Plus-tegnet-tricket som afslører hvor din adresse blev lækket (og hvad det ikke kan bevise)

Tilmeld dig en butik som du+homedepot@example.com og en billetside som du+ticketmaster@example.com, og så længe intet fjerner tagget, kommer hver eneste mail med et label der fortæller dig, hvilken formular adressen blev skrevet ind i. Når spam begynder at lande på et af disse tags, gætter du ikke på, hvor adressen kom i omløb. Du læser det direkte af kuverten.

Mekanismen er gammel og dokumenteret. Subadrressering — at knytte nogle "detaljer" til den lokale del af en adresse efter et separatortegn, normalt + — er beskrevet i RFC 5233, udgivet i januar 2008, som giver eksemplet på mail til ken+sieve@example.org som lander i en postkasse tilhørende brugeren ken. Gmail dokumenterer adfærden i sin egen hjælp: under "Filtrer ved hjælp af dit Gmail-alias" står der, at "beskeder sendt til følgende aliaser alle går til janedoe@gmail.com," og lister derefter janedoe+school@gmail.com, janedoe+notes@gmail.com og janedoe+important.emails@gmail.com. En postkasse, så mange mærkede variationer som du gider at opfinde, ingen opsætning nødvendig.

Her kommer den del som normalt bliver oversælget, også i den første version af denne artikel. Et tag identificerer et indgangspunkt. Det identificerer ikke en synder. Hvis en adresse givet til nøjagtigt én butik begynder at modtage kryptovaluta-spam, er det der er blevet slået fast, at adressen nåede det bredere marked gennem denne tilmelding — og det er faktisk brugbart. Det der ikke er blevet slået fast, er hvordan. Butikken kan have solgt en liste. Den kan have delt den på en måde som dens egen privatlivspolitik tillader. Den kan have videregivet den til en processor, en opfyldelsesmand eller en marketingplatform som blev hacket bagefter. Bruddet kan være på butikken, eller tre leverandører nede. Adressen kan være lækket fra abonnentens egen enhed eller postkasse. Nogen kan have infereret mønsteret — når først en angriber har set du+petco@, er formen du+hvad-som-helst@ ikke svær at gætte, og tags kopieres nogle gange direkte fra en videresendt besked. "Denne tilmelding er hvor det kom ud" er en solid konklusion. "Denne virksomhed solgte mig ud" er et andet krav, og et tag er ikke bevis for det.

To praktiske begrænsninger følger med tricket. Den første er i standarden selv: den måde detaljen er kodet på er, ifølge RFC 5233's ord, "site- og/eller implementeringsspecifik." Der er ingen garanti for at en givet udbyder understøtter +, behandler det som separator, eller at en givet tilmeldingsformular accepterer tegnet overhovedet; formularer som validerer adresser snævert afviser det, og hvad som helst der behandler adressen senere kan fjerne det. Den anden er hvad tagget kan gøre når det er blevet dårligt. Et filter på to: du+petco@… holder denne mail ude af indbakken. Det fjerner ikke adressen fra nogen database, og det stopper det ikke i at blive handlet videre. Det er indeslutning på modtageenden, intet mere.

Afmelding er den anden halvdel af denne misforståelse. Etkilik-afmelding er ikke en høflighed; for masseafsendere er det et krav. Googles afsenderretningslinjer fortæller afsendere af 5.000 eller flere beskeder per dag til Gmail-konti at "marketingbeskeder og abonnementsbeskeder skal understøtte etkilik-afmelding" og skal "indeholde et tydeligt synligt afmeldingslink i meddelelsesbrødteksten," mens man holder spam-ratioer "under 0,10%" og aldrig når "0,30% eller højere." Yahoos Sender Hub kræver en fungerende List-Unsubscribe-header plus et synligt link, med afmeldingsanmodninger honoreret inden for to dage. Hvilket fortæller dig præcis hvor langt mekanismen når: den håndhæves mod afsendere som ønsker at få deres mail leveret til Gmail og Yahoo. En afsender som aldrig havde til hensigt at overholde det er uden for det system helt og holdent, og at bede det pænt om at stoppe er ikke en kontrol du holder.

For tilmeldinger du ikke stoler på med en rigtig adresse overhovedet tilbyder Apple to separate ting som ofte bliver blandet sammen. Den første er iCloud+ Hide My Email, som kræver et iCloud+-abonnement: "når du abonnerer på iCloud+," kan du "generere unikke, tilfældige emailadresser," "mail sendt til dine tilfældige adresser sendes videre til din personlige emailkonto," "du kan oprette så mange adresser som du har brug for," og "du kan også deaktivere eller slette adresser du ikke længere bruger." Deaktivering er vendbar; sletning er, som Apple bemærker, ikke. Den anden er Sign in with Apple, hvor logind til en app med en Apple Account kan udstede en relæadresse i domænet privaterelay.appleid.com i stedet for at overdrage din egen; ændring af den adresse relæet videresender til er selv en iCloud+-funktion. Begge undgår at overdrages noget som afsender kan fjerne eller skrabe, fordi der ikke er noget synligt tag boltet på en rigtig adresse — men de er forskellige funktioner med forskellige krav, og de er værd at spørge efter ved navn.

Størrelsen bag alt dette er let at kontrollere og værd at kontrollere snarere end at citere fra hukommelsen. Have I Been Pwned's forside, læst den 20. oktober 2026, viste 17.846.550.965 hacket adresser på tværs af 1.047 hacket websider. Det er adresser som optræder i brud projektet har indlæst, ikke konti som blev kompromitteret, og ikke en optælling af ethvert brud som nogensinde er sket. Tagging holder ikke en adresse ude af det næste. Hvad det gør er at gøre en anonym oversvømmelse til mærket mail, så at når noget går galt ved du hvilket dør det kom igennem — og er ærlig over for dig selv med hensyn til hvad det gør og ikke gør bevise.

Rettelse, 20. oktober 2026. En tidligere version af denne artikel var skrevet i første person og beskrev personlige observationer af tagget adresser som optræder i data-mægler-dumpinger. Artiklen har ingen identificeret individuel forfatter — den er udgivet af xmail som organisation — og denne redegørelse kunne ikke blive bekræftet, så den er blevet omskrevet som et neutralt, reproducerbart scenarie. Påstanden om at en tagget adresse efterlader "nøjagtigt én mistænkt" og navngiver virksomheden som solgte adressen er blevet korrigeret: et tag identificerer et indgangspunkt, ikke en synder eller en transaktion. En erklæring om at Gmail har understøttet plus-adressering siden 2008 er blevet fjernet, da Googles dokumentation ikke giver en startdato; 2008-datoen refererer nu til RFC 5233, hvor konventionen er specificeret. Have I Been Pwned-figuren, tidligere givet som mere end 14 milliarder kompromitterede konti på tværs af tusinder af brud, er blevet erstattet med sitets egne tællere som læst den 20. oktober 2026. Beskrivelsen af Apples relæadresser er blevet opdelt i iCloud+ Hide My Email og Sign in with Apple, som er separate funktioner med forskellige krav, og citatet for Gmails adfærd peger nu på hjælpesiden som faktisk dokumenterer det. En påstand om at afmeldingslinks ofte er phishing-agn er blevet fjernet af mangel på en kilde.