Mes mails arrivent dans les spams de mes destinataires

↑ Ce conseil fait partie du guide : Comptes en ligne piratés

Pourquoi mes mails arrivent-ils en spam chez mes destinataires ?

Votre adresse a servi à envoyer du courrier indésirable : les plaintes de vos destinataires ont dégradé la réputation de votre compte, et leur messagerie classe maintenant tout ce qui vient de vous. Nettoyez les réglages laissés par l'intrus, espacez vos envois, et faites-vous marquer « Non-spam » par vos correspondants.

1. Changez le mot de passe, fermez les sessions ouvertes.
2. Ouvrez le dossier des messages envoyés.
3. Supprimez filtres, transferts et alias inconnus.
4. Lisez le message de rejet reçu en retour.
5. Espacez vos envois pendant quelques jours.
6. Demandez à vos contacts de cliquer « Non-spam ».

Votre adresse a envoyé, votre réputation a payé

Pendant le piratage, votre boîte mail n'a pas seulement été lue : elle a servi. Quelques centaines de messages sont partis en votre nom, souvent la nuit, vers votre carnet d'adresses d'abord. Chaque destinataire qui a cliqué sur « Signaler comme spam » a envoyé un signal à sa propre messagerie. Ces signaux s'additionnent, et ils ne s'effacent pas quand vous reprenez la main.

Ce que les filtres retiennent, ce n'est pas le contenu du message : c'est l'expéditeur. Une messagerie note une adresse comme un banquier note un emprunteur — taux de plaintes, proportion de destinataires qui n'existent plus, régularité des envois, présence dans les carnets d'adresses. Votre note s'est effondrée en une nuit. Elle remonte lentement, parce qu'elle se reconstruit sur des envois ordinaires auxquels on répond.

D'où le symptôme que vous décrivez : le mot de passe est changé depuis dix jours, la boîte est propre, l'ordinateur est passé à l'antivirus, et pourtant votre devis atterrit dans les indésirables de votre client. Rien n'est cassé chez vous. C'est la mémoire des autres messageries qui n'a pas été remise à zéro.

Le symptôme est souvent partiel, et c'est un indice précieux. Si seuls vos correspondants en @outlook.fr et @hotmail.fr ne vous voient plus, le blocage vient de Microsoft. Si c'est toute une entreprise d'un coup, c'est sa passerelle de filtrage qui a classé votre adresse, et un mot à son informaticien règle la chose en cinq minutes. Si c'est tout le monde, revenez d'abord à votre propre boîte.

Les 6 réglages à vérifier dans la boîte

Avant de courir après la réputation, assurez-vous que votre adresse n'envoie plus rien à votre insu. Un compte repris mais mal refermé continue d'alimenter le problème, et aucun filtre ne vous rouvrira sa porte tant que les envois continuent. Dans cet ordre :

1. Le mot de passe et les sessions. Changez-le, puis déconnectez tous les appareils depuis la page de sécurité du compte. Chez Google, ce changement révoque aussi les mots de passe d'application, ces codes de seize caractères qui laissent un logiciel envoyer sans validation en deux étapes. Ailleurs, vérifiez la liste à la main.
2. Les filtres. Dans Gmail, onglet « Filtres et adresses bloquées ». Un filtre « Transférer à », ou un filtre qui supprime à l'arrivée, sert à vous cacher les réponses furieuses et les avertissements du fournisseur.
3. Le transfert automatique. Onglet « Transfert et POP/IMAP ». Une adresse de transfert inconnue, un accès POP ou IMAP activé sans vous : les deux se retirent ici. Notez l'adresse avant de l'effacer, c'est une trace exploitable.
4. Les alias d'expédition. La rubrique « Envoyer des e-mails en tant que ». C'est le réglage le plus oublié : il autorise un autre compte à écrire sous votre nom, et il survit au changement de mot de passe.
5. La signature et la réponse automatique. Un lien glissé dans la signature repart dans chacun de vos messages, y compris ceux que vous écrivez de bonne foi aujourd'hui.
6. Les applications autorisées. La page des accès tiers du compte. Une application de « nettoyage de boîte mail » installée il y a trois ans garde le droit d'envoyer en votre nom.

Si vous n'avez pas encore fait ce tour, commencez par la fiche sur le courrier qui n'arrive plus : elle détaille où cliquer chez Orange, Yahoo et Outlook. Et pour savoir s'il s'agissait d'une vraie intrusion ou d'une simple usurpation du nom d'expéditeur, le test tient en trois minutes sur la fiche « mes contacts reçoivent des mails de moi ».

Lire le message de rejet : les codes qui nomment la cause

Quand un serveur refuse votre message, il vous le renvoie. Ce message de rejet arrive de « Mail Delivery Subsystem » ou de « postmaster », et presque tout le monde le supprime sans le lire. C'est pourtant le seul document qui nomme la cause. Ouvrez-le et cherchez la ligne qui commence par trois chiffres.

