Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11

Dispositif anti-aspiration d'e-mails

21 réponses
Avatar
Pascal
Bonjour,

Problème classique, comment empêcher au mieux l'aspiration des adresses e-
mail diffusées sur les pages web.

Il y a quelques réponses connues en javascript, mais je m'intéresse ici
aux solutions simples côté serveur, et PHP en particulier.
L'idée serait de recoder tout ou partie des adresses en fin de traitement
de la page à produire en sortie HTTP.

Quelqu'un a-t-il déjà tenté de transformer simplement le "@" en son
équivalent sous forme d'entité codée, soit "@" ?
Si oui, cela a-t-il suffit pour contraindre le spam ? (car je suis
conscient que le spider peut facilement contourner cela)

PS: la partie de code PHP correspondante est dans mon billet précédent.

--
Cordialement, Pascal.

10 réponses

1 2 3
Avatar
Thierry
Pascal écrivait news:08ed1d6f-a67c-4a24-9ac7-
:

[SNIP les differentes étapes]

C'est ça.

Bon, ok, mais la fonction "hex-encode()" donne quoi en résultat, parce
que j'ai un peu de mal à l'interpréter ?



Franchement je sais plus du tout.
Je viens de (re)tester et ca marche...

D'ailleurs je ne savais pas qu'une entête pouvait être encodée.

Cela dit, il n'y a que l'URL du lien qui masque l'adresse, pas le
contenu textuel du lien, n'est-ce pas ?
Par exemple, ça donnerait, dans le code de la page affichée :
<a href="script.php?id=1"></a>



Plutot <a href="script.php?id=1">Ecrivez moi</a>
Si tu mets l'email dans l'HTML ce ne sert a rien :-)

Hmmm, ça pourrait le faire. Il faut que j'en sache plus sur cet
encodage
qui me trouble un peu.
Tous les navigateurs comprennent cette entête trafiquée ?



C'est le mail qui doit la comprendre.
Avatar
Denis Beauregard
Le 06 Nov 2010 00:03:39 GMT, Pascal
écrivait dans fr.comp.lang.php:

Bonjour,

Problème classique, comment empêcher au mieux l'aspiration des adresses e-
mail diffusées sur les pages web.

Il y a quelques réponses connues en javascript, mais je m'intéresse ici
aux solutions simples côté serveur, et PHP en particulier.
L'idée serait de recoder tout ou partie des adresses en fin de traitement
de la page à produire en sortie HTTP.



Une autre solution hors charte (mais qui peut être codée en PHP,
il faut tout de même rester un peu en charte !).

Il s'agit tout bonnement d'utiliser un "hover" pour afficher le lien
seulement si la souris est sur le lien, donc si un humain va cliquer
dessus. Cela doit avoir été discuté dans le forum Usenet .auteurs


Denis
Avatar
Thierry
Denis Beauregard
écrivait news::

Il s'agit tout bonnement d'utiliser un "hover" pour afficher le lien
seulement si la souris est sur le lien,*



Et comment l'utilisateur trouve le lien ?

donc si un humain va cliquer



Non: cette solution implique d'avoir l'adresse dans le HTML, ce que
recherchent les robots.
Avatar
Denis Beauregard
suivi vers fr.comp.infosystemes.www.auteurs car cela devient hors
charte et j'aimerais bien savoir ce qu'il en est de cette solution...



Le 12 Nov 2010 16:33:14 GMT, Thierry écrivait
dans fr.comp.lang.php:

Denis Beauregard
écrivait news::

Il s'agit tout bonnement d'utiliser un "hover" pour afficher le lien
seulement si la souris est sur le lien,*



Et comment l'utilisateur trouve le lien ?

donc si un humain va cliquer



Non: cette solution implique d'avoir l'adresse dans le HTML, ce que
recherchent les robots.



Je viens de regarder dans mes messages archivés de
fr.comp.infosystemes.www.auteurs et je ne vois pas la discussion en
question. Il est possible que cela date d'avant septembre 2005 (j'ai
tous les messages reçus depuis la fin du mois précédent) ou que j'aie
vu cela ailleurs.

