read receipts
ترفند علامت جمع که نشان می‌دهد آدرسی شما کجا فاش شد (و آنچه نمی‌تواند اثبات کند)
آدرسی برچسب‌دار می‌گوید هر تکه اسپم از کدام ثبت‌نام ریشه می‌گیرد. اما نمی‌گوید چه کسی آن را فاش کرد، یا اینکه کسی چیزی را فروخته است.
برای یک فروشگاه با نام you+homedepot@example.com و برای یک سایت بلیت‌فروشی با نام you+ticketmaster@example.com ثبت‌نام کنید، و تا زمانی که هیچ چیز برچسب را حذف نکند، هر نامهای که دریافت می‌شود برچسبی دارد که می‌گوید آدرس در کدام فرم تایپ شده است. وقتی اسپم شروع به فرود آمدن در یکی از آن برچسب‌ها کند، شما حدس‌و‌گمان نمی‌کنید که آدرس کجا وارد گردش شده. شما آن را از روی پاکت می‌خوانید.
این مکانیزم قدیمی و مستندشده است. subaddressing — الحاق بعضی از «جزئیات» به بخش محلی آدرس پس از یک کاراکتر جدایی‌کننده، معمولاً + — در RFC 5233 که در ژانویه 2008 منتشر شد توضیح داده شده است، که مثالی از نامه‌های ارسال‌شده به ken+sieve@example.org که در صندوق پستی کاربری با نام ken فرود می‌آید را می‌دهد. Gmail این رفتار را در راهنمای خود توثیق می‌کند: تحت «فیلتر کردن با استفاده از نام مستعار Gmail شما،» آن می‌گوید که «پیام‌های ارسال‌شده به نامهای مستعار زیر همگی به janedoe@gmail.com می‌روند،» سپس janedoe+school@gmail.com، janedoe+notes@gmail.com و janedoe+important.emails@gmail.com را فهرست می‌کند. یک صندوق پستی، به‌اندازه‌ای تغییرات برچسب‌دار که بخواهید اختراع کنید، بدون تنظیمات.
این قسمتی است که معمولاً بیش‌ازحد تبلیغ می‌شود، حتی در نسخه اول این مقاله. یک برچسب یک نقطه ورود را شناسایی می‌کند. یک مقصّر را شناسایی نمی‌کند. اگر آدرسی که دقیقاً به یک فروشگاه داده شده است شروع به دریافت اسپم رمزنگاری شود، آنچه تعیین شده است این است که آدرس از طریق آن ثبت‌نام به بازار بزرگ‌تر رسیده است — و این واقعاً مفید است. آنچه تعیین نشده است این است که چگونه. فروشگاه ممکن است یک لیست را فروخته باشد. ممکن است آن را به طریقی که سیاست حریم خصوصی خود اجازه می‌دهد به اشتراک گذاشته باشد. ممکن است آن را به یک پردازنده، یک شریک تحویل یا یک پلتفرم بازاریابی منتقل کرده باشد که سپس نقض شد. نقض ممکن است در فروشگاه یا سه تامین‌کننده پایین‌تر باشد. آدرس ممکن است از دستگاه یا صندوق پستی خود مشترک فاش شده باشد. کسی ممکن است الگو را استنتاج کرده باشد — هنگامی که یک مهاجم you+petco@ را دیده است، شکل you+anything-else@ حدس زدن سخت نیست، و برچسب‌ها گاهی مستقیماً از یک پیام ارسال‌شده کپی می‌شوند. «این ثبت‌نام جایی است که فاش شد» یک نتیجه معقول است. «این شرکت مرا فاش کرد» ادعای متفاوتی است، و برچسب برای آن مدرک نیست.
