Trik se znaménkem Plus, který prozradí, kde se váš e-mail proslíchel (a co nemůže dokázat)

Přihlaste se do obchodu jako vy+homedepot@example.com a na stránku s lístky jako vy+ticketmaster@example.com, a dokud nic značku neodstraní, každá příchozí zpráva nese štítek říkající, do kterého formuláře byla adresa zadána. Když se spam začne objevovat na jedné z těchto značek, nehádate, kde se adresa dostala do oběhu. Přečtete si to přímo z obálky.

Mechanismus je starý a zdokumentovaný. Subadresování — připojení nějaké „detaily" k lokální části adresy za oddělovacím znakem, obvykle + — je popsáno v RFC 5233, vydané v lednu 2008, která uvádí příklad pošty na adresu ken+sieve@example.org přicházející do poštovní schránky uživatele ken. Gmail popisuje toto chování ve své vlastní nápovědě: v části „Filtrování pomocí aliasu Gmail" je uvedeno, že „zprávy poslané na následující aliasy půjdou všechny na janedoe@gmail.com," a poté jsou vypsány adresy janedoe+school@gmail.com, janedoe+notes@gmail.com a janedoe+important.emails@gmail.com. Jedna schránka, tolik pojmenovaných variant, kolik si přejete vymyslet, žádné nastavení.

Zde přichází část, která je obvykle přeceňována, včetně první verze tohoto článku. Značka identifikuje vstupní bod. Neidentifikuje viníka. Pokud adresa daná přesně jednomu obchodu začne dostávat krypto spam, co bylo prokázáno, je že se adresa dostala na širší trh prostřednictvím tohoto přihlášení — a to je opravdu užitečné. Co však nebylo prokázáno, je jak. Obchod mohl prodat seznam. Mohl jej sdílet způsobem, který jeho vlastní zásady ochrany osobních údajů umožňují. Mohl jej předat procesorovi, partnerovi splnění objednávek nebo marketingové platformě, která byla poté napadena. Porušení mohlo být v obchodu, nebo u tří dodavatelů níže. Adresa se mohla proslíchout ze zařízení nebo poštovní schránky samotného odběratele. Někdo mohl odhadnout vzorec — jakmile útočník vidí vy+petco@, tvar vy+cokoliv-jiného@ není obtížné uhodnout, a značky se někdy kopírují přímo z přeposílané zprávy. „Tímto přihlášením se to dostalo ven" je správný závěr. „Tato společnost mě vyzradila" je jiné tvrzení a značka není důkazem pro něj.

S trikem jsou spojeny dvě praktické omezení. První je v samotném standardu: způsob, jakým je detail kódován, je podle slov RFC 5233 „specifický pro lokalitu a/nebo implementaci." Neexistuje žádná záruka, že daný poskytovatel podporuje +, že jej považuje za oddělovač, nebo že daný registrační formulář vůbec přijme tento znak; formuláře, které validují adresy přísně, jej odmítnou, a vše, co adresu později zpracovává, ji může zkrátit. Druhé je to, co může značka dělat, jakmile je špatná. Filtr na to: vy+petco@… zabrání, aby ta pošta dorazila do doručené pošty. Neodstraní adresu z nikoho databáze a nezabrání jejímu dalšímu obchodování. Jedná se o izolaci na přijímající straně, nic víc.

