Comment FrozenSpam marche

Cinq couches de filtrage qui s'enchaînent. Du plus simple au plus précis. Du moins cher (rejet en bord de réseau) au plus subtil (défi-réponse). Une défense en profondeur, pas un filtre unique.

Vue d'ensemble — les 5 couches dans l'ordre

Un mail entrant traverse ces filtres dans cet ordre. À chaque étape, plus de 90 % du trafic spam restant est éliminé. Ce qui passe la couche 5 (le défi-réponse) est garanti humain.

1. Couche 1 — DNSBL Spamhaus + postscreen. Rejet avant SMTP DATA des zombies SMTP connus (botnets, IPs blacklistées). Élimine ~70 % du trafic spam dès la phase TCP. Coût CPU quasi nul.
2. Couche 2 — Authentification SPF + DKIM + DMARC. Vérification que l'expéditeur a le droit d'envoyer depuis son domaine. Si l'authentification échoue avec une politique DMARC stricte, le mail est rejeté.
3. Couche 3 — Pré-filtre antivirus et Bayesian (optionnel). ClamAV scan des pièces jointes pour les malwares connus. Filtre statistique Bayesian (rspamd / SpamAssassin) qui apprend des spams classiques de votre boîte. Désactivé par défaut V0 (cf manifeste : nous ne lisons pas vos mails), activable à la demande.
4. Couche 4 — Backscatter guard. Si un mail a passé les couches 1-3 mais que SPF échoue silencieusement, FrozenSpam ne renvoie pas de défi (pour ne pas polluer une boîte usurpée). Le mail est abandonné. Aucun backscatter, jamais.
5. Couche 5 — Challenge-response. Le mail restant émane d'un expéditeur authentifié, non blacklisté, non malveillant techniquement. S'il n'est pas dans vos whitelists ni dans votre log sortants, FrozenSpam lui demande de prouver qu'il est humain. Une fois validé, il rejoint vos contacts à vie.

Cette architecture en couches est la signature FrozenSpam. Les concurrents qui annoncent « anti-spam par challenge-response » ne font souvent que la couche 5 — sans authentification, sans backscatter guard, sans DNSBL early-reject. C'est ce qui les rend lents, faillibles, et générateurs de backscatter.

« Ce qui passe la couche 5 est garanti humain. »

1. Le défi-réponse, expliqué clairement

Quand un nouveau mail arrive d'un expéditeur que vous ne connaissez pas, FrozenSpam ne le livre pas immédiatement. À la place, il met le mail en quarantaine et envoie un défi à l'expéditeur : un mail court qui lui demande de cliquer (ou de répondre, selon votre paramétrage).

Si l'expéditeur est humain, il valide en 10 secondes. Son mail original arrive aussitôt dans votre boîte, et il rejoint automatiquement votre whitelist — il ne recevra plus jamais de défi.

Si l'expéditeur est un robot d'envoi en masse, il ne valide pas (les spammeurs n'ont pas le temps, et techniquement, leur infra n'est pas faite pour traiter des réponses). Le mail reste en quarantaine puis est purgé après 30 jours.

2. Vos sortants alimentent automatiquement vos contacts

Voici la mécanique que personne d'autre n'implémente correctement.

Quand vous écrivez un mail à quelqu'un, FrozenSpam le sait. Cette personne est désormais considérée comme un contact légitime. Si elle répond, ou même si elle vous écrit pour la première fois plus tard, aucun défi ne sera envoyé. Son mail arrive directement.

C'est la garantie technique qu'aucune conversation que vous initiez ne sera jamais bloquée par FrozenSpam. C'est ce qui distingue un anti-spam pénible (qui isole vos contacts) d'un anti-spam qui s'oublie (qui apprend en vous regardant écrire).

3. Le backscatter guard — pourquoi nous ne défions pas les usurpations

Les spammeurs envoient des mails en se faisant passer pour quelqu'un d'autre (votre banque, un collègue, vous-même). Si nous envoyions un défi à ces fausses adresses, nous polluerions des inboxes innocentes avec nos défis : c'est ce qu'on appelle le backscatter.

FrozenSpam vérifie d'abord les enregistrements SPF et DMARC du domaine de l'expéditeur. Si l'authentification échoue, le mail est abandonné silencieusement, sans défi. Pas de backscatter, jamais.

Ce que FrozenSpam ne fait pas — la transparence avant tout

Un anti-spam ne fait pas tout. Voici ce que FrozenSpam ne couvre pas, pour que vous sachiez à quoi vous attendre.

• Pas d'antivirus de pièces jointes. Si vous avez besoin de scan AV mail, complétez par ClamAV ou une solution dédiée.
• Pas d'archivage long terme. La quarantaine garde les mails 30 jours puis purge. Si vous voulez tout garder, utilisez votre MTA aval.
• Pas de webmail. Vous gardez votre client mail habituel — Outlook, Apple Mail, Thunderbird, Gmail web, ce que vous voulez.
• Pas d'analyse de contenu par défaut. Le corps du mail n'est pas inspecté sauf si vous activez explicitement le pré-filtre Bayesian (option avancée, désactivée d'usine).

Le flux complet, en 30 secondes

Voici ce qui se passe quand un mail arrive sur votre domaine votresociete.fr protégé par FrozenSpam :

1. Le mail arrive sur mx1.frozenspam.com (votre nouveau MX).
2. PostScreen + DNSBL Spamhaus rejettent les zombies SMTP connus avant même que le mail ne soit lu.
3. SPF + DKIM + DMARC sont vérifiés. Si l'authentification échoue, le mail est abandonné silencieusement (backscatter guard).
4. L'engine FrozenSpam vérifie vos whitelists et votre log sortants :
   • Si l'expéditeur est connu → le mail passe immédiatement vers votre serveur mail final.
   • Sinon → mail mis en quarantaine, défi envoyé à l'expéditeur.
5. Le mail est livré à votre serveur final (Exchange, SmarterMail, M365, OVH, Gandi, etc.).
6. Vous lisez votre mail comme d'habitude, sans rien changer à votre client mail.