Test & Avis Expert
Forward Email est un service de messagerie sur domaine personnel, exploité par Forward Email LLC, société de droit états-unien. Il propose la redirection d’adresses et, sur les offres payantes, des boîtes complètes accessibles en IMAP, POP3 et SMTP, avec une API. Le code n’est ouvert que pour partie : les serveurs IMAP et POP3 sont sous MPL-2.0, le reste sous Business Source License 1.1, qui n’est pas une licence libre.
Comment ça marche
Les alias et les domaines sont illimités sur toutes les offres, gratuite comprise. Le palier gratuit se limite à la réception redirigée : on ne peut pas envoyer depuis ses adresses. L’offre Enhanced Protection est à 3 $ par mois et ajoute l’envoi, 10 Go de stockage mutualisé entre tous les domaines et alias, environ 9 000 messages sortants par mois, l’API et les rapports DMARC ; chaque tranche de 10 Go supplémentaire coûte 3 $ par mois. L’offre Team est à 9 $ par mois, l’offre Enterprise à 250 $.
L’architecture de stockage est la particularité technique du service : les boîtes sont des fichiers SQLite chiffrés individuellement, avec ChaCha20-Poly1305 au repos, l’éditeur revendiquant une conception résistante au calcul quantique. Pour la redirection pure, le service indique traiter les messages en mémoire uniquement, sans les écrire sur disque ni en base. L’infrastructure s’appuie sur Cloudflare, DataPacket, DigitalOcean et Vultr.
Ce que ça ne protège pas
Une redirection voit passer le courrier en clair, par construction. Chiffrer le stockage ne change rien au fait que le service est l’intermédiaire technique de tout ce qui transite : Forward Email n’est pas un service à connaissance nulle sur le flux, quelles que soient les qualités de son stockage. Seul un chiffrement de bout en bout appliqué par l’expéditeur, avec GnuPG par exemple, protège le contenu de l’intermédiaire.
La politique de confidentialité précise ce qui est conservé : journaux d’erreurs SMTP pendant 7 jours, pouvant contenir des adresses IP et des noms d’hôtes ; adresses IP en mémoire Redis pour la limitation de débit et le suivi des tentatives d’authentification, expirant sous 24 heures environ ; analytique supprimée au bout de 30 jours ; messages sortants conservés environ 30 jours, le corps étant purgé après remise. Les adresses, domaines et alias sont stockés de façon permanente.
La juridiction est celle des États-Unis, avec les procédures de réquisition correspondantes, et les licences BSL empêchent de qualifier le service d’auto-hébergeable en pratique. Enfin, un service de redirection ajoute un intermédiaire à une chaîne qui en comporte déjà.
Face aux alternatives
addy.io et SimpleLogin couvrent le même besoin d’alias, le premier depuis les Pays-Bas avec une possibilité d’auto-hébergement complète, le second adossé à Proton. Pour une boîte complète en juridiction européenne, Mailbox.org et Posteo sont des points de comparaison, avec un modèle différent — pas de domaine personnel illimité, mais pas de licence BSL non plus. Forward Email se distingue surtout par les alias et domaines illimités dès le palier gratuit.
