Robot spammeur : définition et comment l’arrêter
ChatGPT
Claude
Gemini
Perplexity
GrokL’essentiel
Un robot spammeur collecte des adresses et envoie du spam en masse, souvent en usurpant votre domaine. Le rôle des botnets, et ce qu’arrête l’application DMARC.
Un robot spammeur (spambot) est un logiciel qui collecte des adresses e-mail et envoie du courrier non sollicité en masse, sans qu’un humain tape chaque message. Les spammeurs font tourner ces robots (souvent des milliers de machines infectées réunies en botnet) pour extraire des adresses du web et des fuites de données, puis diffuser spam, hameçonnage et logiciels malveillants plus vite et moins cher que quiconque. Ils vous concernent de deux façons : ils encombrent votre boîte de réception, et ils peuvent usurper votre domaine pour spammer les autres, ruinant votre réputation d’expéditeur. Bonne nouvelle : le second problème, celui qui nuit vraiment à votre activité, se règle avec l’authentification e-mail.
En bref
Points clés
- Un robot spammeur est un logiciel qui collecte des adresses et envoie du spam en masse sans effort humain, en général au sein d’un botnet d’ordinateurs compromis.
- Les robots trouvent votre adresse en aspirant des sites, achetant des fuites et devinant des noms courants du domaine.
- Le vrai danger : un robot usurpant votre domaine pour spammer en votre nom, ruinant votre réputation et envoyant vos vrais e-mails en spam.
- DMARC avec une politique d’application empêche les robots d’usurper votre domaine, appuyé par SPF et DKIM.
- Réduire le spam reçu et stopper le spam envoyé en votre nom : deux tâches distinctes. Ce guide couvre les deux.
Comment agit un robot spammeur ?
Les robots spammeurs automatisent tout le cycle du spam, d’où son coût si bas :
- Collecte. Le robot liste ses cibles. Il fouille les pages web, les forums et les profils sociaux pour tout ce qui ressemble à
name@domain, achète ou télécharge des adresses issues de fuites de données, et lance des attaques par dictionnaire : il teste des préfixes courants (info@,sales@,john@) sur un domaine et retient ceux qui passent. - Distribution. Pour éviter le blocage, les spammeurs envoient rarement depuis une seule machine. Ils utilisent un botnet (réseau d’ordinateurs et de serveurs infectés) : le spam part de milliers d’IP à la fois, ce qui répartit le volume et déjoue les limites de débit simples.
- Falsification. Pour passer les filtres et duper les destinataires, le robot forge l’adresse
From:, souvent en imitant une marque de confiance ou un domaine non protégé. C’est l’usurpation d’e-mail, et un domaine non protégé est une cible facile.
Où les robots trouvent-ils mon adresse ?
Votre adresse arrive sur la liste d’un robot par quelques voies prévisibles :
- Aspiration web. Un lien
mailto:ou une adresse en clair sur un site, un forum ou un annuaire public. - Fuites de données. Si un de vos services est piraté, les adresses s’échangent et resservent des années.
- Dictionnaire et force brute. Les robots testent des noms de boîte courants sur votre domaine ; les adresses de rôle comme
admin@etsupport@passent en premier. - Logiciels malveillants et vol de contacts. Un robot sur la machine infectée d’un tiers lit ses contacts, dont votre adresse.
Pourquoi craindre qu’un robot usurpe mon domaine ?
Parce que cela vous nuit, même si le spam ne touche jamais votre réseau. Quand un robot falsifie votre domaine dans l’adresse From: et envoie spam ou hameçonnage au monde entier :
- Votre domaine perd sa réputation. Destinataires et fournisseurs voient du spam « de vous », les plaintes montent et votre domaine peut finir sur une liste de blocage, et vos e-mails légitimes vont en spam.
- Votre marque et vos clients sont escroqués. Le faux courrier à votre nom alimente la compromission de messagerie professionnelle et l’hameçonnage par usurpation de marque.
- Vous pouvez ne rien voir. Le spam va à des tiers : le premier signe est souvent un pic de rejets ou un client qui demande pourquoi vous lui avez envoyé une fausse facture.
Comment empêcher un robot d’envoyer en mon nom ?
Vous ne pouvez empêcher un robot d’essayer de forger votre adresse, mais vous pouvez faire rejeter le faux. Trois enregistrements DNS combinés s’en chargent :
- SPF liste les serveurs autorisés à envoyer pour votre domaine : un robot qui envoie depuis une IP de botnet échoue.