La solution semble présentée dans plusieurs pages. J'ai par exemple
ceci :

http://www.htmlgoodies.com/beyond/javascript/article.php/3470771/Advanced-JavaScript-for-Web-Developers-onClick-and-onMouseOver.htm

<FORM>
<INPUT TYPE="button" VALUE="Click Here to Write to Me"
onClick="parent.location='mailto:'">
</FORM>


Il suffirait d'avoir quelque chose comme

onClick="parent.location='mai'+'lto:jburns'+'@'+'htmlgoodies.com'">

ou un encodage similaire. Le robot ne voit pas de mailto. Je n'ai pas
testé...

On pourrait faire la même chose sans formulaire.

Le hic, c'est qu'il y a du javascript. Sinon, cela répond au problème
posé.


Denis
Avatar
Pascal
Le 12/11/2010 19:53, Denis Beauregard a écrit :
suivi vers fr.comp.infosystemes.www.auteurs car cela devient hors
charte et j'aimerais bien savoir ce qu'il en est de cette solution...



Oui, ça parait plus raisonnable, vu les solutions possibles côté client.

Il suffirait d'avoir quelque chose comme

onClick="parent.location='mai'+'lto:jburns'+'@'+'htmlgoodies.com'">



Il y a un tas de solutions en javascript, du plus simple au plus
compliqué (des fois pour pas grand chose !).
Un script comme ci-dessus est suffisant pour brouiller les pistes, et
encore davantage si le code est placé dans un fichier externe, à
l'intérieur d'une fonction par exemple.

Le hic, c'est qu'il y a du javascript. Sinon, cela répond au problème
posé.



Et c'est bien ça qui coince, même si javascript est maintenant, je
crois, rarement désactivé en totalité (ce sont surtout les popups et les
redimensionnements qui sont limités, non ?).

Pour l'instant je n'ai pas trouvé d'autre solution que l'une de
celles-ci, si l'on exclut javascript :
1- Encoder le lien HTML vers le mail, en le laissant visible pour un
acteur humain (c'est la proposition de départ que je faisais dans
fr.comp.lang.php, en remplaçant seulement le "@" par "&#64;").
2- Présenter un formulaire de rédaction de mail, avec une liste de
destinataires dont les noms ou les fonctions peuvent apparaître, mais
pas les adresses mail.

La deuxième solution parait plus sure mais :
- Cela suppose un traitement plus lourd côté serveur.
- L'internaute n'a pas de suivi global de l'échange dans son
gestionnaire de mail.

Une précision, tout de même, j'ai une adresse mail de webmaster qui est
publique depuis quelques années.
Bien sûr, cela m'a valu mon lot de spam à une époque donnée.
Mais ça fait un bail que je n'ai plus de problème, car j'ai un triple
filtrage en action :
- Celui de l'hébergeur du site, qui gère le serveur de mail dont dépend
l'adresse en question;
- Celui de Gmail, où je centralise tous mes comptes de mail, personnels
comme professionnels;
- Celui de mon gestionnaire de mail local, synchronisé en IMAP avec Gmail.

C'est pour cela que je recherchais plus une solution de ralentissement
que de barrage franc, autant pour mon usage que celui des sites web où
j'interviens.

--
Cordialement,
Pascal
Avatar
Olivier Miakinen
Le 12/11/2010 22:19, Pascal a écrit :

Une précision, tout de même, j'ai une adresse mail de webmaster qui est
publique depuis quelques années.
Bien sûr, cela m'a valu mon lot de spam à une époque donnée.
Mais ça fait un bail que je n'ai plus de problème, car j'ai un triple
filtrage en action :
- Celui de l'hébergeur du site, qui gère le serveur de mail dont dépend
l'adresse en question;
- Celui de Gmail, où je centralise tous mes comptes de mail, personnels
comme professionnels;
- Celui de mon gestionnaire de mail local, synchronisé en IMAP avec Gmail.

C'est pour cela que je recherchais plus une solution de ralentissement
que de barrage franc, autant pour mon usage que celui des sites web où
j'interviens.



