El spam en tu bandeja de entrada sabe quién cantó. Solo tienes que saber preguntarle.

Una vez recibí un email de spam dirigido a un nombre que ningún humano me había llamado jamás: chairs-direct@. Había inventado ese alias el año anterior, lo usé en exactamente un sitio de muebles, y nunca volví a escribirlo. Así que cuando la basura empezó a llegar a esa dirección, no había misterio, no había encogimiento de hombros, no había "¿cómo consiguieron mi dirección?". La empresa de muebles consiguió mi dirección porque se la di. Y entonces alguien más se la consiguió de allí.

Ese es todo el concepto de los aliases por inscripción, y es lo único que nadie menciona cuando te dicen que simplemente actives Hide My Email de Apple.

Hide My Email es genuinamente útil. Genera un relay aleatorio como wandering-otter9182@icloud.com, reenvía el correo a tu bandeja de entrada real, y te permite eliminar el relay más tarde. La propia documentación de Apple es clara en que el punto es mantener tu dirección real privada y darte un interruptor de apagado. Bien. Pero aquí está la brecha: Apple decide cómo se ve el relay, y el relay es opaco. Cuando spam llega a wandering-otter9182, puedes ver que esa dirección se filtró. Usualmente no puedes recordar a qué empresa se la entregaste hace ocho meses, porque no la nombraste. No nombraste nada. Apple la nombró por ti.

Dale la vuelta. Dale a cada empresa un alias que tú elijas, vinculado a un dominio que tú controles, y el spam deja de ser ruido. Se convierte en evidencia.

Este es el modelo alrededor del cual SimpleLogin y addy.io están construidos, y es por qué la gente paga por ellos en lugar de usar el relay gratuito que ya tienen en su teléfono. Te inscribes en una newsletter como nyt@tudominio. Compras zapatillas como kicks@tudominio. Registras una garantía como warranty@tudominio. Cada una se reenvía a la misma bandeja de entrada real. Cada una es una trampa con una etiqueta. El día que kicks@ comienza a recibir propuestas de criptomonedas y spam de facturas falsas, no adivinas. Sabes que la tienda de zapatillas o bien fue hackeada o vendió su lista, y puedes eliminar ese alias y ver el ruido desaparecer mientras todo lo demás sigue funcionando.

Ni siquiera necesitas estrictamente un servicio pagado para empezar. RFC 5233 define sub-addressing —el truco del plus— así que tuombre+kicks@gmail.com llega a tu Gmail normal y te cuenta la misma historia. La trampa es que un +tag es trivialmente fácil para cualquier data broker de despojar hasta tuombre@gmail.com antes de revendérselo, lo que derrota la investigación forense. Un alias único en tu propio dominio no puede ser ingeniería inversa de regreso a tu dirección principal. Esa es la mejora que vale la pena pagar.

La escala del problema es por qué esto importa. El Identity Theft Resource Center contabilizó 3,158 compromisos de datos públicamente reportados en EE. UU. en 2024, el segundo año más alto registrado, exponiendo más de mil millones de registros. Tu dirección está en algunas de esas pilas en este momento. La pregunta nunca es si una empresa te filtrará — es cuál, y qué puedes hacer la mañana que te enteres.

Un único relay oculto te da un botón de pánico. Un alias por empresa te da un rastro de papel. Uno te permite detener la hemorragia; el otro te dice quién cortó.

Así que por supuesto oculta tu email. Solo no lo ocultes de la misma manera para todos. Dale a cada empresa un nombre con sus huellas dactilares ya en él, y cuando el spam llegue — llegará — no tendrás que preguntarte quién habló.