- DKIM signe vos vrais e-mails par cryptographie ; un robot ne peut reproduire la signature.
- DMARC les relie et dit aux destinataires que faire des e-mails en échec. Avec une politique d’application
p=quarantineoup=reject, il leur demande de classer en spam ou de supprimer le faux d’emblée.
p=none surveille mais ne bloque rien, ce qui explique pourquoi les e-mails usurpés passent encore pour beaucoup de domaines. Voyez où en est votre domaine avec le score de sécurité e-mail ou le test DMARC.
Problèmes courants face aux robots
J’ai DMARC, mais du spam part encore en mon nom
Un enregistrement DMARC à p=none n’agit pas ; il rapporte seulement. Les robots usurpent toujours votre domaine et les destinataires acceptent le courrier, car vous ne leur avez pas demandé de le rejeter. Passez à p=quarantine puis p=reject quand vos rapports montrent que tous vos expéditeurs légitimes passent : les faux seront bloqués.
Je reçois encore du spam malgré mon domaine protégé
L’authentification empêche les robots d’usurper votre domaine, pas d’envoyer depuis leurs domaines. Pour le spam entrant, comptez sur le filtrage de votre fournisseur, ne répondez ni ne vous désabonnez jamais d’un spam évident (cela confirme que l’adresse est active), et voyez comment éviter le spam pour un filtrage concret.
Les robots visent les adresses info@ et sales@
Les attaques par dictionnaire visent les boîtes prévisibles, qui attirent donc le plus de spam. Impossible de les retirer si vos clients s’en servent, mais un bon filtrage entrant, une limitation de débit et un CAPTCHA sur les formulaires qui les alimentent réduisent l’abus automatisé. Publier les adresses en image ou par formulaire plutôt qu’en liens mailto: ralentit la collecte.
Mon formulaire newsletter croule sous les fausses adresses
Un robot détourne votre formulaire pour gonfler votre liste ou déclencher des confirmations chez des tiers (attaque dite « list bombing »). Ajoutez un CAPTCHA, exigez le double opt-in et limitez les envois par IP pour qu’un robot ne puisse soumettre des milliers d’adresses.
Si le flux visé est un Google Form, suivez les contrôles fondés sur les preuves de spam Google Forms.
Le rôle de Palisade
Empêcher un robot d’abuser de votre domaine, c’est configurer correctement SPF, DKIM et DMARC sur chaque service qui envoie en votre nom, puis passer DMARC en application sans casser le courrier légitime, l’étape où la plupart des domaines calent. Palisade déploie ces enregistrements, lit les rapports DMARC pour vous montrer exactement quelles sources (robots spammeurs compris) envoient en votre nom, et mène la politique en sécurité de p=none à p=reject, chaque étape validée par vous. Voyez où en est votre domaine avec le score de sécurité e-mail.
À lire aussi
Questions des lecteurs
Questions fréquentes
Un robot spammeur est-il un botnet ?
Pas tout à fait. Un botnet est le réseau de machines infectées ; un robot spammeur est le logiciel qui collecte les adresses et envoie le spam. Les spammeurs font souvent tourner ce logiciel sur un botnet pour répartir l’envoi et contourner les blocages.
Puis-je savoir si un robot usurpe mon domaine ?
Oui. C’est le but des rapports agrégés DMARC. Une fois DMARC publié avec une adresse de rapport, les fournisseurs de messagerie vous envoient des résumés quotidiens de chaque source envoyant en votre nom, y compris les non autorisées.
Le désabonnement arrête-t-il le robot ?
Non. Sur un vrai spam, le lien confirme souvent que l’adresse est surveillée, et en attire d’autres. Ne vous désabonnez que d’e-mails légitimes acceptés un jour ; signalez le reste comme spam.
DMARC bloque-t-il le spam reçu ?
Non. DMARC empêche que votre domaine soit falsifié, ce qui arrête le spam envoyé en votre nom. Il ne filtre pas le spam reçu dans votre boîte ; c’est le travail du filtre antispam de votre fournisseur.
Rédigé par
Dominic LandryDélivrabilité et DNS
Dominic Landry s’occupe de délivrabilité et de configuration DNS chez Palisade, des enregistrements SPF et DKIM à l’application DMARC.
Lire Dominic →