Brave lance des comptes utilisateur avec des alias mail gratuits, voici comment en profiter

Brave lance ses Email Aliases, une fonction qui masque l'adresse e-mail réelle de l'internaute derrière des alias jetables. Le service s'appuie sur Brave Accounts, un nouveau système de connexion qui utilise le protocole cryptographique OPAQUE pour ne jamais transmettre le mot de passe au serveur.

Sur la version 1.94 de son navigateur de bureau, Brave lance Email Aliases. Ce n'est pas le premier service du genre, mais son intégration est native au navigateur.

Un alias par formulaire, un mot de passe qui ne sort jamais de l'appareil

Brave veut désormais protéger votre adresse email et peut générer des alias uniques directement dans le champ e-mail d'un site, via l'autocomplétion ou le clic droit. Le service en offre cinq gratuitement pour commencer. Chaque alias redirige vers l'adresse principale. Ils se décomposent tous sous la même forme, à savoir deux mots aléatoires en anglais séparés par un trait d'union et dont le second est suivi par deux chiffres.

En cas de spam reçu sur cet alias, il suffit donc de le désactiver depuis les réglages. Une adresse email différente par site marchand permet aussi d'éviter le pistage au-delà du blocage des traqueurs. C'est d'autant plus vrai si l'un d'eux travaille avec une régie publicitaire comme Meta qui pourrait potentiellement recouper votre activité sur plusieurs sites grâce à une même adresse et finir un profil bien précis pour des publicités ciblées.

Mais pour utiliser cette nouvelle option d'alias, encore faut-il spécifier son adresse mail réelle. Et c'est là qu'il faut créer un compte Brave. Ce dernier repose sur OPAQUE, un protocole normalisé par l'IRTF en juillet 2025 (RFC 9807). Sur un site classique, le mot de passe doit atteindre le serveur en clair, ne serait-ce qu'un instant : c'est la seule façon pour lui de calculer un hash, via bcrypt ou Argon2, et de le comparer à celui déjà stocké. En revanche, avec OPAQUE, les choses fonctionnent différemment. L'appareil et le serveur échangent des preuves cryptographiques, sans jamais se transmettre le mot de passe. À la création du compte, l'appareil "aveugle" le mot de passe avec une valeur aléatoire avant de l'envoyer. Le serveur y applique sa propre clé secrète et renvoie le résultat. Ni l'un ni l'autre n'apprend ce que sait l'autre.

Et en cas de piratage, ça change tout. Une base de mots de passe volée se retrouve entre les mains d'attaquants qui la cassent hors ligne, sur des GPU, à raison de milliards de tentatives par seconde. La fuite LinkedIn l'a bien montré : le piratage remonte à 2012, mais l'ampleur réelle n'est apparue qu'en 2016, avec 117 millions de mots de passe stockés en SHA-1 non salé. Ils ont presque tous été cassés en quelques jours. Avec OPAQUE, l'attaquant doit reprendre les calculs compte par compte, ce qui ralentit nettement l'opération. Brave reconnaît toutefois deux limites. D'abord, le protocole ne protège pas du phishing si le mot de passe est saisi sur un faux site, par ailleurs un mot de passe faible reste vulnérable à une attaque en ligne classique.

Comment multiplier les alias gratuits

Reste que 5 alias gratuits, c'est relativement peu. Des services d'alias mail, il en existe plusieurs à potentiellement coupler avec ceux de Brave.

Nous rapportions le rachat de SimpleLogin par Proton en 2022, puis l'arrivée des alias directement dans Proton Mail et Proton Pass deux ans plus tard. Le compte gratuit donne droit à 10 alias ; les offres Unlimited et Pass Plus les rendent illimités, avec la possibilité d'utiliser un sous-domaine personnalisé.

De son côté, DuckDuckGo propose Email Protection, disponible depuis 2021 et ouvert à tous l'année suivante. Le service est entièrement gratuit et sans limite de nombre d'alias. Il fournit une adresse personnelle en @duck.com ainsi que des alias jetables par site. Il y ajoute en plus une couche que Brave ne propose pas, à savoir le retrait des traqueurs cachés dans les e-mails avant leur transfert.

Chez Apple, Hide My Email a connu un rebondissement cet été. Nous rapportions une faille qui permettait de retrouver l'adresse réelle d'un utilisateur via les journaux de messagerie, corrigée le 3 juillet, treize mois après le signalement initial. La fonction elle-même se décline en deux versions bien distinctes. Se connecter avec Apple, gratuit, génère un alias automatiquement quand un site propose ce bouton, mais seulement pour cet usage précis. Hide My Email, réservé aux abonnés iCloud+ à partir de 0,99 euro par mois, permet de créer un alias à la demande pour n'importe quel site.