Comment savoir à qui appartient une adresse email

Une adresse email est un identifiant étonnamment riche. Elle est généralement choisie par son propriétaire, réutilisée pendant des années et connectée à des comptes sur tout le web. Voici comment la lire et comment déterminer qui se cache derrière.

Lisez d'abord l'adresse elle-même

Divisez-la au niveau du @. Les deux parties contiennent des informations.

Le domaine est le signal le plus fort, et il est souvent décisif à lui seul :

• Un domaine d'entreprise (@acme-engineering.co.uk) rattache l'adresse à une organisation. Recherchez l'entreprise. Si le domaine possède un véritable site web, une inscription au registre et des employés qui le référencent, l'adresse est ancrée à quelque chose de vérifiable.
• Un fournisseur gratuit (gmail.com, outlook.com, proton.me) ne vous dit presque rien sur l'identité, bien qu'il indique que la personne a choisi un compte à usage général.
• Un domaine jetable (mailinator.com, guerrillamail.com et des centaines d'autres) est un signal délibéré : cette adresse est destinée à être abandonnée. Pour une transaction importante, cela vaut la peine de s'y arrêter.
• Un domaine sosie (@arnazon.com, @acme-support-team.com) est le signe classique d'hameçonnage. Lisez-le caractère par caractère ; c'est toute l'astuce.

La partie locale - tout ce qui précède le @ - est l'endroit où les choix personnels de la personne apparaissent :

• prenom.nom@ est la convention d'entreprise la plus courante, et elle vous donne directement un nom
• initiale+nom@ (jmiller@) est la deuxième plus courante
• un pseudonyme (marlowbuilds@gmail.com) est le plus utile de tous, car les gens réutilisent leurs pseudonymes sur plusieurs plateformes - prenez-le et recherchez-le comme nom d'utilisateur
• une adresse fonctionnelle (info@, sales@, support@) identifie une fonction, pas une personne ; une page du personnel publique peut indiquer qui la gère, mais l'adresse seule ne le fait pas

Recherchez l'adresse complète

Saisissez l'adresse complète dans un moteur de recherche, entre guillemets. Essayez ensuite sans le domaine.

Si l'adresse est publiée quelque part - un site personnel, un profil GitHub, une biographie de conférence, une archive de liste de diffusion, une page de contact d'entreprise, un PDF - elle peut apparaître. Les contextes académiques et open source en particulier mettent souvent des adresses dans des documents publics.

Cette seule étape résout une grande partie des cas et ne coûte presque rien.

Passez de la partie locale à un nom d'utilisateur

Si la partie locale ressemble à un pseudonyme plutôt qu'à un nom, traitez-la comme tel et vérifiez-la sur plusieurs plateformes. marlowbuilds@gmail.com et @marlowbuilds sur trois réseaux sociaux constituent une connexion forte et facilement corroborée - bien plus forte qu'une correspondance sur un nom courant.

La même discipline de vérification s'applique que pour tout nom d'utilisateur : un pseudonyme rare correspondant sur plusieurs plateformes est significatif ; un pseudonyme courant ne l'est pas. Recherchez des détails corroborants - la même ville, le même employeur ou le même domaine de spécialité - avant de conclure qu'il s'agit de la même personne.

Vérifiez si le domaine est réel

Pour tout ce qui implique de l'argent ou une relation commerciale, vérifiez le domaine lui-même :

• Le site web existe-t-il, et ressemble-t-il à une entreprise plutôt qu'à un modèle rempli la semaine dernière ?
• Quel est l'âge du domaine ? Les registres WHOIS publics affichent toujours les dates de création pour de nombreux domaines. Une entreprise prétendant vingt ans d'activité sur un domaine enregistré en mars est une contradiction qui mérite d'être résolue.
• Les coordonnées correspondent-elles à ce qu'on vous a dit - même nom d'entreprise, même adresse, même numéro d'immatriculation ?
• Existe-t-il une inscription au registre des entreprises ? La plupart des pays en publient un. Une véritable entreprise commerciale est généralement trouvable.

