Spam i din indbakke ved, hvem der sladrede. Du skal bare stille det det rigtige spørgsmål.

Jeg modtog engang spam adresseret til et navn, som ingen menneske nogensinde havde kaldt mig: chairs-direct@. Jeg havde opfundet det alias året før, brugt det på præcis ét møbelwebsted, og aldrig skrevet det igen. Så da affald begyndte at lande på det, var der ingen mysterium, intet skuldertræk, ingen "hvordan fik de min adresse?" Møbelfirmaet fik min adresse, fordi jeg gav den til dem. Og så fik nogle andre den derfra.

Det er hele begrundelsen for aliases pr. tilmelding, og det er det ene, som ingen nævner, når de fortæller dig, at du bare skal aktivere Apples Hide My Email.

Hide My Email er faktisk brugbart. Det genererer en tilfældig relay som wandering-otter9182@icloud.com, videresender post til din rigtige indbakke, og lader dig lukke relayet senere. Apples egen dokumentation er åbenhjertig om, at pointen er at holde din rigtige adresse privat og give dig en sluk-knap. Fint. Men her er hullet: Apple beslutter, hvad relayet ligner, og relayet er uigennemskueligt. Når spam dukker op på wandering-otter9182, kan du se, at denne adresse blev lækket. Du kan normalt ikke huske, hvilket firma du gav den til for otte måneder siden, fordi du ikke navngav det. Du navngav intet. Apple navngav det for dig.

Vend det om. Giv hver virksomhed et alias, som du vælger, knyttet til et domæne, som du styrer, og spam holder op med at være støj. Det bliver bevis.

Dette er modellen SimpleLogin og addy.io er bygget omkring, og det er grunden til, at mennesker betaler for dem i stedet for at bruge den gratis relay, der allerede sidder på deres telefon. Du tilmelder dig et nyhedsbrev som nyt@ditdomæne. Du køber sneakers som kicks@ditdomæne. Du registrerer en garanti som warranty@ditdomæne. Hver enkelt videresender til samme rigtige indbakke. Hver enkelt er en snubletråd med et navn på. Den dag kicks@ begynder at få crypto-tonser og falsk fakturaSpam, gætter du ikke. Du ved, at sneakerbutikken blev enten hacket eller solgte sin liste, og du kan slette det alias og se støjen forsvinde, mens alt andet fortsætter.

Du har strengt taget ikke engang brug for en betalt service for at starte. RFC 5233 definerer sub-adressering — plus-tricket — så ditnavn+kicks@gmail.com lander i din normale Gmail og fortæller dig samme historie. Problemet er, at et +tag er trivielt nemt for enhver datamægler at fjerne tilbage til ditnavn@gmail.com, før de sælger det videre, hvilket tilsidesætter beviserne. Et unikt alias på dit eget domæne kan ikke omvendt-konstrueres til din hovedadresse. Det er opgraderingen, der er værd at betale for.

Omfanget af problemet er grunden til, at dette betyder noget. Identity Theft Resource Center talte 3.158 offentligt rapporterede amerikanske databrud i 2024, det næsthøjeste år på rekord, hvilket eksponerede mere end en milliard poster. Din adresse er allerede i nogle af disse bunker lige nu. Spørgsmålet er aldrig, om et firma vil lække dig — det er, hvilket, og hvad du kan gøre den morgen, du finder ud af det.

Et enkelt skjult relay giver dig en panikknap. Et alias pr. virksomhed giver dig et papirspor. Det ene lader dig stoppe blødningen; det andet fortæller dig, hvem der skar dig.

Så skjul endelig din email. Bare skjul den ikke på samme måde over for alle. Giv hver virksomhed et navn med deres fingeraftryk allerede på det, og når spammet ankommer — og det vil — behøver du ikke undre dig over, hvem der talte.