Tu as déjà reçu un mail d’une adresse noreply@quelquechose.com. Tout le monde en reçoit : factures, confirmations, notifications. Ces messages partent d’une boîte qui n’existe pas vraiment, un « ne pas répondre » qui sert de poubelle numérique. Sauf que la poubelle peut avoir un propriétaire. Un chercheur en sécurité a acheté le domaine noreply.net, et depuis décembre 2024, il reçoit environ 700 courriels par jour : 401 796 messages au total, dont des données sensibles que des entreprises croyaient expédier dans le vide.
Un domaine « poubelle » qui valait de l’or
L’histoire est racontée par WIRED : le chercheur, Cory Solovewicz, s’est rendu compte que de nombreux systèmes utilisent noreply.net comme adresse d’expédition par défaut, simplement parce que ça sonne comme une adresse générique. Sauf que noreply.net est un vrai domaine, avec un vrai serveur de messagerie, et quelqu’un paie son renouvellement. Depuis que le domaine lui appartient, tout ce qui est envoyé à noreply@noreply.net arrive dans sa boîte de réception.
Le site du domaine l’explique avec une ironie glaciale : « Vous n’avez envoyé ça à personne. Vous me l’avez envoyé. » Rien n’a été intercepté, rien n’a été piraté : ce sont les configurations elles-mêmes qui désignent ce destinataire, souvent copiées depuis un guide d’installation sans jamais être modifiées.
Visuel : le site officiel du domaine noreply.net, qui documente les courriels reçus et les bonnes pratiques. Source : noreply.net, https://noreply.net/
Pourquoi les entreprises écrivent à des inconnus
Le mécanisme est d’une banalité consternante. Un modèle de mail contient noreply@noreply.net en dur, parce que quelqu’un a suivi un tutoriel un jour. Une variable SMTP_FROM reprend cette valeur copiée-collée. Un compte supprimé laisse un reliquat du type deleteduser@noreply.net. Parfois, c’est même un client qui répond à une adresse no-reply et dont la réponse part dans la nature.
Le résultat : des mots de passe réinitialisés, des identifiants, des documents internes ou des informations personnelles arrivent chez un parfait inconnu. WIRED précise que le chercheur a reçu des données réellement sensibles, et que l’ampleur du flux en dit long sur la façon dont les entreprises traitent leurs adresses d’expédition : comme des détails sans importance, alors qu’elles sont la porte d’entrée de toute la communication automatisée.
Visuel : illustration de l’article WIRED consacré à l’enquête sur les adresses noreply. Source : WIRED, https://www.wired.com/story/sensitive-info-goes-into-no-reply-emails-constantly-this-guy-sees-it-all/
Le correctif tient en une ligne
La solution recommandée par le chercheur est simple et officielle : utiliser le domaine .invalid, réservé par la norme RFC 6761 précisément pour ce genre d’usage. Une adresse du type noreply@votreentreprise.invalid ne peut pas être enregistrée, ne possède aucun serveur de messagerie et ne tombera jamais dans la boîte d’un tiers. C’est le comportement exact que les entreprises croyaient obtenir avec noreply.net.
Concrètement, si tu administres un service ou un site : cherche dans tes configurations les valeurs noreply@, donotreply@, deleteduser et compagnie, remplace-les par une adresse .invalid, et restreins l’envoi sortant aux seuls domaines que tu contrôles. Vérifie aussi si le domaine « factice » utilisé dans ton code est enregistrable : si c’est le cas, quelqu’un finira par l’acheter.
La morale est cruelle : une adresse d’expédition n’est jamais anodine. Le « ne pas répondre » le plus générique du monde peut devenir une boîte aux lettres bien réelle, avec toutes les données qui vont avec. La prochaine fois que tu verras noreply dans un code ou une configuration, pense à celui qui lit les réponses à ta place.
Sources
WIRED, « Sensitive Info Goes Into ‘No Reply’ Emails Constantly. This Guy Sees It All », Matt Burgess, 8 août 2026 : https://www.wired.com/story/sensitive-info-goes-into-no-reply-emails-constantly-this-guy-sees-it-all/
noreply.net, page officielle du domaine et du projet de recherche : https://noreply.net/
Ars Technica, « A researcher bought noreply.net. Companies started sending him secrets. », 10 août 2026 : https://arstechnica.com/
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet