Comment savoir si un courriel est faux : Les signaux d'alerte à surveiller

Vous venez de recevoir un e-mail, ou quelqu'un s'est inscrit sur votre plateforme avec une adresse qui semble suspecte. Le nom de domaine est bizarre, le nom a l'air d'avoir été généré au hasard, et quelque chose cloche. Alors, comment savoir s'il s'agit d'une fausse adresse e-mail ?

Les fausses adresses e-mail sont plus courantes que la plupart des gens ne le pensent. Elles vont des adresses e-mail jetables, créées pour éviter les spams, aux comptes e-mail anonymes utilisés par les escrocs pour dissimuler leur véritable identité.

Certains sont inoffensifs. D’autres constituent un signal d’alerte sérieux, du genre de ceux qui précèdent les e-mails de hameçonnage, les inscriptions frauduleuses ou les abus de compte.
Ce guide vous présente les signaux d’alerte les plus courants, les outils disponibles pour vérifier si un e-mail est falsifié, ainsi que les méthodes de détection qui fonctionnent réellement.

Qu'est-ce qu'une fausse adresse e-mail ?

Une fausse adresse e-mail est toute adresse e-mail qui ne correspond pas à une identité réelle et permanente. Il peut s'agir d'une adresse e-mail jetable qui expire après quelques minutes, d'un compte temporaire créé spécialement pour éviter les spams, ou d'une adresse falsifiée conçue par un escroc pour se faire passer pour quelqu'un d'autre.

Il convient ici de faire une distinction importante. Tous les faux e-mails ne sont pas nécessairement malveillants. De nombreuses personnes utilisent une adresse e-mail temporaire simplement pour protéger leur boîte de réception personnelle contre les spams et les courriers publicitaires lorsqu’elles s’inscrivent à des services en ligne, téléchargent des fichiers ou accèdent à des essais gratuits. Il s’agit là d’un choix lié à la protection de la vie privée.

La catégorie la plus dangereuse est celle des les faux e-mails usurpés ou frauduleux; des adresses délibérément conçues pour tromper les destinataires et leur faire croire qu’un message provient d’une source de confiance : votre banque, votre PDG, une entreprise de livraison ou une administration.

Lecture recommandée : Qu'est-ce que la sécurité contre l'usurpation d'adresse e-mail ?

Signes révélateurs d'une fausse adresse e-mail

Toutes les fausses adresses e-mail ne semblent pas forcément suspectes. Certaines sont grossières et faciles à repérer, tandis que d'autres sont soigneusement conçues pour passer inaperçues à première vue. C'est la connaissance des indices spécifiques à rechercher, tant visuels que techniques, qui fait la différence entre une menace manquée et une menace détectée.

1. Le nom d'affichage et l'adresse réelle ne correspondent pas

C'est l'arnaque la plus ancienne qui soit, mais elle reste l'une des plus efficaces. Le nom d'affichage indique « PayPal Security » ou « Votre équipe informatique », mais l'adresse d'expédition réelle ressemble à quelque chose comme [email protected].

Développez toujours le champ « Expéditeur complet » ; ne vous fiez jamais uniquement au nom d'affichage.

Cette technique fonctionne particulièrement bien sur mobile, où la plupart des clients de messagerie masquent l'adresse complète par défaut. Les pirates qui recourent à l'usurpation du nom d'affichage dans les e-mails exploitent précisément cette faille pour se faire passer pour des dirigeants ou des marques de confiance sans jamais avoir à pirater un véritable compte.

2. Le domaine est légèrement décalé

Le « typosquatting » consiste, pour les pirates, à enregistrer des noms de domaine qui ressemblent de très près à des noms de domaine légitimes. Parmi les techniques couramment utilisées, on peut citer :

• Remplacer des lettres par des chiffres, comme paypa1.com, micros0ft.com
• Ajouter des tirets ou des mots supplémentaires, comme support-google.net
• Utiliser un TLD peu courant, par exemple amazon.com.co
• Remplacer des caractères Unicode visuellement identiques, par exemple un « а » cyrillique à la place d'un « a » latin

Ce dernier est particulièrement difficile à repérer à l'œil nu. Si un nom de domaine semble correct mais vous semble suspect, collez-le dans un outil de vérification Unicode pour vérifier s'il contient des caractères non standard.

3. L'adresse provient d'un domaine de messagerie jetable connu

Certains domaines ont pour seule finalité de créer des boîtes de réception temporaires et anonymes, sans aucune vérification d'identité. En voici quelques-uns parmi les plus courants :

Si une inscription ou un message entrant provient d'une de ces adresses, il est presque certain que celle-ci n'est pas associée à une personne réelle et identifiable.

4. La partie locale semble générée aléatoirement

Les adresses e-mail authentiques suivent des schémas reconnaissables. Ce n'est pas le cas des fausses adresses générées par des outils de création aléatoire ; elles ressemblent à [email protected] ou [email protected].

Si vous remarquez ce schéma dans un formulaire d'inscription ou dans un message non sollicité, considérez-le d'emblée comme un signal d'alarme.

5. L'adresse de réponse est différente de celle de l'expéditeur

Un expéditeur légitime a rarement besoin d'une adresse de réponse renvoyant vers une autre adresse.

Lorsque ces deux champs ne correspondent pas, en particulier si l'adresse de réponse renvoie vers un compte de messagerie web gratuit ou un domaine sans rapport, votre réponse est détournée de l'expéditeur apparent et aboutit entre les mains de la personne qui gère réellement l'opération.

Lecture recommandée : Usurpation d'adresse e-mail et hameçonnage : comment se protéger

6. Un langage urgent ou menaçant dans le corps du texte

Ce n'est pas un indice au niveau de l'adresse, mais cela accompagne presque toujours les faux e-mails. Méfiez-vous des phrases telles que « votre compte sera suspendu », « une action immédiate est requise » ou « vérifiez vos informations dans les 24 heures ».

Ces techniques sont conçues pour semer la panique et empêcher toute réflexion posée. Les organisations légitimes ne créent pas artificiellement un sentiment d'urgence, alors que les e-mails de hameçonnage s'appuient précisément sur cette pression pour pousser les destinataires à agir avant même d'avoir réfléchi.

Simplifiez la sécurité de vos e-mails avec PowerDMARC

Pourquoi choisir PowerDMARC ?

Contrairement aux outils DMARC génériques, PowerDMARC propose des informations sur les menaces basées sur l'IA, des services gérés sur mesure et une plateforme conviviale à laquelle font confiance plus de 1 000 organisations à travers le monde. Notre équipe vous aide à configurer, surveiller et protéger votre domaine grâce à une assistance et à une technologie de pointe.

Commencer la période d'essai de 15 jours | Réserver une démonstration

Comment vérifier si une adresse e-mail est fausse

Repérer les signaux d'alerte visuels vous permet déjà d'avancer un peu. Une vérification approfondie d'un faux e-mail va jusqu'à la couche technique sous-jacente à l'adresse. Ce sont ces méthodes qui vous apportent une réponse définitive.

Vérifiez d'abord les enregistrements MX

Tout domaine de messagerie légitime doit disposer d'enregistrements MX (Mail Exchange) pour envoyer et recevoir des messages. L'absence d'enregistrements MX signifie qu'il n'y a pas de serveur de messagerie actif, ce qui indique que l'adresse est fausse, a expiré ou a été inventée.

Un outil gratuit de recherche DNS vous donne ce résultat en quelques secondes.

Effectuer une vérification SMTP

Les outils de vérification des adresses e-mail se connectent directement au serveur de messagerie et confirment si la boîte mail en question existe et est active, sans envoyer de véritable message. Cela vous permet de savoir s’il existe une véritable boîte de réception derrière l’adresse, et pas seulement un domaine valide. Vous pouvez également effectuer une recherche inversée sur l’adresse e-mail pour vérifier si elle figure dans des registres accessibles au public, des bases de données sur les fuites de données ou des profils en ligne fiables. Bien que cela ne permette pas toujours d’identifier le propriétaire, cela peut fournir un contexte supplémentaire pour évaluer si une adresse est légitime.

Listes de domaines de messagerie jetables à consulter

Il existe des listes gratuites et payantes répertoriant les domaines connus de messageries temporaires et jetables.

