Un spam trap désigne une adresse e-mail piège, sans contact réel derrière, utilisée par les fournisseurs de messagerie et les services anti-spam. Un envoi vers un spam trap trahit une base mal tenue : la réputation de l'expéditeur baisse, l'emailing passe en spam et l'IP peut finir sur une blocklist. Cet article du blog sert de guide : il détaille chaque type de spam trap, le rôle de l'opt-in, ainsi que le site et le formulaire à surveiller.
Qu'est-ce qu'un spam trap ?
Le spamtrap (on écrit aussi spam trap ou honeypot) est une adresse mail utilisée comme appât. Aucun utilisateur ne lit les messages reçus : l'adresse sert seulement à observer quel expéditeur lui écrit. Comme elle n'a jamais donné son accord, tout mail marketing qui lui arrive prouve que l'adresse a été obtenue sans inscription volontaire, par exemple par un spammeur qui revend des données. Le piège fonctionne en France comme ailleurs, en B2B comme en B2C, et pèse sur le taux de délivrabilité de toute entreprise qui veut éviter le dossier courrier indésirable.
Ces pièges sont gérés par les grands fournisseurs de messagerie (Gmail, Outlook, Yahoo, Orange), par des organismes de lutte contre le spam comme Spamhaus et par des sociétés spécialisées dans la délivrabilité. Les adresses ne sont jamais rendues publiques : un expéditeur ne peut pas obtenir la liste des spam traps pour les retirer de sa base. C'est justement ce qui rend chaque spamtrap efficace contre les spammeurs.
Comment fonctionne un piège à spam ?
Le principe est simple. Une adresse piège est placée à un endroit où seul un robot ou une collecte sans consentement peut la trouver, par exemple dans le code d'une page web, invisible pour un visiteur humain. Un logiciel qui aspire les adresses des sites (le scraping) la récupère et l'ajoute à une base, qui finit parfois revendue ou louée sous forme de fichier. Quand une campagne d'emailing envoie un message vers cette adresse, le gestionnaire du piège enregistre l'expéditeur, le domaine et l'adresse IP utilisés.
À partir de ces signaux, le fournisseur de messagerie ajuste la réputation de l'expéditeur. Selon la gravité et la répétition, le résultat va d'un simple filtrage plus sévère jusqu'à l'inscription sur une blocklist publique, consultée par des milliers de serveurs de messagerie dans le monde.
Les types de spam traps
On distingue généralement trois familles d'adresses pièges. Chaque spamtrap ne révèle pas le même défaut dans la gestion des données d'une liste de diffusion.
Le spam trap pur (pristine)
Le spam trap de type pristine est une adresse créée uniquement pour piéger les spammeurs. Elle n'a jamais appartenu à une personne et ne s'est jamais inscrite nulle part. La toucher signifie presque toujours que l'adresse a été collectée par scraping ou qu'elle provient d'une base achetée dont l'origine n'est pas contrôlée. C'est le piège le plus grave pour la réputation d'un expéditeur : certaines blocklists inscrivent une IP dès le premier contact avec ce type d'adresse.
Le spam trap recyclé
Le spam trap recyclé est une ancienne adresse valide, abandonnée par son propriétaire. Pendant une longue période, elle renvoie des erreurs (un hard bounce, c'est-à-dire un rejet définitif). Puis le fournisseur la réactive en tant que piège. Un expéditeur qui continue d'écrire à cette adresse montre qu'il ne retire pas les contacts inactifs et qu'il ignore les rebonds. Ce piège est moins sévère que le pristine, mais il signale une mauvaise hygiène de liste.
Le spam trap à faute de frappe (typo)
Le spamtrap de type typo repose sur une erreur de saisie : « gmial.com » au lieu de « gmail.com », « hotmial.fr » ou un domaine voisin d'un domaine connu. Certains de ces domaines mal orthographiés sont enregistrés pour capter les messages envoyés par erreur. Une adresse mal tapée dans un formulaire, jamais vérifiée, peut ainsi rester des mois dans une base et alerter un service anti-spam.
Pourquoi les spam traps sont-ils importants pour un expéditeur ?
Un spamtrap ne mesure pas seulement la qualité d'un envoi : il touche directement la délivrabilité, c'est-à-dire la capacité d'un message à arriver en boîte de réception plutôt que dans le dossier spam. Les risques sont concrets :
- Baisse de réputation : la réputation de l'adresse IP et celle du domaine d'envoi chutent, et les fournisseurs de messagerie filtrent davantage les messages suivants.
