Brave lance des comptes utilisateur avec des alias mail gratuits, voici comment en profiter

Brave lance ses Email Aliases, une fonction qui masque l'adresse e-mail réelle de l'internaute derrière des alias jetables. Le service s'appuie sur Brave Accounts, un nouveau système de connexion qui utilise le protocole cryptographique OPAQUE pour ne jamais transmettre le mot de passe au serveur.

Sur la version 1.94 de son navigateur de bureau, Brave lance Email Aliases. Ce n'est pas le premier service du genre, mais son intégration est native au navigateur.

Brave veut désormais protéger votre adresse email et peut générer des alias uniques directement dans le champ e-mail d'un site, via l'autocomplétion ou le clic droit. Le service en offre cinq gratuitement pour commencer. Chaque alias redirige vers l'adresse principale. Ils se décomposent tous sous la même forme, à savoir deux mots aléatoires en anglais séparés par un trait d'union et dont le second est suivi par deux chiffres.

En cas de spam reçu sur cet alias, il suffit donc de le désactiver depuis les réglages. Une adresse email différente par site marchand permet aussi d'éviter le pistage au-delà du blocage des traqueurs. C'est d'autant plus vrai si l'un d'eux travaille avec une régie publicitaire comme Meta qui pourrait potentiellement recouper votre activité sur plusieurs sites grâce à une même adresse et finir un profil bien précis pour des publicités ciblées.

Mais pour utiliser cette nouvelle option d'alias, encore faut-il spécifier son adresse mail réelle. Et c'est là qu'il faut créer un compte Brave. Ce dernier repose sur OPAQUE, un protocole normalisé par l'IRTF en juillet 2025 (RFC 9807). Sur un site classique, le mot de passe doit atteindre le serveur en clair, ne serait-ce qu'un instant : c'est la seule façon pour lui de calculer un hash, via bcrypt ou Argon2, et de le comparer à celui déjà stocké. En revanche, avec OPAQUE, les choses fonctionnent différemment. L'appareil et le serveur échangent des preuves cryptographiques, sans jamais se transmettre le mot de passe. À la création du compte, l'appareil "aveugle" le mot de passe avec une valeur aléatoire avant de l'envoyer. Le serveur y applique sa propre clé secrète et renvoie le résultat. Ni l'un ni l'autre n'apprend ce que sait l'autre.

Et en cas de piratage, ça change tout. Une base de mots de passe volée se retrouve entre les mains d'attaquants qui la cassent hors ligne, sur des GPU, à raison de milliards de tentatives par seconde. La fuite LinkedIn l'a bien montré : le piratage remonte à 2012, mais l'ampleur réelle n'est apparue qu'en 2016, avec 117 millions de mots de passe stockés en SHA-1 non salé. Ils ont presque tous été cassés en quelques jours. Avec OPAQUE, l'attaquant doit reprendre les calculs compte par compte, ce qui ralentit nettement l'opération. Brave reconnaît toutefois deux limites. D'abord, le protocole ne protège pas du phishing si le mot de passe est saisi sur un faux site, par ailleurs un mot de passe faible reste vulnérable à une attaque en ligne classique.

Comment multiplier les alias gratuits Reste que 5 alias gratuits, c'est relativement peu.