Odhlášení se z rozesílky je druhou polovinou tohoto nedorozumění. Odhlášení jedním kliknutím není laskavost; pro odesílatele s velkým objemem je to požadavek. Pokyny pro odesílatele společnosti Google říkají odesílatelům 5 000 nebo více zpráv za den na účty Gmail, aby „marketingové zprávy a přihlášené zprávy musí podporovat odhlášení jedním kliknutím" a musí „obsahovat jasně viditelný odkaz na odhlášení v těle zprávy," přičemž si udržují spamové sazby „pod 0,10%" a nikdy se nedostanou na „0,30% nebo vyšší." Yahoo Sender Hub vyžaduje funkční záhlaví List-Unsubscribe plus viditelný odkaz, přičemž žádosti o odhlášení jsou splněny do dvou dnů. To vám přesně říká, jak daleko mechanismus sahá: je vynucován proti odesílatelům, kteří chtějí, aby byla jejich pošta doručena na Gmail a Yahoo. Odesílatel, který nikdy neměl v úmyslu se podřídit, je mimo tento systém zcela, a zdvořilou просbu, aby skončil, není kontrola, kterou máte.

U přihlášení, kterým nedůvěřujete s opravdovou adresou vůbec, Apple nabízí dvě odlišné věci, které jsou často zaměňovány. První je iCloud+ Hide My Email, které vyžaduje iCloud+ předplatné: „když se přihlásíte na iCloud+," můžete „generovat jedinečné, náhodné e-mailové adresy," „pošta poslána na vaše náhodné adresy se přepošle na váš osobní e-mailový účet," „můžete vytvořit tolik adres, kolik potřebujete," a „můžete také deaktivovat nebo smazat adresy, které už nepoužíváte." Deaktivace je vratná; smazání, jak Apple poznamenává, není. Druhé je Sign in with Apple, kde přihlášení se do aplikace pomocí Apple Account může vydat relayovou adresu v doméně privaterelay.appleid.com místo předání vaší vlastní; změna adresy, na kterou se relay přeposílá, je sama o sobě funkcí iCloud+. Obě se vyhnout předání odesílateli něčeho, co by mohl odstranit nebo skrýt, protože není viditelná značka připojená k opravdové adrese — ale jsou to různé funkce, s různými požadavky, a stojí za to je požadovat jménem.

Měřítko za všímhle tím je snadné ověřit a stojí za to ověřit spíše než citovat z paměti. Přední stránka služby Have I Been Pwned, přečtená 20. října 2026, ukázala 17 846 550 965 kompromitovaných adres na 1 047 kompromitovaných webech. Jedná se o adresy objevující se v porušeních, která projekt načetl, ne o zkompromitované účty, a ne o počet všech porušení, která se kdy stala. Značkování neudržuje adresu mimo příští porušení. Co dělá, je přeměnit anonymní povodeň na označenou poštu, takže když se něco pokazí, víte, kterými dveřmi se to dostalo — a jste si úprimní sami se sebou o tom, co to dokazuje a co ne.

Oprava, 20. října 2026. Dřívější verze tohoto článku byla napsána v první osobě a popisovala osobní pozorování označených adres objevujících se v zásielkách datových brokerů. Článek nemá identifikovaného jednotlivého autora — je publikován organizací xmail — a tento účet nemohl být ověřen, takže byl přepsán jako neutrální, reprodukovatelný scénář. Tvrzení, že označená adresa zanechává „přesně jednoho podezřelého" a pojmenuje společnost, která adresu prodala, bylo opraveno: značka identifikuje vstupní bod, ne viníka nebo transakci. Prohlášení, že Gmail podporuje plus-adresování od roku 2008, bylo odstraněno, protože dokumentace Google neuvádí startovací datum; datum 2008 se nyní vztahuje na RFC 5233, kde je konvence specifikována. Údaj Have I Been Pwned, dříve uvedený jako více než 14 miliard kompromitovaných účtů na tisících porušeních, byl nahrazen vlastními čítači webu tak, jak byly přečteny 20. října 2026. Popis relayových adres Apple byl rozdělen na iCloud+ Hide My Email a Sign in with Apple, což jsou odlišné funkce s různými požadavky, a citace pro chování Gmail se nyní vztahuje na stránku nápovědy, která jej skutečně dokumentuje. Tvrzení, že odkazy na odhlášení jsou často phishingový návnada, bylo odstraněno z důvodu absence zdroje.