous l'avez lu ou compris. Dans Affichage des courriels, vous définissez ce que la webmail fait de ces demandes ; en cas de doute, laissez-la toujours vous demander. Pour un expéditeur inconnu, n'en envoyez pas.

En pratique : comment cela fonctionne dans la webmail

Au-dessus d'un message ouvert se trouvent Détails, En-têtes et Texte brut. Afficher la source et Exporter... se trouvent sous Plus. Les ressources distantes se configurent dans Paramètres > Préférences > Affichage des courriels. Le guide Roundcube décrit les boutons dans la partie Lire un message ; la lecture des en-têtes est également expliquée dans la base de connaissances. Dans d'autres webmails, comme Gmail ou Outlook.com, le fonctionnement est similaire, même si le bouton pour afficher la source y porte un autre nom.

Résumé

• L'expéditeur choisit lui-même son nom affiché ; utilisez Détails pour voir l'adresse réelle et le domaine.
• Répondre à détermine où part votre réponse, et peut pointer vers un autre domaine.
• Avec En-têtes ou Plus > Afficher la source, vous voyez tous les en-têtes ; lisez Return-Path, le Received du haut, Authentication-Results et List-Unsubscribe.
• Seul l'en-tête Authentication-Results de votre propre serveur compte, et pass indique qui envoie, pas si l'expéditeur est fiable.
• Les ressources distantes et les accusés de réception signalent à l'expéditeur que vous avez ouvert l'e-mail.

Quiz

Exercice

Exercice A2.2 : Analyser un vrai e-mail. Choisissez un e-mail que vous avez reçu, par exemple une newsletter. Ouvrez-le, choisissez Plus > Afficher la source, et copiez uniquement les en-têtes : tout ce qui précède la première ligne vide. Collez-les dans le formulaire et indiquez le domaine de l'expéditeur (From) et le domaine de Return-Path. Le programme analyse les en-têtes collés en mémoire (rien n'est enregistré), compare vos réponses et affiche ce qu'il a trouvé : la chaîne Received, le domaine DKIM et l'alignement ou non des domaines. Vert : les deux réponses sont correctes. Orange : une seule est correcte. Rouge : aucune n'est correcte.

Pour aller plus loin

Les étapes décrites dans la webmail s'appliquent à la webmail de WebOké ; dans d'autres webmails, le fonctionnement est similaire.

• Roundcube Webmail 3.1: Lire un message
• Consulter et lire les en-têtes (headers) d'un e-mail
• Cours gratuit E-mail en ordre : configuration et bonne réception des messages 1.5: Lire les en-têtes : d'où venait vraiment ce message ?
• Formation gratuite Sécurité en ligne pour les entrepreneurs 3.3: Lire l'expéditeur et les en-têtes
• Cours gratuit E-mail en ordre : configuration et bonne réception des messages 7.2: Consentement, désabonnement et liste propre
• RFC 5322, Internet Message Format (en anglais) : https://www.rfc-editor.org/rfc/rfc5322
• RFC 2369, List-Unsubscribe et autres en-têtes de liste (en anglais) : https://www.rfc-editor.org/rfc/rfc2369
• RFC 8058, désabonnement en un clic (en anglais) : https://www.rfc-editor.org/rfc/rfc8058
• Exporter un message au format .eml et l'importer à nouveau