Les en-têtes SMTP : une carte d'identité technique
Chaque email transporte des en-têtes SMTP qui documentent son parcours depuis l'envoi jusqu'à la réception. Ces en-têtes sont invisibles dans l'interface d'un client mail standard, mais accessibles en quelques clics ("Afficher le message original" chez Gmail, "Options du message" chez Outlook). Ils contiennent des informations qui surprennent souvent les utilisateurs non techniques.
L'adresse IP de l'expéditeur
Quand vous envoyez un email depuis un client mail de bureau (Thunderbird, Apple Mail, Outlook) configuré avec votre propre serveur SMTP, votre adresse IP réelle peut figurer dans l'en-tête Received: du message. Cela révèle votre localisation approximative (au niveau de la ville ou de l'opérateur) à tout destinataire qui examine les en-têtes. Les webmails grand public (Gmail, Outlook.com) masquent généralement l'IP du client en la remplaçant par leur propre IP de sortie — mais ce n'est pas universel et dépend de la configuration du service.
Le chemin de transmission
Les en-têtes Received: s'accumulent à chaque relais SMTP traversé. Ils forment un journal du trajet de l'email, avec horodatage et identifiant de chaque serveur intermédiaire. Dans un contexte professionnel, ce journal peut révéler l'infrastructure utilisée par votre organisation, les ESPs ou outils d'automatisation employés, et les délais de traitement à chaque étape.
L'identifiant de message
L'en-tête Message-ID est un identifiant unique attribué à chaque email. Sa structure peut révéler le logiciel ou le service utilisé pour l'envoi — certains formats d'identifiants sont caractéristiques de logiciels spécifiques. Dans un contexte de surveillance ou d'analyse forensique, cet identifiant permet de relier des messages provenant du même expéditeur même si l'adresse d'envoi a changé.
Les pixels de tracking
Un pixel de tracking est une image transparente de 1×1 pixel intégrée dans le HTML d'un email. Quand le destinataire ouvre le message et que les images se chargent, son client mail effectue une requête HTTP vers le serveur hébergeant le pixel. Cette requête transmet automatiquement l'adresse IP du destinataire, l'horodatage précis de l'ouverture, le type de client mail et le système d'exploitation.
Cette technique est utilisée massivement par les ESPs pour mesurer les taux d'ouverture des campagnes. Elle est aussi employée dans des contextes moins bienveillants : surveillance de la lecture de documents sensibles, traçage de correspondance privée, vérification qu'une personne est active avant une action ciblée. Techniquement, n'importe qui peut inclure un pixel de tracking dans un email sans que le destinataire ne le sache.
Gmail bloque les images par défaut pour les expéditeurs inconnus et les charge via ses propres serveurs proxy — ce qui empêche la transmission de l'IP réelle du destinataire. Apple Mail sur iOS et macOS a introduit la protection de la vie privée dans Mail (MPP) qui précharge toutes les images en arrière-plan, rendant les métriques d'ouverture peu fiables. ProtonMail bloque les pixels de tracking par défaut.
Ce que votre fournisseur de messagerie sait de vous
Au-delà des métadonnées transmises dans les emails eux-mêmes, votre fournisseur de messagerie accède à l'intégralité de vos échanges. L'étendue de cette exposition dépend directement du modèle économique et technique du service.
Gmail et l'analyse de contenu
Google a officiellement cessé en 2017 d'utiliser le contenu des emails pour cibler la publicité dans Gmail. Mais Google conserve l'accès aux emails, les analyse pour alimenter des fonctionnalités comme Smart Reply, la détection de phishing, les suggestions de réponse et l'extraction automatique d'informations (réservations de voyage, colis, événements). Ces traitements s'effectuent sur le contenu réel des messages. La politique de confidentialité Google précise que les données peuvent être utilisées pour améliorer les services — une formulation qui couvre un périmètre large.
Outlook et Microsoft 365
Microsoft exploite le contenu des emails pour des fonctionnalités similaires (Cortana, suggestions, détection de spam). Pour les abonnements Microsoft 365 entreprise, Microsoft propose des garanties contractuelles plus fortes sur le traitement des données — mais ces garanties s'appliquent au contexte B2B, pas aux comptes personnels Outlook.com.
La question de la juridiction
La localisation des serveurs détermine quelle législation s'applique à vos données. Des emails stockés sur des serveurs américains sont soumis au Cloud Act, qui permet aux autorités américaines d'accéder aux données de citoyens étrangers stockées par des entreprises américaines, sans nécessairement passer par une demande d'entraide judiciaire internationale. Cette réalité est souvent mal comprise par les utilisateurs européens qui pensent que le RGPD suffit à les protéger.
Le chiffrement en transit ne protège pas contre le fournisseur
TLS (Transport Layer Security) chiffre les emails en transit entre les serveurs. Il protège contre l'interception par un tiers en position de man-in-the-middle sur le réseau. Il ne protège pas contre l'accès du fournisseur lui-même — les serveurs reçoivent le message en clair avant de le chiffrer pour la transmission. Un email envoyé depuis Gmail vers Gmail n'est jamais chiffré de façon à être illisible par Google.
Le chiffrement de bout en bout (E2EE), utilisé par ProtonMail entre ses propres utilisateurs et par des solutions comme PGP, est fondamentalement différent : la clé de déchiffrement n'est détenue que par le destinataire. Le fournisseur n'a accès qu'à du texte chiffré illisible. Mais ce chiffrement ne s'applique qu'aux messages entre utilisateurs du même service (pour ProtonMail) ou entre utilisateurs qui ont échangé leurs clés PGP.
Les logs de connexion
Chaque connexion à votre boîte mail — depuis un navigateur, une application mobile, un client de bureau — est loguée par le fournisseur. Ces logs contiennent votre adresse IP de connexion, l'horodatage, le type d'appareil et souvent la géolocalisation approximative. Ces données permettent de reconstituer précisément votre activité et vos déplacements sur de longues périodes. Selon la politique de rétention du fournisseur, ces logs peuvent être conservés de quelques semaines à plusieurs années.
Réduire sa surface d'exposition
Plusieurs pratiques permettent de réduire les données exposées sans changer radicalement d'infrastructure. Désactiver le chargement automatique des images dans son client mail élimine les pixels de tracking. Utiliser un alias d'email (services comme SimpleLogin ou AnonAddy) évite d'exposer son adresse principale sur des services tiers. Examiner régulièrement les en-têtes de ses emails sortants vérifie que son IP n'est pas exposée. Choisir un fournisseur de messagerie dont le modèle économique ne repose pas sur l'analyse de contenu est la mesure la plus structurante — c'est là que le choix de la messagerie devient une décision de confidentialité, pas seulement de fonctionnalité.
La confidentialité email est un spectre, pas un état binaire. Passer de Gmail à un service chiffré de bout en bout réduit considérablement la surface d'exposition — mais ne l'élimine pas si les contacts avec qui vous échangez utilisent eux-mêmes des services qui analysent le contenu. La confidentialité d'une communication est limitée par le maillon le plus faible de la chaîne.