دو محدودیت عملی با این ترفند می‌آید. اول در خود استاندارد است: راه رمزگذاری جزئیات، به گفته RFC 5233، «مختص سایت و/یا پیاده‌سازی» است. هیچ تضمینی نیست که یک ارائه‌دهنده مشخص از + پشتیبانی کند، آن را به‌عنوان جدایی‌کننده در نظر بگیرد، یا اینکه یک فرم ثبت‌نام مشخص این کاراکتر را بپذیرد؛ فرم‌هایی که آدرس‌ها را کاملاً تصدیق می‌کنند، آن را رد می‌کنند، و هر چیزی که آدرس را بعداً پردازش کند ممکن است برچسب را حذف کند. دوم آنچه برچسب می‌تواند بعد از اینکه خراب شد انجام دهد. یک فیلتر بر to: you+petco@… آن نامه را از رسیدن به صندوق ورودی باز می‌دارد. آن را از دیتابیس کسی حذف نمی‌کند، و آن را از معامله‌شدن بیشتر باز نمی‌دارد. این مهار کردن در انتهای دریافت است، بیشتر نیست.
لغو اشتراک نیمه دیگر آن سوء‌تفاهم است. لغو اشتراک یک‌کلیک یک نوع مهربانی نیست؛ برای فرستندگانی با حجم بالا یک الزام است. راهنمای فرستنده Google می‌گوید فرستندگان 5000 یا بیشتر پیام در روز به حساب‌های Gmail باید «پیام‌های بازاریابی و پیام‌های اشتراک‌شده باید از لغو اشتراک یک‌کلیک پشتیبانی کنند» و باید «یک لینک لغو اشتراک واضح و قابل‌مشاهده در متن پیام شامل داشته باشند،» در حالی که نرخ اسپم را «زیر 0.10%» نگه دارند و هرگز به «0.30% یا بیشتر» نرسند. Sender Hub یاهو یک هدر List-Unsubscribe کاربرای به‌علاوه یک لینک قابل‌مشاهده را الزام می‌کند، با درخواست‌های لغو اشتراک در پایان دو روز افتخار می‌شوند. که دقیقاً می‌گوید این مکانیزم تا کجا می‌رسد: بر فرستندگانی که می‌خواهند نامه‌شان به Gmail و Yahoo تحویل داده شود اعمال می‌شود. یک فرستنده‌ای که هرگز قصد رعایت نداشت از آن سیستم کاملاً خارج است، و درخواست مؤدبانه از آن برای توقف کنترلی نیست که شما داشته باشید.
برای ثبت‌نام‌هایی که به یک آدرس واقعی اعتماد نمی‌کنید، Apple دو چیز جداگانه را ارائه می‌دهد که اغلب با هم اشتباه می‌شوند. اول iCloud+ Hide My Email است، که نیازمند اشتراک iCloud+ است: «وقتی شما در iCloud+ مشترک شوید،» می‌توانید «آدرس‌های ایمیل منحصربه‌فرد و تصادفی تولید کنید،» «نامه‌های ارسال‌شده به آدرس‌های تصادفی شما به حساب ایمیل شخصی شما ارسال می‌شوند،» «می‌توانید به‌اندازه‌ای که نیاز دارید آدرس ایجاد کنید،» و «همچنین می‌توانید آدرس‌هایی را غیرفعال یا حذف کنید که دیگر از آن‌ها استفاده نمی‌کنید.» غیرفعال‌سازی برگشت‌پذیر است؛ حذف، Apple توجه می‌دهد، نیست. دوم Sign in with Apple است، جایی که ورود به یک برنامه با Apple Account می‌تواند به‌جای تحویل دادن آدرس خود یک آدرس relay در دامنه privaterelay.appleid.com صادر کند؛ تغییر آدرسی که relay به آن ارسال می‌کند خود یک ویژگی iCloud+ است. هر دو از تحویل دادن فرستنده چیزی برای حذف یا خراش برای جلوگیری می‌کنند، زیرا هیچ برچسب قابل‌مشاهده‌ای بر روی یک آدرس واقعی نیست — اما آن‌ها ویژگی‌های متفاوت با الزامات متفاوت هستند، و شایسته است آن‌ها را به نام بپرسید.