- Inscription sur une liste noire : une blocklist comme celles de Spamhaus peut référencer l'IP ou le domaine, et de nombreux serveurs refusent alors tout courrier qui en vient.
- Chute des indicateurs : le taux d'ouverture et le taux de clic baissent, car une partie des envois finit en courrier indésirable sans que l'expéditeur le sache.
- Effet sur tout le domaine : les e-mails transactionnels (factures, confirmations de commande, mots de passe) peuvent aussi être bloqués s'ils partent du même domaine.
- Problème avec le prestataire : un service d'emailing peut suspendre un compte dont les envois touchent des pièges, pour protéger ses propres adresses IP partagées.
Le spamtrap révèle surtout une cause en amont : des données mal recueillies. C'est ce qui le distingue d'une simple plainte d'un destinataire.
D'où viennent les spam traps dans une base de données ?
Une adresse spamtrap ne s'inscrit pas d'elle-même. Si elle se trouve dans un fichier, c'est qu'un mode d'acquisition ou de gestion a laissé passer une donnée sans contrôle. Les origines les plus fréquentes sont :
- l'achat ou la location d'un fichier dont la source n'est pas documentée, souvent constitué par collecte automatique sur des sites ;
- le scraping d'adresses sur le web, une collecte que la CNIL juge déloyale lorsqu'elle se fait à l'insu des personnes ;
- une base ancienne jamais nettoyée, où des adresses abandonnées sont devenues des pièges recyclés ;
- un formulaire d'inscription sans confirmation, qui accepte les fautes de frappe et les inscriptions par des robots ;
- l'import de contacts d'un salon, d'un partenaire ou d'un ancien outil sans vérifier comment ils ont été recueillis.
Avant de louer ou d'acheter une liste, il faut donc savoir d'où viennent les adresses et si les personnes ont accepté de recevoir des messages. Les règles sont détaillées dans notre article de blog sur la prospection par email et le RGPD et dans celui consacré au courtier en fichiers email.
Comment identifier un spam trap ?
Il est en pratique impossible de repérer une adresse piège à l'œil nu : elle ressemble à une adresse normale et ne renvoie aucun message d'erreur. Les gestionnaires ne communiquent pas leur liste. On détecte donc plutôt les conséquences d'un trap hit (le fait de toucher un piège) que l'adresse elle-même. Plusieurs signaux doivent alerter :
- une baisse brutale du taux d'ouverture sur Gmail, Outlook ou Yahoo, sans changement du contenu ;
- une hausse des messages classés en spam, visible dans les tests de placement en boîte de réception ;
- un avertissement du service d'emailing utilisé, ou une suspension temporaire du compte ;
- la présence de l'IP ou du domaine sur une blocklist, vérifiable avec des outils publics de consultation des listes noires ;
- une dégradation de la réputation dans Google Postmaster Tools ou dans le service équivalent de Microsoft.
Certains outils de validation d'adresses signalent des adresses « à risque » (domaines suspects, adresses jamais actives, fautes de frappe). Ils aident, mais aucun ne garantit l'absence totale de pièges, surtout pour les spam traps purs.
Comment éviter les spam traps ?
Éviter les spam traps revient à appliquer une bonne gestion des données. Les pratiques suivantes, valables pour toute entreprise qui fait du marketing par e-mail, réduisent fortement le risque et protègent la délivrabilité.
Recueillir les adresses avec le consentement
Un fichier construit à partir d'inscriptions volontaires (opt-in) ne contient pas de spamtrap pur. Le formulaire doit indiquer clairement à quoi la personne s'abonne, sans case pré-cochée. Le double opt-in, qui demande de confirmer l'inscription par un clic dans un mail, écarte en plus les fautes de frappe et les inscriptions par des robots : une adresse qui ne confirme pas n'entre jamais dans la liste.
Ne jamais utiliser de liste collectée sans accord
Un fichier d'adresses aspirées sur le web ou dont l'origine reste floue est la première source de spam traps. Un fichier loué auprès d'un prestataire légitime doit pouvoir prouver le recueil de l'accord et l'information des personnes. À défaut, mieux vaut renoncer : le coût d'une réputation dégradée dépasse largement le gain d'une campagne.