La vérification d'une adresse par rapport à ces bases de données permet de repérer immédiatement les comptes jetables et les adresses générées aléatoirement avant même qu'ils n'accèdent à vos systèmes.

Vérifiez l'intégralité des en-têtes de l'e-mail

Les en-têtes des e-mails contiennent toutes les informations nécessaires : le chemin de routage, l'adresse IP d'origine et les résultats de l'authentification. Les éléments clés à vérifier sont les suivants :

• Le serveur d'origine correspond-il au domaine d'expédition déclaré ?
• Est-ce que SPF réussi ou échoué ?
• La validation DKIM a-t-elle réussi ou échoué ?
• Que dit le résultat DMARC?

Dans Gmail, cliquez sur le menu à trois points et sélectionnez « Afficher l'original ». Dans Outlook, allez dans Fichier, puis Propriétés.

Vérifier les résultats SPF, DKIM et DMARC

Ces trois protocoles constituent les normes techniques permettant de vérifier si un e-mail provient bien de l'expéditeur qu'il prétend être :

Un e-mail qui ne respecte aucun de ces trois critères n’est pas authentifié, et l’adresse « De » n’est pas fiable. L’outil gratuit de vérification DMARC de PowerDMARC vous montre exactement ce que voient les serveurs destinataires lorsqu’ils valident l’authentification de votre domaine.

Outils permettant de vérifier si une adresse e-mail est fausse

Lorsque la vérification manuelle ne suffit pas, des outils de vérification automatisés peuvent rapidement analyser une adresse à votre place. Voici quelques-unes des solutions les plus fiables disponibles pour vous aider à repérer les inscriptions suspectes ou les courriers entrants.

L'outil de vérification des fausses adresses e-mail de PowerDMARC

L'outil de vérification des fausses adresses e-mail de PowerDMARC adopte une approche globale de la validation des e-mails en analysant à la fois la délivrabilité et l'authentification du domaine. Lorsque vous saisissez une adresse, vous obtenez instantanément un verdict clair (« Légitime », « Suspect » ou « Fausse »), accompagné d'un score de confiance compris entre 0 et 100 et d'une analyse détaillée des critères de réussite ou d'échec.

Il effectue huit vérifications distinctes : validation syntaxique selon la norme RFC 5322, recherche DNS du domaine, vérification de l'enregistrement MX, vérification de l'enregistrement « SPF », vérification de l'enregistrement DMARC, détection des adresses e-mail jetables parmi plus de 500 fournisseurs d'adresses jetables, détection du typosquatting et signalement des fournisseurs gratuits ou basés sur un rôle.

Cet outil est entièrement gratuit et ne présente aucune limite d’utilisation. Surtout, il se distingue comme étant la seule option proposée ici qui vérifie les enregistrements SPF et DMARC tout en détectant le « typosquatting ». Alors que la plupart des vérificateurs d’e-mails indiquent simplement si une adresse acceptera des e-mails, celui-ci précise si le domaine est authentifié ou s’il s’agit d’une usurpation d’identité. C’est précisément cette distinction qui justifie qu’il figure en première position sur une page consacrée aux fausses adresses plutôt qu’aux adresses non valides.

Hunter Email Verifier

Hunter propose un système de vérification très répandu, axé sur la délivrabilité, conçu principalement pour les équipes commerciales et de prospection. Il vérifie le format, le domaine et la réponse du serveur de messagerie afin de s'assurer qu'une adresse est active et qu'il est possible d'y envoyer des e-mails en toute sécurité. Les utilisateurs peuvent bénéficier d'une formule gratuite offrant 25 vérifications par mois. Il s'agit d'un choix fiable pour une confirmation standard de la délivrabilité, même s'il se concentre davantage sur la validité du routage que sur une analyse de sécurité avancée.

ZeroBounce : outil gratuit de vérification d'adresses e-mail

ZeroBounce propose un service de validation performant qui vérifie la validité des adresses e-mail, détecte les pièges à spam et identifie les risques connus de rebond. La plateforme comprend un outil gratuit de recherche d'adresse unique et offre aux utilisateurs enregistrés 100 vérifications gratuites par mois. Elle signale de manière fiable les comptes invalides et jetables afin de protéger votre réputation d'expéditeur, ce qui en fait une option fiable pour le nettoyage des listes et les vérifications de base de la délivrabilité.