Ce que vous lisez	Ce que ça veut dire	Ce que vous faites
550 5.7.1 … S3150 ou S3140	Microsoft refuse le serveur de sortie, inscrit sur sa propre liste	Rien directement : l'adresse citée appartient à votre fournisseur
blocked using … spamhaus.org	Une liste publique a signalé le serveur de sortie	Vérifier gratuitement sur le vérificateur de réputation de Spamhaus
Vous avez atteint la limite d'envoi d'e-mails	Gmail a coupé l'envoi : 500 destinataires ou 500 messages dans la journée	Attendre : l'envoi redevient possible sous 1 à 24 heures
5.1.1 … user unknown	L'adresse du destinataire n'existe plus	Nettoyer le carnet d'adresses : ces erreurs pèsent sur la note

La distinction qui compte : un blocage de limite se lève tout seul, une mise en liste noire non. Google l'écrit noir sur blanc pour ses comptes gratuits — au-delà de cinq cents destinataires ou de cinq cents messages par jour, l'envoi est suspendu, et il redevient normalement possible dans un délai de une à vingt-quatre heures. Si votre rejet parle de limite, ne touchez à rien, et surtout n'essayez pas de renvoyer en boucle.

L'autre information précieuse du rejet, c'est l'adresse IP qu'il cite. Recopiez-la : elle va dire, à l'étape suivante, si le problème vous appartient ou s'il appartient à votre fournisseur d'accès.

Adresse gratuite ou nom de domaine : deux situations opposées

Presque tout ce qui s'écrit sur ce sujet parle de SPF, de DKIM et d'enregistrements DNS. Ces articles s'adressent à des sociétés qui envoient des infolettres. Si votre adresse finit en @gmail.com, @orange.fr, @free.fr ou @outlook.fr, ces réglages ne vous concernent pas : ils existent déjà, ils sont corrects, et ils appartiennent à votre fournisseur. Vous n'avez rien à configurer, et personne ne peut le faire à votre place.

Dans ce cas, le serveur de sortie est partagé par des millions de boîtes ; son adresse IP n'est pas la vôtre. Les listes publiques sont nettes là-dessus : une demande de retrait doit venir du propriétaire enregistré de l'adresse IP ou du nom de domaine, et un particulier doit passer par son fournisseur d'accès. Tout se joue donc ailleurs — sur la propreté de votre compte, et sur les réglages de la messagerie de vos destinataires.

Si en revanche vous écrivez depuis votre propre nom de domaine — une association, un commerce, un cabinet —, la situation est inverse, et bien plus réparable : le domaine et le serveur de sortie sont à vous. Vérifiez-les gratuitement et sans compte dans le vérificateur de réputation de Spamhaus, qui accepte une adresse IP, un nom de domaine ou une adresse mail. En cas d'inscription, corrigez d'abord la fuite — le compte piraté, le formulaire du site, le serveur laissé ouvert — avant de demander le retrait : une réinscription immédiate coûte bien plus cher qu'une journée d'attente.

Le geste le plus efficace se fait chez vos correspondants

C'est l'étape que personne n'écrit, et de loin la plus rentable. Un filtre apprend : quand un destinataire sort votre message du dossier indésirable, sa messagerie enregistre que vous êtes attendu. Deux ou trois personnes ne suffisent pas ; quinze changent tout.

Chez Gmail, votre correspondant ouvre le dossier Spam, coche votre message et clique sur le bouton Non-spam, en haut. Qu'il vous ajoute ensuite à ses contacts Google : un expéditeur présent dans le carnet d'adresses n'est presque jamais filtré.

Chez Outlook.com, le chemin passe par Paramètres, puis Courrier, puis Indésirable. Dans « Expéditeurs et domaines approuvés », il ajoute votre adresse — la liste accepte jusqu'à 1 024 entrées, il ne risque pas de la saturer. Chez Orange, l'ajout au carnet d'adresses joue le même rôle.

Prévenez-les par un autre canal que le mail : un message texte, un appel, la messagerie instantanée que vous utilisez déjà. Trois lignes suffisent — ce qui s'est passé, le fait que les messages de ces jours-là ne venaient pas de vous, et le geste à faire. Commencez par les dix ou quinze correspondants qui comptent (le comptable, l'école, le syndic, les clients en cours) plutôt que par le carnet entier.

En attendant, écrivez normalement : des messages courts, personnels, un à la fois, auxquels on répond. C'est exactement ce qui reconstruit une réputation. Et pour ce qui est urgent pendant cette période, doublez l'envoi d'un appel, sans attendre de découvrir trois jours plus tard que le message n'est jamais arrivé.

À qui écrire, fournisseur par fournisseur

Un guichet existe, mais pas pour tout le monde.

• Orange et Wanadoo — le signalement se fait à abuse@orange.fr en précisant l'adresse concernée, et un formulaire en ligne existe. L'assistance Orange rappelle au passage de supprimer les redirections et les adresses frauduleuses créées par le pirate : c'est la première chose qu'on vous demandera.
• Gmail — aucun guichet pour un compte gratuit. Le blocage d'envoi se lève seul, et la réputation se reconstruit par l'usage.
• Outlook et Hotmail — Microsoft renvoie vers un portail de retrait qui s'adresse au responsable de l'adresse IP d'envoi. Pour une boîte grand public, cette adresse n'est pas la vôtre : la demande n'aboutira pas.
• Un nom de domaine chez un hébergeur — écrivez à son support avec le message de rejet complet, en-têtes compris. C'est lui qui détient le serveur de sortie et qui peut agir.

