Vue d'ensemble
GoyMail se positionne comme un service d'email et d'alias email sans KYC conçu pour les utilisateurs qui souhaitent séparer leur véritable identité de leur boîte de réception. L'accès est protégé par un token généré aléatoirement plutôt que par une paire nom d'utilisateur-mot de passe, et l'ensemble de la stack, de l'inscription au paiement en passant par la connexion au webmail, peut être routé via Tor. Le projet publie également son code source, invitant à l'examen de son implémentation. Cette ouverture est à double tranchant : elle instaure une certaine confiance par la transparence, mais cette même candeur révèle un service qui journalise les adresses IP, stocke les emails en clair et ne propose pas de chiffrement de bout en bout par défaut. En résumé, GoyMail est anonyme dans le sens où il ne demande jamais votre nom, mais il n'est pas privé dans le sens où il protège vos données de lui-même.
Confidentialité & KYC
Le service se situe au niveau KYC L1, Anonyme : pas de numéro de téléphone, pas de pièce d'identité gouvernementale, pas d'adresse email de secours. Vous générez ou recevez un jeton, financez le compte en cryptomonnaie (ou en espèces), et vous y êtes. C'est la position la plus forte possible en matière de minimisation de l'identité.
Là où cela s'effondre, c'est dans la minimisation des données. Selon ses propres divulgations et les audits tiers cités dans les annuaires, GoyMail :
- Enregistre les adresses IP à la passerelle webmail, même lors de l'accès via Tor (la corrélation des nœuds de sortie reste un risque)
- Livre le courrier via une interface webmail en clair sans protection déclarée contre la dégradation TLS au-delà du HTTPS standard
- Ne propose pas de chiffrement de bout en bout pour les messages stockés ou le transfert d'alias
- Obtenant 0/100 sur les métriques de confidentialité dans les cadres d'évaluation indépendants, une note inhabituellement sévère qui reflète l'enregistrement et le stockage en clair plutôt qu'un quelconque schéma caché de vente de données
Pour un annuaire qui valorise l'accès sans KYC, GoyMail est validé. Pour les lecteurs qui confondent anonymat et confidentialité, la distinction compte : votre fournisseur sait d'où vous vous connectez et peut lire ce que vous recevez, même s'il ne sait pas qui vous êtes.
Actifs et paiements pris en charge
GoyMail accepte les paiements en Monero (XMR), Bitcoin (BTC) et Lightning Network, plus les espèces fiat envoyées par courrier. L'option Monero est la meilleure pour les maximalistes de l'anonymat : les signatures de cercle et les adresses furtives coupent la piste on-chain entre votre portefeuille et votre compte financé par jetons. Bitcoin et Lightning sont pratiques mais nécessitent une discipline de contrôle des pièces pour éviter de lier les identités. Les espèces par courrier sont l'option nucléaire pour ceux qui refusent toutes les empreintes digitales numériques, bien que cela introduise des risques d'interception physique et des délais d'activation plus longs. Pas de cartes de crédit, pas de virements bancaires, pas de rampes d'accès KYC, chaque voie de paiement s'aligne sur l'éthos pseudonyme.
Sécurité & conservation
GoyMail est un service de messagerie conservateur. Vos messages résident sur ses serveurs, chiffrés uniquement au niveau du transport (HTTPS) et stockés en clair au repos. Il n'y a aucune gestion de clés côté utilisateur, aucune intégration PGP annoncée, et aucun mécanisme évident pour empêcher l'opérateur de lire la correspondance. La connexion par jeton remplace les mots de passe, ce qui élimine les attaques par réutilisation d'identifiants, mais un jeton volé ou divulgué accorde un accès complet au compte tout comme un mot de passe volé le ferait. La base de code open-source permet aux utilisateurs avertis techniquement de vérifier ces affirmations, pourtant le projet ne semble pas publier de builds reproductibles ni d'audits de sécurité tiers. Pour les modèles de menace impliquant des adversaires au niveau étatique ou une compromission du fournisseur, cette architecture est inadéquate. Pour un usage d'alias occasionnel, s'inscrire à des newsletters, recevoir des codes à usage unique, séparer des identités, c'est utilisable si vous traitez la boîte de réception comme un tampon jetable.
Pour qui c'est, verdict
GoyMail mérite sa note globale de 8/10 dans les annuaires no-KYC car il tient exactement ses promesses : email instantané et pseudonyme sans vérification d'identité, payable en privacy coins, accessible via Tor. Il perd des points sur la vie privée (0/100) et la confiance (10/100) car il conserve des logs de manière agressive et stocke les courriers en clair. L'utilisateur idéal est quelqu'un qui a besoin d'une boîte de réception jetable ou d'alias pour des tâches peu sensibles, inscriptions sur des forums, communications avec des fournisseurs, segmentation de newsletters, où la séparation d'identité importe plus que le secret des messages. Les journalistes, les lanceurs d'alerte et toute personne transmettant des documents sensibles devraient chercher ailleurs, probablement vers des alternatives chiffrées de bout en bout qui ne demandent aucune donnée personnelle mais ne peuvent pas non plus lire vos courriers. Si votre priorité est l'accès no-KYC avant tout, GoyMail mérite d'être sur votre liste restreinte. Si votre priorité est la vie privée à l'épreuve du fournisseur, continuez vos recherches.