Envoyer un e-mail à Hippo

Email Hippo propose un outil de vérification simple d’utilisation qui évalue la syntaxe, la configuration du serveur de messagerie et l’existence de la boîte mail. Son vérificateur gratuit pour une seule adresse indique immédiatement si un domaine est configuré pour recevoir des e-mails et signale les adresses jetables évidentes. Il s’agit d’un utilitaire rapide et efficace destiné aux professionnels du marketing qui ont besoin de vérifier rapidement la validité de base d’une adresse sans avoir à mettre en place des processus complexes.

Verifalia

Verifalia fournit des classifications détaillées des résultats qui expliquent précisément pourquoi une adresse a réussi ou échoué aux contrôles de validation. Le service valide la syntaxe, vérifie les enregistrements MX et détecte les domaines jetables. Les utilisateurs bénéficient de 25 crédits gratuits par jour pour tester des adresses individuellement ou par petits lots. Les rapports détaillés aident les utilisateurs à comprendre les risques spécifiques liés à la délivrabilité de chaque adresse e-mail soumise.

Vérification rapide de l'adresse e-mail

QuickEmailVerification est un outil de vérification très utilisé qui valide en temps réel la syntaxe, l’existence du domaine et la validité de la boîte mail. Il identifie efficacement les adresses jetables et celles liées à un rôle, ce qui permet de maintenir la propreté des listes de diffusion. Le service offre 100 crédits gratuits par jour aux utilisateurs enregistrés. Il constitue un moyen fiable et efficace d’assurer l’hygiène régulière des listes et d’éviter les retours de courrier dus à des inscriptions d’utilisateurs invalides.
Notez qu’aucun outil de vérification d’adresses ne peut être totalement infaillible. Un pirate déterminé qui enregistre un domaine d’apparence légitime avec des enregistrements MX valides passera la plupart des contrôles automatisés, y compris notre propre outil de détection des e-mails de hameçonnage. Pour les cas les plus critiques, vous devriez toujours recourir aux méthodes manuelles mentionnées ci-dessus, comme l’inspection des en-têtes à l’aide d’un analyseur d’en-têtes d’e-mails et la vérification SMTP.

Comment les fausses adresses e-mail sont utilisées dans les attaques de phishing

Les fausses adresses e-mail constituent le principal vecteur utilisé pour les attaques de phishing, les fraudes et les attaques d'usurpation d'identité à grande échelle. Comprendre comment les pirates les utilisent vous aide à repérer des menaces qui, sans cela, sembleraient tout à fait légitimes.

Usurpation de domaine

Les pirates enregistrent des noms de domaine qui diffèrent d'un seul caractère de ceux d'une marque légitime, puis envoient à grande échelle des e-mails de hameçonnage à partir de ces domaines. Comme ces domaines existent techniquement, les filtres anti-spam de base les laissent souvent passer.

Sans application de la norme DMARC sur le domaine réel, rien n'empêche les messages usurpés d'atteindre les boîtes de réception.

Manipulation des en-têtes

Le protocole SMTP, qui régit le fonctionnement du courrier électronique, ne vérifie pas l'identité de l'expéditeur par défaut. Toute personne disposant de connaissances techniques de base peut modifier l'en-tête « De » pour y faire apparaître l'adresse de son choix.

C'est là le principe technique qui sous-tend les attaques de type « Business Email Compromise » (BEC), et c'est pourquoi les protocoles SPF, DKIM et DMARC ont été spécialement conçus pour combler cette faille d'authentification.