Retirer les rebonds et les contacts inactifs
Une adresse qui produit un hard bounce doit sortir de la liste dès le premier rejet. Les contacts qui n'ouvrent ni ne cliquent plus depuis longtemps (souvent six à douze mois selon la fréquence d'envoi) doivent recevoir une campagne de réengagement, puis être retirés s'ils ne réagissent pas. C'est ainsi qu'on évite les pièges recyclés. Notre guide du nettoyage d'une base email détaille la méthode.
Vérifier la syntaxe et les domaines
Une validation à la saisie (format de l'adresse, domaine existant, proposition de correction pour « gmial.com ») limite les pièges à faute de frappe. Un contrôle régulier par un service de validation, avant un premier envoi à d'anciennes données, est aussi utile.
Surveiller sa réputation d'expéditeur
L'authentification du domaine avec SPF, DKIM et DMARC ne protège pas d'un piège, mais elle permet aux fournisseurs d'identifier l'expéditeur et de lui attribuer une réputation propre. Google demande aux expéditeurs de garder un taux de spam signalé sous 0,1 % et de ne jamais atteindre 0,3 %, selon ses consignes pour les expéditeurs. Suivre ces indicateurs de délivrabilité chaque semaine permet de réagir vite.
Que faire après avoir touché un spam trap ?
Si les signaux montrent qu'un piège a été touché, il faut agir rapidement et dans l'ordre :
- Suspendre les envois vers le segment suspect, en priorité les contacts importés récemment ou issus d'une source externe.
- Identifier la source : quel import, quel formulaire, quel fichier a introduit les adresses douteuses ?
- Nettoyer la liste : retirer les rebonds, les inactifs anciens et les adresses dont l'origine n'est pas prouvée.
- Demander le retrait d'une blocklist si l'IP ou le domaine y figure, en suivant la procédure de la liste concernée, une fois la cause corrigée.
- Reprendre progressivement en écrivant d'abord aux contacts les plus engagés, pour reconstruire la réputation.
Supprimer quelques adresses au hasard ne suffit pas : tant que la cause reste en place, un nouveau spamtrap entrera dans les données.
Spam trap, hard bounce et plainte : quelle différence ?
Ces trois signaux sont souvent confondus. Un hard bounce est un rejet définitif renvoyé par le serveur : l'adresse n'existe pas ou plus, et l'expéditeur en est informé. Une plainte pour spam vient d'une personne réelle qui clique sur « signaler comme spam ». Le spamtrap, lui, ne renvoie rien : le message est accepté, l'expéditeur croit qu'il a été délivré, alors que l'envoi est enregistré comme un indice de collecte sans consentement. C'est cette discrétion qui le rend dangereux.
Spam trap et prospection en France : la bonne pratique
En France, une entreprise qui prospecte par e-mail doit d'abord respecter les règles de consentement : opt-in pour les particuliers, intérêt légitime et lien avec la profession pour les contacts B2B. Ces règles rejoignent la lutte contre les pièges : un utilisateur qui a choisi de recevoir des messages n'est jamais un spamtrap. La pratique recommandée consiste donc à mesurer régulièrement l'engagement (ouvertures, clics, réponses), à corriger les fautes de type typo à la saisie et à écarter tout spammeur potentiel de ses partenaires de collecte.
Spam trap : questions fréquentes
Un seul spam trap peut-il bloquer une campagne ?
Oui, dans certains cas. Un spamtrap pur touché par une IP déjà fragile peut suffire à une inscription sur une liste noire. Pour un expéditeur à bonne réputation, un contact isolé avec un piège recyclé a en général un effet plus limité, mais la répétition finit par peser.
Un outil de validation supprime-t-il tous les pièges ?
Non. Ces outils repèrent les adresses invalides, les domaines suspects et certaines adresses à risque, mais les gestionnaires de pièges ne publient pas leurs adresses. Seul un fichier recueilli avec le consentement de chaque utilisateur, puis entretenu, protège durablement une entreprise.
Les fichiers achetés contiennent-ils des spam traps ?
Un fichier d'origine inconnue en contient souvent, surtout si elle a été constituée par collecte automatique sur des sites. Un fichier B2B loué auprès d'un prestataire qui documente la source et l'information des personnes présente beaucoup moins de risques pour la délivrabilité, sans les supprimer totalement. Un intérêt légitime ne remplace pas la vérification de la source.
Combien de temps dure une inscription sur une blocklist ?
Cela dépend de la liste. Certaines retirent automatiquement une entrée après quelques jours sans nouveau signal ; d'autres exigent une demande de retrait et la preuve que la cause a été corrigée. Dans tous les cas, la réputation met ensuite plusieurs semaines à remonter.