Vérifiez un expéditeur sans faire confiance au nom affiché

Le nom affiché dans votre client de messagerie est défini par l'expéditeur et peut dire n'importe quoi. Deux vérifications qui aident réellement :

Regardez l'adresse réelle, pas le nom affiché. Sur mobile en particulier, les clients cachent l'adresse derrière un nom convivial. Développez-la. « Votre Banque » <billing@secure-bank-updates.net> est toute l'arnaque, visible en une seule étape.

Vérifiez si le domaine s'authentifie. La plupart des fournisseurs de messagerie vous permettent de consulter les en-têtes de message ou la source originale. Recherchez les résultats SPF, DKIM et DMARC : pass sur un domaine aligné signifie que la vérification d'authentification a réussi, tandis que fail est une raison de prudence. L'authentification aide à détecter l'usurpation d'identité ; elle n'établit pas que l'expéditeur ou le message est digne de confiance.

Que faire des sites de vérification de fuites de données

Vous trouverez des services qui vous indiquent si une adresse est apparue dans une fuite de données. Vérifier si votre propre adresse a été exposée est une hygiène de sécurité sensée, et des services réputés existent exactement pour cela.

Ce qui n'est pas acceptable, c'est d'utiliser des données d'identification divulguées pour rechercher quelqu'un d'autre. Rechercher dans des ensembles de données volées les mots de passe, hachages ou contenus d'enregistrement d'une autre personne - ou acheter l'accès à ceux-ci - peut faciliter un accès non autorisé et sort du cadre d'un flux de travail responsable d'information publique.

DeepSearch peut signaler les noms d'incidents trouvés dans les index publics de notification de fuites. Il n'expose pas les mots de passe, les hachages ou le contenu d'un enregistrement piraté, et ne traite pas un nom d'incident comme preuve de qui contrôle une adresse aujourd'hui.

Quand vous ne trouverez rien

De nombreuses adresses n'ont aucune empreinte publique. Une adresse gmail.com composée d'un nom courant et de quelques chiffres, utilisée uniquement pour le courrier personnel, ne sera pas rattachée à une personne par une recherche publique - et tout service qui nomme avec assurance quelqu'un à partir d'une telle adresse devine.

C'est un résultat légitime, pas un échec. « Cette adresse n'a aucune trace publique » est en soi utile : pour une transaction commerciale, cela signifie que vous devriez demander une autre forme de vérification plutôt que de procéder sur la base d'un nom que vous ne pouvez pas vérifier.

Les limites

Deux méritent d'être énoncées clairement.

Premièrement, n'essayez pas d'accéder au compte. Deviner le mot de passe, utiliser le processus de réinitialisation de mot de passe ou utiliser des identifiants provenant d'une fuite constituent un accès non autorisé, et le fait que vous vouliez seulement confirmer une identité n'est pas une défense.

Deuxièmement, ce n'est pas une enquête de moralité. Les informations recueillies à partir de sources web publiques ne sont pas assemblées selon les normes exigées par la législation sur les rapports de consommation, et ne doivent pas être utilisées pour décider de l'emploi, du crédit, du logement, de l'assurance ou de la location. Utilisez un prestataire de vérification approprié, avec le consentement de la personne, pour ces cas.

Vérifier que la personne qui vous envoie un email au sujet d'une facture de 3 000 € est rattachée à une véritable entreprise est une prudence ordinaire. Construire un profil d'un particulier parce que vous avez son adresse ne l'est pas.

Essayez la recherche avec des attentes claires

Vérifiez les sources publiques associées à une adresse email. L'exécution d'une recherche nécessite un accès payant ; consultez les forfaits et limites d'utilisation. Une correspondance est un candidat à vérifier, pas une preuve d'identité. Ouvrez les sources originales avant de tirer une conclusion.