Création massive de faux comptes

Les générateurs d'adresses e-mail aléatoires et les services d'adresses e-mail jetables permettent de créer facilement des centaines de faux comptes sur des plateformes qui ne vérifient pas les inscriptions. Ces comptes sont utilisés pour :

• Diffusion de courriels indésirables sur différentes plateformes
• Lancer des attaques par « credential stuffing »
• Falsification des avis ou des indicateurs d'engagement
• Mise en place d'une infrastructure pour des campagnes de fraude à grande échelle

Usurpation d'identité via le nom d'affichage

En associant un nom d'affichage fiable à une adresse d'expéditeur sans rapport avec celui-ci, les pirates se font passer pour des dirigeants, des équipes financières et des marques renommées sans jamais compromettre un compte réel.

C'est là le principe fondamental qui sous-tend les attaques de spear phishing ciblées, dans lesquelles un contexte personnel suffisamment riche rend l'usurpation d'identité crédible.

Comment Pablo Herreros a réduit l'usurpation d'identité par e-mail au sein de son portefeuille de clients grâce à PowerDMARC

• A atteint un score de sécurité de 100 % pour l'ensemble des domaines gérés
• Diminution du nombre de faux e-mails envoyés à partir des domaines de leurs clients
• Gestion simplifiée des protocoles SPF, DKIM et DMARC pour plusieurs domaines
• Amélioration globale de la délivrabilité des e-mails des clients et de la réputation du domaine

Note de 4,9 sur G2

Plus de 10 000 organisations dans le monde nous font confiance

Découvrez l'intégralité de cette réussite

Que faire si vous recevez un e-mail provenant d'une fausse adresse

Les mesures que vous prenez après avoir repéré un e-mail suspect peuvent soit limiter le risque, soit l'aggraver. Voici la bonne marche à suivre.

Mesures immédiates :

1. Ne cliquez sur rien. Passez d'abord la souris sur les liens pour vérifier l'URL de destination. Si elle ne correspond pas au domaine de l'expéditeur, n'y touchez pas.
2. Ne répondez pas. Le simple fait de répondre confirme que votre adresse est active, ce qui présente un intérêt pour les pirates qui mènent des campagnes de spam.
3. Vérifiez l'adresse complète de l'expéditeur. Développez le champ « Expéditeur » et recherchez les cas de typosquatting, les substitutions Unicode et toute divergence entre le nom d'affichage et le domaine réel.
4. Vérifiez les en-têtes. Vérifiez les résultats SPF, DKIM et DMARC. Un résultat négatif pour un e-mail prétendant provenir d'une banque ou d'une marque connue confirme qu'il s'agit d'une usurpation d'identité.
5. Signalez-le. Transmettez-le à votre service informatique ou à votre équipe de sécurité. Au Royaume-Uni, signalez-le au NCSC à l'adresse [email protected]. Aux États-Unis, transmettez-le à [email protected].

Si vous avez déjà cliqué ou saisi vos identifiants :

• Modifiez immédiatement les mots de passe compromis
• Activez l'authentification à plusieurs facteurs sur ces comptes
• Contactez votre banque si des informations financières ont été communiquées
• Effectuez une analyse de sécurité sur votre appareil

L'utilisation d'un outil de détection des e-mails frauduleux peut vous aider à déterminer rapidement si un message que vous avez reçu est frauduleux avant de prendre toute autre mesure.

Bloquez les faux e-mails à la source grâce à PowerDMARC

Connaître les signes avant-coureurs d'une fausse adresse e-mail, c'est déjà la moitié du chemin. L'autre moitié consiste à disposer d'une infrastructure d'authentification capable de détecter ce que l'œil humain ne voit pas.

PowerDMARC offre aux entreprises une visibilité complète sur toutes les sources qui envoient des e-mails en leur nom, applique des politiques DMARC qui bloquent les messages usurpés avant qu'ils n'atteignent les boîtes de réception, et signale les menaces en temps réel grâce à des rapports intelligents.

Reconnu par plus de 2 000 organisations et administrations publiques à travers le monde, PowerDMARC complique considérablement la tâche des pirates qui tenteraient d'usurper l'identité de votre domaine, d'abuser de votre marque ou de tromper vos clients à l'aide d'e-mails frauduleux.

Commencez votre essai gratuit et prenez dès aujourd’hui le contrôle de la sécurité de vos e-mails.

