Inscriptions parasites à une lettre d’information : que faire, dans quel ordre
Quand des programmes inscrivent en série des adresses à votre lettre d’information (newsletter), ce sont souvent des adresses de personnes qui n’ont rien demandé : votre site leur envoie un message, et votre liste se remplit d’adresses qui ne sont pas celles de lecteurs. La réponse tient en trois gestes : confirmer chaque adresse avant le premier envoi, limiter les demandes de confirmation, et refuser les envois automatisés du formulaire avant d’écrire à qui que ce soit.
État au .
Par Thibault Peray, fondateur d’Antisy Sàrl. · Tous les articles
Que se passe-t-il quand des programmes s’inscrivent ?
Un formulaire d’inscription à une lettre d’information accepte une adresse de n’importe qui, et rien ne prouve que la personne qui la saisit en est la titulaire. Un programme peut donc y saisir des adresses en série, y compris celle d’une même personne dans beaucoup de formulaires à la fois. Trois conséquences :
- des inconnus reçoivent un message de votre site qu’ils n’ont pas demandé ;
- votre liste contient des adresses qui ne sont celles d’aucun lecteur, ou qui n’existent pas ;
- vos statistiques d’inscrits sont faussées, et vos messages risquent d’être classés indésirables par les messageries, ce qui touche aussi vos vrais lecteurs.
Voir : Glossaire : abus automatisé
Étape 1 : confirmer l’adresse avant tout envoi
La double confirmation (en anglais « double opt-in ») consiste à n’ajouter une adresse à la liste que lorsque son titulaire a cliqué sur un lien reçu à cette adresse. Le formulaire envoie un seul message de confirmation ; tant que le lien n’est pas ouvert, l’adresse n’est pas inscrite.
- Gardez le message court, sans publicité, avec le nom de votre site : un inconnu doit comprendre pourquoi il le reçoit.
- Donnez au lien une durée de vie limitée, et n’envoyez rien d’autre à une adresse non confirmée.
C’est la mesure qui garde votre liste propre. Elle ne supprime pas le message de confirmation envoyé à un inconnu, d’où les étapes suivantes.
Étape 2 : limiter les demandes de confirmation
Ne renvoyez pas de confirmation à une adresse à chaque demande. Fixez un délai avant d’en envoyer une nouvelle à la même adresse, et limitez le nombre de demandes par source sur une période. Réglez ces valeurs sur vos propres données et ne bannissez pas : une même adresse peut cacher beaucoup de personnes, dans un bureau ou chez un opérateur mobile.
Étape 3 : répondre de la même façon pour chaque adresse
Que l’adresse soit déjà inscrite, nouvelle ou invalide, affichez le même message : « Si cette adresse est valable, vous allez recevoir un message de confirmation. » Un message différent selon le cas apprend à quiconque tape une adresse si cette personne est inscrite chez vous.
Étape 4 : refuser les envois automatisés avant d’écrire
Contrôlez l’envoi avant d’envoyer le message de confirmation, pas après : l’envoi d’un e-mail est l’action qui coûte et qui gêne un tiers. Un champ piège (honeypot), décrit dans le glossaire, arrête les programmes qui remplissent tous les champs. Un contrôle anti-bot regarde l’envoi lui-même.
Voir : Glossaire : honeypot · Glossaire : anti-spam · Détection de bots : distinguer un robot d’un humain
Où Antisy se place
Le site d’Antisy range la lettre d’information parmi les formulaires à faible enjeu, couverts par l’appel simple. Une balise dans la page charge le script ; à l’envoi, il met un jeton court dans le champ caché antisy-token ; votre serveur envoie ce jeton à Antisy avec son secret et lit la réponse, allow ou deny. Il n’y a que ces deux résultats, et la réponse n’en donne jamais la raison. Votre serveur n’envoie le message de confirmation que sur allow ; sur deny, il refuse sans dire pourquoi.
Ce que le contrôle ne fait pas. Il ne vérifie pas que l’adresse saisie appartient à la personne : c’est le rôle de la confirmation, à l’étape 1. Il ne reconnaît pas une personne qui tape à la main l’adresse d’une autre. Il n’efface pas les adresses déjà inscrites : il agit à l’envoi. Aucun contrôle anti-bot n’est parfait, et Antisy n’annonce aucun taux de détection ; il s’ajoute aux étapes précédentes, il ne les remplace pas.
Voir : Cas d’usage : protéger un formulaire de contact · Documentation : démarrage rapide · Documentation : vérifier un jeton · Documentation : quand l’API ne répond pas
Où en est Antisy ?
L’accès se fait sur liste d’attente. L’API et le tableau de bord sont en service depuis le 27 octobre 2026, hébergés chez Infomaniak à Genève ; aucun client n’est encore en production. Le pilote a commencé le 9 novembre 2026 sur nos propres formulaires.
Voir : Le pilote · Rejoindre la liste d’attente
Et la liste que vous avez déjà ?
Repérez les adresses jamais confirmées et celles que vos envois ont fait rebondir, et retirez celles dont vous n’avez pas besoin.
Questions fréquentes
La double confirmation est-elle obligatoire ?
Cet article ne traite pas du droit. C’est une mesure technique qui limite les inscriptions parasites. Pour vos obligations (consentement, information des personnes), adressez-vous à la personne qui vous conseille en droit.
Un CAPTCHA suffit-il contre les inscriptions parasites ?
Non. Il s’adresse aux programmes, pas à la personne qui saisit à la main l’adresse d’un tiers. La confirmation d’adresse et les limites de l’étape 2 couvrent ce cas, quel que soit le contrôle anti-bot choisi.
Pourquoi ne pas dire à l’inscrit que son adresse est déjà connue ?
Parce que ce message révèle à n’importe qui si une adresse est inscrite chez vous. Un message identique pour tous les cas ne révèle rien.
Voir aussi : Spam sur un formulaire de contact : que faire, mesure par mesure · CAPTCHA et accessibilité : ce que disent les WCAG et le W3C · Cas d’usage : protéger une inscription · Faux comptes et fraude à l’inscription : le même problème avec un compte · Questions fréquentes : Antisy est-il un antispam ?