Gardez une copie du message de rejet, la date du piratage et la liste des destinataires touchés. Si l'affaire a des conséquences professionnelles, ces éléments vont dans le dossier de plainte : voir comment signaler et porter plainte. Un professionnel dont les données de clients ont fuité dispose par ailleurs de 72 heures pour notifier la CNIL.

Ce qui ne sert à rien, et ce qui aggrave

• Changer d'adresse mail. La réaction la plus fréquente, et la plus coûteuse : il faut reprendre quarante services un par un, et l'ancienne boîte continue de recevoir les codes de sécurité. Une réputation revient ; un historique de dix ans, non.
• Envoyer un mail d'excuse à tout le carnet d'adresses. Un message identique à deux cents personnes, c'est précisément le profil d'envoi qui a déclenché le blocage.
• Payer un « déblocage de liste noire ». Voir plus haut : gratuit, toujours.
• Écrire « ceci n'est pas un spam » dans l'objet. Les filtres ne lisent pas les promesses, et cette formule est très présente dans les vrais messages indésirables.
• Réinstaller Windows. Le problème ne vit pas sur votre ordinateur mais chez votre fournisseur et chez vos destinataires. Un nettoyage de la machine reste utile si un logiciel espion a volé le mot de passe, mais il ne fera revenir aucun message en boîte de réception.
• Multiplier les envois de test. Deux par jour suffisent. Vingt d'affilée vers la même boîte ressemblent à une attaque.

Ce qui marche tient en trois mots : refermer, ralentir, prévenir. Et une fois la situation rétablie, activez la double authentification sur la boîte : c'est elle qui empêche la rechute, parce que la plupart de ces campagnes partent d'un mot de passe réutilisé ailleurs et retrouvé dans une fuite. Vérifier si votre adresse circule déjà prend deux minutes, et c'est gratuit. Si vous préférez que quelqu'un ouvre les réglages avec vous, l'assistance à distance sert exactement à ça.

Questions fréquentes

Combien de temps avant que mes mails reviennent en boîte de réception ?

Aucun fournisseur ne publie de barème. Ce qui se mesure : un blocage d'envoi Gmail se lève dans un délai de une à vingt-quatre heures, alors qu'une réputation d'expéditeur dégradée se reconstruit sur plusieurs semaines d'envois normaux. Le geste de vos destinataires, lui, agit immédiatement.

Dois-je changer d'adresse mail après un piratage ?

Non, sauf cas extrême. Une adresse se nettoie et se reprend ; son historique et les comptes qui lui sont rattachés, non. Changer oblige à reprendre tous vos services un par un, et l'ancienne boîte continue de recevoir les codes de récupération tant que vous ne l'avez pas retirée partout.

Comment savoir si mon adresse est sur une liste noire ?

Le vérificateur de réputation de Spamhaus accepte une adresse IP, un nom de domaine ou une adresse mail, gratuitement et sans compte. Pour une boîte gratuite, l'inscription éventuelle porte sur le serveur de sortie du fournisseur : vous n'avez aucune demande à déposer vous-même.

Mes mails partent en spam mais je n'ai jamais été piraté : est-ce possible ?

Oui. Une pièce jointe lourde, un lien raccourci, un destinataire qui vous a classé en indésirable par erreur, ou une adresse d'expédition qui ne correspond pas au serveur d'envoi suffisent. Faites vérifier son dossier indésirable avant de conclure à une intrusion.

Faut-il prévenir ses correspondants quand son adresse a servi à envoyer des spams ?

Oui, et par un autre canal que le courrier électronique. Dites ce qui s'est passé, donnez les dates concernées, demandez de ne pas ouvrir les liens reçus pendant cette période. C'est ce qui limite la propagation : ces campagnes visent d'abord les gens qui vous connaissent.

Sources

• Google — limites d'envoi de Gmail (500 destinataires et 500 messages par jour ; envoi rétabli sous 1 à 24 heures).
• Google — mots de passe d'application (code de seize caractères, révoqué quand on change le mot de passe du compte).
• Google — marquer un message comme « Non-spam » (libellé du bouton, ajout aux contacts).
• Spamhaus — vérificateur de réputation d'adresses IP et de domaines (retrait toujours gratuit, demandé par le propriétaire enregistré ; un particulier passe par son fournisseur).
• Orange — suspicion de piratage d'une adresse mail Orange (abuse@orange.fr, suppression des redirections créées par le pirate).
• Cybermalveillance.gouv.fr — que faire en cas de piratage de boîte mail (reprise du compte, signalement).

À lire aussi : récupérer un compte Gmail piraté · des centaines de mails d'un coup · usurpation d'identité.