Tiens, tu me fais penser à une méthode dont j'ai découvert par hasard
qu'elle pouvait gêner les spammeurs : utiliser une adresse « plussée ».
En effet, cela fait des années que j'utilise <om+ dans
le champ From de mes (nombreux) articles sur usenet, eh bien je reçois
au moins autant de spam sur que sur l'adresse
réelle, les spammeurs croyant à tort qu'on ne peut pas mettre de « + »
dans une adresse de courriel.

Bien sûr les deux adresses m'appartiennent et sont valides (puisque je
ne suffixe pas mon adresse par .invalid), mais je peux facilement
filtrer tout ce qui arrive sur 'news' au lieu de 'om+news'.

À ce propos, j'espère que tu possèdes et que tu lis effectivement
l'adresse de ton champ From, , car sinon
tu devrais la suffixer par « .invalid ».

Cordialement,
--
Olivier Miakinen
Avatar
Pascal
Le 12/11/2010 23:34, Olivier Miakinen a écrit :
Tiens, tu me fais penser à une méthode dont j'ai découvert par hasard
qu'elle pouvait gêner les spammeurs : utiliser une adresse « plussée ».



Bonne astuce, effectivement, mais je me demande si les interfaces des
hébergements mutualisés permettent, dans leur formulaires, la création
de comptes mail avec ce caractère ? A vérifier.

À ce propos, j'espère que tu possèdes et que tu lis effectivement
l'adresse de ton champ From, , car sinon
tu devrais la suffixer par « .invalid ».



Ben non ! :-( Je pensais que les adresses suffixées "invalid" étaient
toujours bidon, même débarrassées dudit suffixe.
Du coup, voyant quelques adresses avec "nospam" quelque part, j'ai cru
que c'était le moyen d'indiquer une adresse valide, mais masquée.

J'avais même utilisé un temps une nouvelle notation pour brouiller les
pistes, en remplaçant les points par ".dot.", et me disant qu'un humain
saurait naturellement qu'il faut les enlever pour avoir l'adresse réelle
(il me semble que j'avais vu utiliser cette technique dans des forums,
pour maquiller les vraies adresses des contributeurs).

Apparemment je suis à côté de la plaque. Il y a une source où consulter
les règles en la matière ?

--
Cordialement,
Pascal
Avatar
Olivier Miakinen
Le 13/11/2010 13:31, Pascal a écrit :
Le 12/11/2010 23:34, Olivier Miakinen a écrit :
Tiens, tu me fais penser à une méthode dont j'ai découvert par hasard
qu'elle pouvait gêner les spammeurs : utiliser une adresse « plussée ».



Bonne astuce, effectivement, mais je me demande si les interfaces des
hébergements mutualisés permettent, dans leur formulaires, la création
de comptes mail avec ce caractère ? A vérifier.



Tu crées le compte sans « + », et tu envoies un message vers l'adresse
avec « + ». Si tout se passe bien, tu devrais recevoir le message, et
pouvoir filtrer sur le nom de destinataire. Aussitôt que j'ai compris
quelle est ta vraie adresse, j'essaye, promis.

À ce propos, j'espère que tu possèdes et que tu lis effectivement
l'adresse de ton champ From, , car sinon
tu devrais la suffixer par « .invalid ».



Ben non ! :-( Je pensais que les adresses suffixées "invalid" étaient
toujours bidon, même débarrassées dudit suffixe.



Tu pensais bien. L'adresse doit rester bidon en supprimant le .invalid .

Donc :
1) si est ta vraie adresse, il ne faut
pas la suffixer par .invalid ;
2) si est une adresse bidonnée (c'est-à-
dire par exemple que ta vraie adresse est sans le .nospam), alors tu
dois mettre le suffixe.

Du coup, voyant quelques adresses avec "nospam" quelque part, j'ai cru
que c'était le moyen d'indiquer une adresse valide, mais masquée.



Une adresse avec « nospam » peut être une vraie adresse (donc, non
masquée). Dans un monde idéal, toute adresse masquée devrait être
signalée par .invalid .