مقیاس پشت همه این‌ها بررسی کردن آسان و شایسته بررسی است تا نقل از حافظه. صفحه اول Have I Been Pwned، خوانده‌شده در 20 اکتبر 2026، 17,846,550,965 آدرس نقض‌شده در سراسر 1,047 وب‌سایت نقض‌شده نشان داد. این‌ها آدرس‌هایی هستند که در نقض‌هایی که این پروژه بارگذاری کرده ظاهر می‌شوند، نه حساب‌های سازشکننده، و نه یک تعداد از هر نقضی که تا به حال اتفاق افتاده است. برچسب‌گذاری آدرس را از نقض بعدی دور نمی‌کند. آنچه انجام می‌دهد این است که یک سیل بی‌نام را به نامه برچسب‌دار تبدیل می‌کند، به‌طوری‌که وقتی چیزی غلط می‌شود می‌دانید از کدام در آمده است — و با خود صادق‌تر هستید درباره آنچه این موارد اثبات می‌کند و نمی‌کند.
تصحیح، 20 اکتبر 2026. نسخه قبلی این مقاله به‌صورت شخص اول نوشته‌شده بود و مشاهدات شخصی آدرس‌های برچسب‌دار را شامل می‌شد که در دامپ‌های داده‌کاوها ظاهر می‌شدند. این مقاله هیچ نویسنده فردی مشخص‌شده‌ای ندارد — توسط xmail به‌عنوان یک سازمان منتشر می‌شود — و آن حساب نتوانست تأیید شود، بنابراین به‌عنوان یک سناریو بی‌طرفانه و قابل‌تکرار بازنویسی شده است. ادعای اینکه آدرس برچسب‌دار یک «مظنون دقیق» را برجای می‌گذارد و نام شرکتی را که آدرس را فروخت نام‌برده است تصحیح شده است: برچسب یک نقطه ورود را شناسایی می‌کند، نه یک مقصّر یا معامله. بیانیه‌ای مبنی بر اینکه Gmail از 2008 از plus-addressing پشتیبانی می‌کند حذف شده است، زیرا مستندات Google هیچ تاریخ شروعی نمی‌دهد؛ تاریخ 2008 اکنون به RFC 5233 اشاره می‌کند، جایی که این کنوانسیون مشخص می‌شود. رقم Have I Been Pwned، که قبلاً بیش از 14 میلیارد حساب سازشکننده در هزاران نقض داده شده بود، با شمارش‌های خود سایت جایگزین شده است همان‌طور که در 20 اکتبر 2026 خوانده شد. توضیح آدرس‌های relay اپل به iCloud+ Hide My Email و Sign in with Apple تقسیم شده است، که ویژگی‌های جداگانه با الزامات متفاوت هستند، و نقل برای رفتار Gmail اکنون به صفحه راهنمایی اشاره می‌کند که واقعاً آن را توثیق می‌کند. ادعایی مبنی بر اینکه لینک‌های لغو اشتراک اغلب تله فیشینگ هستند برای کمبود منبع حذف شده است.
منابع
- Google — Send emails from a different address or alias — Gmail Help. "Filter using your Gmail alias": mail to [email protected] and similar aliases all goes to [email protected] (checked 20 October 2026)
- RFC 5233 — Sieve Email Filtering: Subaddress Extension — K. Murchison, January 2008. Defines subaddressing and the "+" separator, and notes that the encoding is site- and implementation-specific
- Apple — Create unique, random email addresses with Hide My Email and iCloud+ — Requires an iCloud+ subscription; random addresses forward to your personal account and can be deactivated or deleted
- Apple — Stop using, reactivate, or delete a Hide My Email address — Deactivated addresses can be reactivated; deleting an address is permanent
- Apple — How to use Hide My Email with Sign in with Apple — A separate feature: relay addresses in the privaterelay.appleid.com domain; changing the forwarding address requires iCloud+
- Google — Email sender guidelines — One-click unsubscribe and spam-rate requirements for senders of 5,000+ messages a day, in force from 1 February 2024 (checked 20 October 2026)
- Yahoo Sender Hub — Best practices — Working List-Unsubscribe header plus a visible link, with unsubscribe requests honoured within two days (checked 20 October 2026)
- Have I Been Pwned — Front-page counters: 1,047 pwned websites and 17,846,550,965 pwned addresses, read 20 October 2026