El truco del signo más que muestra dónde se filtró tu dirección (y qué no puede probar)

Regístrate en una tienda como tu+homedepot@ejemplo.com y en un sitio de entradas como tu+ticketmaster@ejemplo.com, y mientras nada elimine la etiqueta, cada correo que llegue lleva una etiqueta que dice en qué formulario se escribió la dirección. Cuando el correo no deseado comienza a llegar a una de esas etiquetas, no estás adivinando dónde entró la dirección en circulación. La estás leyendo en el sobre.

El mecanismo es antiguo y está documentado. El direccionamiento secundario —añadir algún "detalle" a la parte local de una dirección después de un carácter separador, generalmente +— se describe en RFC 5233, publicado en enero de 2008, que da el ejemplo de correo a ken+sieve@ejemplo.org llegando a un buzón perteneciente al usuario ken. Gmail documenta el comportamiento en su propia ayuda: bajo "Filtrar usando tu alias de Gmail", afirma que "los mensajes enviados a los siguientes alias irán todos a janedoe@gmail.com", y luego enumera janedoe+school@gmail.com, janedoe+notes@gmail.com y janedoe+important.emails@gmail.com. Un buzón, tantas variaciones etiquetadas como quieras inventar, sin configuración.

Aquí está la parte que generalmente se vende en exceso, incluso en la primera versión de este artículo. Una etiqueta identifica un punto de entrada. No identifica un culpable. Si una dirección dada a exactamente una tienda comienza a recibir correo no deseado de criptomonedas, lo que se ha establecido es que la dirección llegó al mercado más amplio a través de ese registro —y eso es genuinamente útil. Lo que no se ha establecido es cómo. La tienda puede haber vendido una lista. Puede haberla compartido de una manera que su propia política de privacidad permite. Puede haberla pasado a un procesador, un socio de cumplimiento o una plataforma de marketing que fue posteriormente comprometida. La filtración puede haber estado en la tienda, o tres proveedores más abajo. La dirección puede haber filtrado desde el dispositivo o buzón del propio suscriptor. Alguien puede haber deducido el patrón —una vez que un atacante ha visto tu+petco@, la forma de tu+cualquier-otra-cosa@ no es difícil de adivinar, y las etiquetas a veces se copian directamente de un mensaje reenviado. "Este registro es donde salió" es una conclusión válida. "Esta empresa me vendió" es una afirmación diferente, y una etiqueta no es evidencia para ello.

Dos límites prácticos vienen con el truco. El primero está en el propio estándar: la forma en que se codifica el detalle es, según las palabras de RFC 5233, "específica del sitio y/o de la implementación". No hay garantía de que un proveedor dado admita +, lo trate como un separador, o que un formulario de registro dado acepte el carácter en absoluto; los formularios que validan direcciones de forma estrecha lo rechazan, y cualquier cosa que procese la dirección más tarde puede recortarla. El segundo es lo que la etiqueta puede hacer una vez que se ha vuelto incorrecta. Un filtro en to: tu+petco@… evita que ese correo llegue a la bandeja de entrada. No elimina la dirección de ninguna base de datos de nadie, ni detiene su comercio posterior. Es contención en el extremo receptor, nada más.

Darse de baja es la otra mitad de ese malentendido. La baja de un clic no es una cortesía; para los remitentes de alto volumen es un requisito. Las directrices de remitentes de Google indican a los remitentes de 5.000 o más mensajes por día a cuentas de Gmail que "los mensajes de marketing y los mensajes suscritos deben admitir la baja de un clic" y deben "incluir un enlace de baja claramente visible en el cuerpo del mensaje", mientras se mantienen las tasas de spam "por debajo del 0,10%" y nunca alcanzando "0,30% o superior". El Sender Hub de Yahoo requiere un encabezado List-Unsubscribe que funcione más un enlace visible, con solicitudes de baja honradas dentro de dos días. Lo que te dice exactamente hasta dónde llega el mecanismo: se aplica a remitentes que quieren que su correo se entregue a Gmail y Yahoo. Un remitente que nunca tuvo la intención de cumplir está completamente fuera de ese sistema, y pedirle cortésmente que se detenga no es un control que tengas.

Para registros en los que no confías con una dirección real en absoluto, Apple ofrece dos cosas separadas que a menudo se confunden. La primera es iCloud+ Hide My Email, que requiere una suscripción iCloud+: "cuando te suscribes a iCloud+", puedes "generar direcciones de correo electrónico únicas y aleatorias", "el correo enviado a tus direcciones aleatorias se reenvía a tu cuenta de correo personal", "puedes crear tantas direcciones como necesites", y "también puedes desactivar o eliminar direcciones que ya no uses". La desactivación es reversible; la eliminación, señala Apple, no lo es. El segundo es Sign in with Apple, donde iniciar sesión en una aplicación con una cuenta de Apple puede emitir una dirección de retransmisión en el dominio privaterelay.appleid.com en lugar de entregar la tuya propia; cambiar la dirección a la que retransmite ese relé es en sí mismo una característica de iCloud+. Ambas evitan entregarle al remitente algo para eliminar o raspar, porque no hay una etiqueta visible pegada a una dirección real —pero son características diferentes, con requisitos diferentes, y vale la pena pedirlas por nombre.

La escala detrás de todo esto es fácil de verificar y vale la pena verificarla en lugar de citarla de memoria. La página de inicio de Have I Been Pwned, leída el 20 de octubre de 2026, mostró 17.846.550.965 direcciones comprometidas en 1.047 sitios comprometidos. Esas son direcciones que aparecen en filtraciones que el proyecto ha cargado, no cuentas comprometidas, ni un conteo de todas las filtraciones que han ocurrido. El etiquetado no mantiene una dirección fuera de la siguiente. Lo que hace es convertir una avalancha anónima en correo etiquetado, de modo que cuando algo sale mal, sabes por qué puerta entró —y eres honesto contigo mismo sobre lo que eso prueba y lo que no.

Corrección, 20 de octubre de 2026. Una versión anterior de este artículo fue escrita en primera persona y describía observaciones personales de direcciones etiquetadas que aparecían en volcados de corredores de datos. El artículo no tiene autor individual identificado —es publicado por xmail como organización— y esa cuenta no pudo ser sustanciada, por lo que ha sido reescrita como un escenario neutral y reproducible. La afirmación de que una dirección etiquetada deja "exactamente un sospechoso" e identifica a la empresa que vendió la dirección ha sido corregida: una etiqueta identifica un punto de entrada, no un culpable ni una transacción. Se ha eliminado una afirmación de que Gmail ha admitido direcciones con signo más desde 2008, ya que la documentación de Google no da una fecha de inicio; la fecha de 2008 ahora se refiere a RFC 5233, donde se especifica la convención. La cifra de Have I Been Pwned, previamente dada como más de 14 mil millones de cuentas comprometidas en miles de filtraciones, ha sido reemplazada con los propios contadores del sitio según se leyó el 20 de octubre de 2026. La descripción de las direcciones de retransmisión de Apple ha sido dividida en iCloud+ Hide My Email y Sign in with Apple, que son características separadas con requisitos diferentes, y la cita para el comportamiento de Gmail ahora apunta a la página de ayuda que realmente lo documenta. Se ha eliminado una afirmación de que los enlaces de baja a menudo son cebo de phishing por falta de fuente.