Votre e-mail est la clé maîtresse — auditez-la avant que quelqu’un d’autre ne le fasse
Chaque compte que vous avez créé a commencé par une adresse e-mail. Cette simple chaîne relie silencieusement vos profils sociaux, vos dépôts de développement, vos comptes de jeu, vos sites d’achat et vos applications de rencontre. La plupart des gens n’ont pas de liste précise de ce qu’elle connecte — et ceux qui en bénéficient ne sont pas vous.
Ce guide est pour auditer votre propre adresse e-mail : retrouver chaque compte qui y est lié, fermer ceux oubliés et couper les liens qu’un étranger pourrait suivre. (Enquêter sur l’e-mail de quelqu’un d’autre est une question différente avec des limites légales — cela est couvert dans notre guide complémentaire sur ce qui est possible et légal dans ce cas.)
Étape 1 : Fouillez votre boîte de réception — la trace des inscriptions
Chaque service légitime envoie un e-mail lors de l’inscription, et la plupart des gens ne le suppriment jamais. Dans votre boîte mail, recherchez :
- “bienvenue”, “vérifier”, “confirmer”, “activer” — les messages standard d’inscription
- “votre compte”, “mot de passe”, “reçu” — les traces de gestion de compte et d’achat
- Les noms des services que vous suspectez — applications de rencontre, forums, anciens lanceurs de jeux
Triez par les plus anciens en premier : les résultats les plus anciens sont les comptes que vous avez probablement oubliés, et les comptes oubliés sont ceux qui continuent de transporter votre ancien mot de passe partout.
Étape 2 : Consultez les bases de données de fuites
Un service de notification de fuites comme Have I Been Pwned montre dans quelles fuites votre adresse est apparue. Chaque entrée est aussi une carte : le service nommé dans la fuite est un service qui avait un compte pour votre e-mail.
Deux actions d’audit en découlent :
- Supprimez ou fermez les comptes sur les services que vous n’utilisez plus — chaque compte orphelin est une credential réutilisable en attente de la prochaine fuite.
- Changez les mots de passe sur tout ce qui apparaît dans une fuite à laquelle vous n’avez pas encore répondu.
Un résultat de fuite propre n’est pas une preuve de rien — les fuites ne sont révélées qu’une fois divulguées — mais chaque correspondance est une inscription confirmée sur laquelle vous pouvez agir aujourd’hui.
Étape 3 : Scannez le préfixe de votre e-mail comme identifiant
Les gens réutilisent le préfixe de leur e-mail comme nom d’utilisateur public plus que toute autre chaîne. Si votre adresse est [email protected], il y a de fortes chances que janedoe, jane_doe ou jane-doe soit un compte actif quelque part en public.
Passez le préfixe (et ses variantes) dans TraceSeek — un scan vérifie sur 3.000+ plateformes en 20–30 secondes, et le premier scan est gratuit. Les résultats montrent quelles surfaces publiques portent votre habitude de nommage : des forums oubliés, un GitHub d’il y a dix ans, un compte de jeu utilisant encore l’ancienne chaîne.
Liste de contrôle des variantes pour le scan :
- points → tirets bas → tirets
- points supprimés entièrement
- nombres courants ajoutés (1, 123, une année de naissance)
- le préfixe tronqué comme de nombreuses plateformes le font
Étape 4 : Bouclez la boucle — supprimez les liens qui ne devraient pas exister
Pour chaque compte que vous découvrez, décidez : fermez-le, désidentifiez-le ou conservez-le délibérément.
-
Fermez tout ce qui est inutilisé. Utilisez le flux de suppression du service lui-même ; s’il n’en existe pas, remplacez le profil par du contenu non identifiable et supprimez les données personnelles.
-
Désidentifiez les comptes que vous devez conserver : changez le nom d’utilisateur s’il dérive de votre e-mail, supprimez la biographie, déliez la photo de profil.
-
Séparez à l’avenir : les nouvelles inscriptions obtiennent une adresse e-mail alias et un identifiant qui n’a rien à voir avec le préfixe de votre e-mail, de sorte que le prochain audit ne trouve rien de nouveau à lier.
Les pièges que cet audit évite
-
Supposer qu’un message générique de réinitialisation de mot de passe signifie qu’il n’y a pas de compte. Les plateformes utilisent des réponses génériques pour empêcher l’énumération — l’absence de confirmation n’est pas une confirmation d’absence. (C’est aussi pourquoi la vérification des pages de réinitialisation est un outil médiocre même pour votre propre audit — votre boîte de réception et les données de fuite sont meilleures.)
-
Faire confiance aux soft-404s. Certains sites renvoient une page normale pour les profils qui n’existent pas. Vérifiez par le contenu — un nom d’utilisateur dans le titre de la page — et non par le code d’état.
-
Oublier les anciennes adresses. Les comptes liés à une adresse e-mail abandonnée sont les maillons les plus faibles de votre chaîne : vous ne pouvez pas recevoir leurs alertes, mais un attaquant qui contrôle l’ancienne adresse le peut. Auditez-les en priorité.
-
Auditer une seule fois. Les inscriptions s’accumulent. Une réexécution rapide des étapes 1 à 3 deux fois par an maintient la carte honnête.
Pourquoi cet audit compte plus qu’il n’y paraît
Un audit de l’empreinte e-mail est une assurance bon marché contre trois menaces réelles : le bourrage d’identifiants (mot de passe compromis + identifiant réutilisé = vos autres comptes), l’usurpation d’identité (votre habitude de nommage est un branding gratuit pour un escroc) et le doxxing (la chaîne e-mail-à-identifiant-à-profils est exactement comment les étrangers cartographient une personne). Vingt minutes, une ou deux fois par an, réduisent considérablement cette chaîne.
Si l’audit révèle un compte vous usurpant, ou des photos de vous sur des profils que vous n’avez jamais créés, notre guide sur quoi faire lorsque quelqu’un vole vos photos prend le relais.