خدعة علامة الجمع التي تكشف من أين تسرب عنوانك (وما الذي لا يمكنها إثباته)

قم بالتسجيل في متجر باستخدام you+homedepot@example.com وفي موقع تذاكر باستخدام you+ticketmaster@example.com، وطالما لم تحذف أحد شيء العلامة، فإن كل رسالة تصل تحمل علامة توضح أي نموذج تم إدخال العنوان فيه. عندما يبدأ البريد العشوائي بالوصول إلى إحدى هذه العلامات، فأنت لا تخمن من أين دخل العنوان في التداول. أنت تقرأها من على الظرف.

الآلية قديمة وموثقة. المعالجة الثانوية — إضافة بعض "التفاصيل" إلى الجزء المحلي من العنوان بعد حرف فاصل، عادة + — موصوفة في RFC 5233، التي نُشرت في يناير 2008، والتي تعطي مثال على البريد إلى ken+sieve@example.org الذي يصل إلى صندوق بريد المستخدم ken. تتوثق Gmail السلوك في دليلها الخاص: تحت "التصفية باستخدام اسم مستعار Gmail الخاص بك"، تنص على أن "الرسائل المرسلة إلى الأسماء المستعارة التالية ستصل جميعها إلى janedoe@gmail.com"، ثم تسرد janedoe+school@gmail.com وjanedoe+notes@gmail.com وjanedoe+important.emails@gmail.com. صندوق بريد واحد، عدد من الاختلافات المميزة كما تشاء، بدون إعداد.

هنا يأتي الجزء الذي يتم عادة المبالغة فيه، بما في ذلك في النسخة الأولى من هذا المقال. العلامة تحدد نقطة دخول. لا تحدد المسؤول. إذا بدأ عنوان تم إعطاؤه لمتجر واحد بالضبط يتلقى بريد تشفير عشوائي، فما تم إثباته هو أن العنوان وصل إلى السوق الأوسع من خلال ذلك التسجيل — وهذا مفيد حقاً. ما لم يتم إثباته هو كيف. قد يكون المتجر قد باع قائمة. قد يكون قد شاركها بطريقة تسمح بها سياسة الخصوصية الخاصة به. قد يكون قد مررها إلى معالج أو شريك تنفيذ أو منصة تسويق تم اختراقها لاحقاً. قد يكون الاختراق في المتجر، أو ثلاثة موردين أبعد. قد يكون العنوان قد تسرب من جهاز المشترك الخاص به أو صندوق بريده. قد يكون شخص ما قد استدل على النمط — بمجرد أن يكون المهاجم قد رأى you+petco@، فإن شكل you+anything-else@ ليس من الصعب تخمينه، والعلامات تُنسخ أحياناً مباشرة من رسالة تم تحويلها. "هذا التسجيل هو حيث خرج" استنتاج سليم. "هذه الشركة باعتني" ادعاء مختلف، والعلامة ليست دليلاً عليه.

حدان عمليان يأتيان مع الخدعة. الأول في المعيار نفسه: الطريقة التي يتم بها ترميز التفصيل هي، بكلمات RFC 5233، "خاصة بالموقع و/أو التطبيق." لا توجد ضمانة بأن مزود معين يدعم +، أو يعتبره فاصلاً، أو أن نموذج تسجيل معين سيقبل الحرف على الإطلاق؛ النماذج التي تتحقق من صحة العناوين بشكل ضيق ترفضه، وأي شيء يعالج العنوان لاحقاً قد يحذفه. الثاني هو ما يمكن للعلامة أن تفعله بمجرد أن تصبح سيئة. يوقف المرشح على to: you+petco@… وصول البريد إلى صندوق الوارد. لا يزيل العنوان من قاعدة بيانات أي شخص، ولا يوقف مراجعته الإضافية. إنه احتواء على الطرف المستقبل، لا شيء أكثر.

إلغاء الاشتراك هو النصف الآخر من سوء الفهم هذا. إلغاء الاشتراك بنقرة واحدة ليس لطفاً؛ بالنسبة للمرسلين بحجم كبير، فهو متطلب. تخبر إرشادات المرسلين في Google مرسلي 5000 رسالة أو أكثر يومياً إلى حسابات Gmail بأن "الرسائل التسويقية والرسائل المشترك فيها يجب أن تدعم إلغاء الاشتراك بنقرة واحدة" ويجب أن "تتضمن رابط إلغاء اشتراك واضح ومرئي في نص الرسالة"، مع الحفاظ على معدلات البريد العشوائي "أقل من 0.10%" وعدم الوصول أبداً إلى "0.30% أو أعلى." يتطلب Yahoo's Sender Hub رأس List-Unsubscribe يعمل بالإضافة إلى رابط مرئي، مع تكريم طلبات إلغاء الاشتراك خلال يومين. وهذا يخبرك بالضبط إلى أي مدى تصل الآلية: يتم فرضها على المرسلين الذين يريدون تسليم بريدهم إلى Gmail و Yahoo. المرسل الذي لم ينوِ الامتثال أبداً يقع خارج هذا النظام بالكامل، وطلب منه بأدب أن يتوقف ليس تحكماً تملكه.

