Présentation du service

Clova.Email propose trois types de boîtes aux lettres : One‑sender, Temporary et Prefix. Le plan gratuit, sans carte bancaire, offre une adresse permanente, un stockage de 100 Mo et une limite de 100 messages par jour. Les plans payants (Pro à 30 €/an, Business à 50 €/an) augmentent le stockage à 10 Go ou 25 Go, multiplient les adresses permanentes, les préfixes et les adresses de transfert, et portent la limite à 1 000 messages quotidiens. L’authentification s’effectue via Google, un passkey ou des identifiants classiques, et les données restent exportables à tout moment.

Mécanisme de l’expéditeur unique

Dans le mode One‑sender, la première entité qui envoie un courriel à l’adresse revendique définitivement le droit d’utiliser cette boîte. Tout message ultérieur provenant d’un autre expéditeur est rejeté, comme le montre l’exemple : « Chase Bank ✓ claimed it », alors que « Spamco ✕ bounced ». Cette logique repose sur un filtre d’en‑tête SMTP qui compare l’adresse From du message avec l’expéditeur enregistré. Si la correspondance échoue, le serveur renvoie un code de rejet (souvent 550) et supprime le message, rendant les listes d’adresses compromises inutilisables.

create_inbox · temporary, 30 days gym-trial@yourname.clova.email
wait_for_message Your code is 482 913

Gestion des boîtes temporaires et des préfixes

Le type Temporary permet de définir une durée de vie explicite (par exemple une heure pour un lien de téléchargement ou un mois pour un essai). À l’expiration, le serveur désactive la réception et peut effacer le contenu stocké. Le type Prefix autorise la réservation d’un préfixe d’au moins cinq caractères ; toute chaîne ajoutée après ce préfixe crée automatiquement une adresse fonctionnelle sans configuration supplémentaire. Chaque adresse dérivée conserve la contrainte One‑sender, ce qui empêche le réemploi d’un même expéditeur sur plusieurs variantes du même préfixe.

Analyse de la sécurité et des limites

Le modèle « un seul expéditeur » réduit l’impact d’une fuite de liste, car un acteur malveillant ne peut plus exploiter l’adresse après la première utilisation légitime. Cependant, la dépendance à l’en‑tête From expose le système aux spoofing si le serveur ne valide pas la signature DKIM ou SPF. Le service ne mentionne pas de mécanismes de vérification de ces protocoles, ce qui constitue une zone d’incertitude. Le stockage limité (100 Mo à 25 Go) et les quotas de messages (100 / 1 000 par jour) sont clairement indiqués, mais aucune métrique de latence ou de disponibilité n’est fournie. L’intégration MCP (Claude, Cursor) donne aux assistants IA un accès restreint aux boîtes, mais la description se limite à « seules les permissions accordées », sans préciser le modèle d’autorisation (OAuth 2.0, scopes). Enfin, la politique de confidentialité affirme l’absence de suivi publicitaire et la possibilité d’exporter les données, ce qui renforce la conformité aux exigences de protection des données, bien que le chiffrement au repos ne soit pas explicitement détaillé.