Foire aux questions

1. Est-il légal d'utiliser une fausse adresse e-mail ?

L'utilisation d'adresses e-mail fictives à des fins de protection de la vie privée, de test ou pour éviter les spams est généralement légale. En revanche, l'utilisation d'adresses e-mail fictives à des fins de fraude, d'usurpation d'identité, de vol d'identité ou d'autres activités illégales est contraire à la loi. Vérifiez toujours les conditions d'utilisation de toute plateforme sur laquelle vous vous inscrivez.

2. Combien de temps une adresse e-mail temporaire ou fictive reste-t-elle active ?

La durée de validité varie selon le service : les adresses e-mail temporaires sont généralement valables entre 10 minutes et 24 heures, les adresses e-mail jetables peuvent durer de quelques jours à plusieurs semaines, tandis que les adresses e-mail « burner » restent actives tant que vous les conservez. Vérifiez toujours les conditions d'utilisation du service concerné pour connaître les durées exactes.

3. Puis-je envoyer ou répondre à des e-mails en utilisant une fausse adresse e-mail ?

La plupart des services de messagerie temporaire ou jetable vous permettent uniquement de recevoir des e-mails, et non d'en envoyer. Certains services de messagerie jetable autorisent l'envoi, mais leurs fonctionnalités sont souvent limitées. Vérifiez les capacités spécifiques du service avant de compter sur une communication bidirectionnelle.

4. Les fausses adresses e-mail sont-elles sûres et confidentielles ?

La sécurité et la confidentialité varient considérablement d'un service à l'autre. Les fournisseurs d'adresses e-mail temporaires réputés offrent une bonne protection de la vie privée, mais certains peuvent enregistrer des données ou être accessibles à des tiers. N'utilisez jamais de fausses adresses e-mail pour des comptes sensibles, tels que ceux liés à la banque ou à la santé, et lisez toujours la politique de confidentialité de tout service que vous utilisez.

5. Qu'est-ce qu'une adresse e-mail jetable ?

Une boîte de réception temporaire créée via des services tels que Mailinator ou Guerrilla Mail. Elle ne nécessite aucune vérification d'identité et est automatiquement supprimée après un délai prédéfini. Elle est couramment utilisée pour préserver la confidentialité, mais est également très souvent associée à la création de faux comptes et aux inscriptions à des listes de spam.

6. Comment le protocole DMARC contribue-t-il à lutter contre les attaques par e-mails frauduleux ?

DMARC indique aux serveurs destinataires comment traiter les e-mails qui échouent aux vérifications SPF DKIM. Avec une politique p=reject, les e-mails usurpés qui se font passer pour votre domaine sont bloqués avant même d'atteindre la boîte de réception des destinataires, ce qui en fait l'un des moyens techniques les plus efficaces pour lutter contre l'utilisation abusive des e-mails frauduleux.

7. Quel est le meilleur outil pour vérifier si une adresse e-mail est fausse ?

Le choix le plus adapté dépend de vos besoins spécifiques, mais l'outil « Fake Email Address Checker » de PowerDMARC a été spécialement conçu pour garantir la sécurité. Contrairement aux vérificateurs classiques qui se contentent de contrôler la délivrabilité, il évalue les paramètres SPF, DMARC et le typosquatting afin de confirmer que le domaine est bien authentifié et sûr.

• À propos de
• Derniers messages

Ahona Rudra

Expert en sécurité des domaines et des e-mails chez PowerDMARC

Ahona est la responsable du marketing chez PowerDMARC, avec plus de 5 ans d'expérience dans l'écriture sur des sujets de cybersécurité, spécialisée dans la sécurité des domaines et des courriels. Ahona est titulaire d'un diplôme de troisième cycle en journalisme et communication, solidifiant sa carrière dans le secteur de la sécurité depuis 2019.

Derniers messages de Ahona Rudra (voir tous)

• Récupération des boîtes aux lettres Exchange : comment récupérer des boîtes aux lettres supprimées dans Exchange Server - 22 septembre 2026
• Étude de cas DMARC MSP : comment Presis a amélioré la délivrabilité des e-mails de ses clients grâce à PowerDMARC - 17 septembre 2026
• Comment savoir si un e-mail est un faux : les signaux d'alerte à surveiller - 14 septembre 2026