بالنسبة للتسجيلات التي لا تثق بها مع عنوان حقيقي على الإطلاق، تقدم Apple شيئين منفصلين يتم الخلط بينهما بشكل متكرر. الأول هو iCloud+ Hide My Email، الذي يتطلب اشتراك iCloud+: "عندما تشترك في iCloud+"، يمكنك "إنشاء عناوين بريد فريدة وعشوائية"، "يتم إعادة توجيه البريد المرسل إلى عناوينك العشوائية إلى حسابك البريدي الشخصي"، "يمكنك إنشاء عدد من العناوين كما تريد"، و"يمكنك أيضاً تعطيل أو حذف العناوين التي لم تعد تستخدمها." التعطيل قابل للعكس؛ الحذف، كما تلاحظ Apple، ليس كذلك. الثاني هو Sign in with Apple، حيث يمكن لتسجيل الدخول إلى تطبيق باستخدام حساب Apple أن يصدر عنوان إعادة توجيه في مجال privaterelay.appleid.com بدلاً من تسليم حسابك الخاص؛ تغيير العنوان الذي يعيد التوجيه إليه هو بحد ذاته ميزة iCloud+. كلاهما يتجنب تسليم المرسل شيء ما يمكنه حذفه أو كشطه، لأنه لا توجد علامة مرئية مثبتة على عنوان حقيقي — لكنها ميزات مختلفة، بمتطلبات مختلفة، وتستحق الطلب بالاسم.

الحجم وراء كل هذا سهل التحقق منه وجدير بالتحقق بدلاً من الاستشهاد من الذاكرة. أظهرت الصفحة الرئيسية لـ Have I Been Pwned، كما تمت قراءتها في 20 أكتوبر 2026، 17,846,550,965 عنوان مخترق عبر 1,047 موقع مخترق. هذه عناوين تظهر في الاختراقات التي حملها المشروع، وليست حسابات مخترقة، وليست عداً لكل اختراق حدث من قبل. الوضع العلامات لا يبقي العنوان خارج الاختراق التالي. ما يفعله هو تحويل فيض مجهول إلى بريد مميز، حتى عندما يحدث خطأ ما، تعرف الباب الذي جاء منه — وتكون صادقاً مع نفسك حول ما يثبته ولا يثبته.

تصحيح، 20 أكتوبر 2026. تمت كتابة نسخة سابقة من هذا المقال بصيغة الشخص الأول ووصفت ملاحظات شخصية للعناوين المميزة التي تظهر في مفارغات وسطاء البيانات. المقالة لا تملك مؤلفاً فرداً محدداً — يتم نشره بواسطة xmail كمنظمة — وهذا الحساب لم يتمكن من إثباته، لذلك تمت إعادة كتابته كسيناريو محايد وقابل للتكرار. تم تصحيح الادعاء بأن عنواناً مميزاً يترك "مريب واحد بالضبط" وينسب الشركة التي باعت العنوان: تحدد العلامة نقطة دخول، وليس مسؤولاً أو معاملة. تم حذف بيان مفاده أن Gmail دعمت المعالجة الإضافية منذ عام 2008، حيث لا توفر وثائق Google تاريخ البدء؛ يشير تاريخ 2008 الآن إلى RFC 5233، حيث تم تحديد الاتفاقية. تم استبدال رقم Have I Been Pwned، الذي أُعطي سابقاً كأكثر من 14 مليار حساب مخترق عبر آلاف الاختراقات، بعدادات الموقع الخاصة به كما تمت قراءتها في 20 أكتوبر 2026. تم تقسيم وصف عناوين إعادة التوجيه في Apple إلى iCloud+ Hide My Email و Sign in with Apple، وهما ميزات منفصلة بمتطلبات مختلفة، والاستشهاد لسلوك Gmail يشير الآن إلى صفحة المساعدة التي توثقها فعلاً. تم حذف ادعاء بأن روابط إلغاء الاشتراك غالباً ما تكون طعم صيد احتيالي لعدم وجود مصدر.