Par exemple, si j'utilisais dans mon champ From
et dans mon champ Reply-To, cela voudrait dire :
1) que est ma vraie adresse ;
2) que est invalide.

J'avais même utilisé un temps une nouvelle notation pour brouiller les
pistes, en remplaçant les points par ".dot.", et me disant qu'un humain
saurait naturellement qu'il faut les enlever pour avoir l'adresse réelle
(il me semble que j'avais vu utiliser cette technique dans des forums,
pour maquiller les vraies adresses des contributeurs).



Un humain, comme un logiciel, est censé reconnaître une adresse invalide
au .invalid qui la suit.

Apparemment je suis à côté de la plaque. Il y a une source où consulter
les règles en la matière ?



Une source assez vieille :
http://141.84.214.22/FAQ/fr/usenet/abus/adresses-antispam/index.html

Depuis, le .antispam a dû être officialisé dans un vrai RFC, mais il est
un peu tard pour que je cherche maintenant.

En tout cas il y a déjà ça :
http://www.rfc-editor.org/rfc/rfc2606.txt
http://fr.wikipedia.org/wiki/Domaine_de_premier_niveau#Domaine_de_premier_niveau_r.C3.A9serv.C3.A9

--
Olivier Miakinen
Avatar
SAM
Le 14/11/10 02:46, Olivier Miakinen a écrit :
Le 13/11/2010 13:31, Pascal a écrit :
Le 12/11/2010 23:34, Olivier Miakinen a écrit :
Tiens, tu me fais penser à une méthode dont j'ai découvert par hasard
qu'elle pouvait gêner les spammeurs : utiliser une adresse « plussée ».



Bonne astuce, effectivement, mais je me demande si les interfaces des
hébergements mutualisés permettent, dans leur formulaires, la création
de comptes mail avec ce caractère ? A vérifier.



Tu crées le compte sans « + », et tu envoies un message vers l'adresse
avec « + ». Si tout se passe bien, tu devrais recevoir le message, et
pouvoir filtrer sur le nom de destinataire. Aussitôt que j'ai compris
quelle est ta vraie adresse, j'essaye, promis.



Je viens d'essayer pour ma BAL chez wanadoo ...
... "User unknown" !

Qque chose m'aura échappé ?
Comme d'avoir vraiment l'adresse plussée en sus de celle normale ?

Rien compris à l'histoire du filtre plussé/non-plussé ...

Filtrer sur le nom du destinataire ... comment ça ?

--
Stéphane Moriaux avec/with iMac-intel
Avatar
Olivier Miakinen
Le 14/11/2010 14:06, SAM a écrit :

Tu crées le compte sans « + », et tu envoies un message vers l'adresse
avec « + ». Si tout se passe bien, tu devrais recevoir le message, et
pouvoir filtrer sur le nom de destinataire. Aussitôt que j'ai compris
quelle est ta vraie adresse, j'essaye, promis.



Je viens d'essayer pour ma BAL chez wanadoo ...
... "User unknown" !



Ah zut, tu as raison. Et je viens d'essayer avec mon adresse
professionnelle : alors que je croyais l'avoir déjà fait avec
succès, je n'obtiens pas de message d'erreur mais le message
n'arrive pas. Dommage !

Et donc, dans ces cas là il faut voir effectivement si l'on peut
créer une adresse directement avec un + dedans.

Rien compris à l'histoire du filtre plussé/non-plussé ...

Filtrer sur le nom du destinataire ... comment ça ?



Mon adresse est , mais ici je mets om+news dans la partie
gauche du From. Si j'achète quelque chose sur le site fnac.fr,
je donne l'adresse om+fnac.fr ; pour amazon.com c'est om+amazon.com,
et ainsi de suite. Cela me permet d'une part de trier automatiquement
ce qui m'arrive dans des sous-dossiers de mon Inbox, et d'autre part
de savoir qui revend mon adresse à des spammeurs (exemple : Conforama).

--
Olivier Miakinen
1 2 3