A pluszjel-trükk, amely megmutatja, hol szivárgott ki az e-mail-címed (és mit nem tud bizonyítani)

Regisztrálj egy bolthoz a te+homedepot@example.com címmel, egy jegyértékesítő oldalra a te+ticketmaster@example.com címmel, és amíg a jelölést nem távolítják el, minden bejövő levél egy olyan feliratot hordoz, amely azt mutatja, melyik nyomtatványba volt begépelve a cím. Amikor spam kezd érkezni az egyik jelölt címre, nem találgatod, hol kerülhetett az e-mail-cím körforgásba. Az felirat alapján olvasod le az információt.

A mechanizmus régi és dokumentált. A részletes címzés — egy „részlet" csatolása a cím helyi részéhez egy elválasztó karakter, általában a + után — az RFC 5233-ban van leírva, amelyet 2008 januárjában publikáltak, és amely a ken+sieve@example.org címre érkezett levél példáját mutatja, amely a ken felhasználóhoz tartozó postafiókba kerül. A Gmail a saját súgójában dokumentálja ezt a viselkedést: a „Szűrés a Gmail-alias segítségével" szakaszban azt jelzi, hogy „a következő aliasokra küldött üzenetek mindegyike a janedoe@gmail.com-ra kerül," majd felsorolja a janedoe+school@gmail.com, janedoe+notes@gmail.com és janedoe+important.emails@gmail.com címeket. Egy postafiók, annyi megnevezett variáció, amennyit csak szeretnél, nincs beállítás szükséges.

Nos, itt jön az a rész, amely általában túlértékelt, így a cikk első verziójában is. A jelölés egy belépési pontot azonosít. Ez nem azonosít egy felelőst. Ha egy olyan címhez, amelyet pontosan egy boltnak adtál meg, kriptovaluta spam kezd érkezni, akkor az megállapít, hogy a cím a szélesebb piaca az erre regisztrációs út keresztül — és ez valóban hasznos információ. Azonban az nem állapítható meg, hogyan. A bolt eladhatott egy listát. Megoszthatott azt egy módon, amely az adatvédelmi irányelvei szerint megengedett. Átadhatott egy feldolgozónak, egy teljesítési partnernek vagy egy márkaplatformnak, amelyet később megtámadtak. A megtámadás a boltnál történhetett, vagy három szállító láncon keresztül. A cím szivároghatott az előfizetési helytelen eszközéből vagy postafiókjából. Valaki meghátározhatott a mintát — miután egy támadó látta a te+petco@ címet, a te+bármi-másik@ alakja nem nehéz kitalálni, és a jelöléseket néha közvetlenül egy továbbított üzenetből másolják ki. Az a megállapítás, hogy „ez a regisztráció az, ahonnan kijutott" helyes. Az az állítás azonban, hogy „ez a vállalat kiadott engem" más igény, és a jelölés nem bizonyíték rá.

Két gyakorlati korlát van a trükkkel. Az első magában a szabványban van: az RFC 5233 szerint a részlet kódolásának módja „oldal- és/vagy megvalósítás-specifikus." Nincs garancia arra, hogy egy adott szolgáltató támogatja a + karaktert, elválasztóként kezeli-e, vagy hogy egy adott regisztrációs nyomtatvány egyáltalán elfogadja-e a karaktert; a szűk körben ellenőrző nyomtatványok elutasítják azt, és bármely, amely később feldolgozza a címet, eltávolíthatja azt. A második a jelölésnek az a korlátja, amit tehet, miután már rossz lett. A to: te+petco@… szűrővel meghiúsítható, hogy az a levelek az bejelentkezési mezőbe kerüljenek. Azonban ez nem távolítja el a címet senki adatbázisából, és nem akadályozza meg azt, hogy tovább kereskedjenek vele. Ez csak a fogadó végén történő visszatartás, semmi más.

A leiratkozás a félreértés másik fele. Az egykattintásos leiratkozás nem udvariasság; a nagy mennyiségű feladók számára követelmény. A Google feladó-irányelvei azt mutatják, hogy a 5000 vagy annál több üzenetet naponta küldő feladók Gmail-fiókoknak „a marketingüzenetek és feliratkozott üzenetek támogatniuk kell az egykattintásos leiratkozást," és „egyértelműen látható leiratkozás linket kell tartalmazniuk az üzenet törzséhez," miközben a spamok aránya „0,10% alatt" marad, és soha nem éri el a „0,30% vagy magasabb" szintet. A Yahoo Sender Hub megköveteli egy működő List-Unsubscribe fejlécet, valamint egy látható linket, és a leiratkozási kérelmeket két napon belül teljesítik. Ez pontosan azt mutatja, meddig terjed a mechanizmus: azt a feladók ellen kényszerítik, akik azt szeretnék, hogy az e-mailjük kézbesítésre kerüljön a Gmailre és Yahoora. Az a feladó, aki soha nem szándékozott megfelelni, teljesen kívül van ebből a rendszerből, és azt udvarias kérésnek tartani, hogy hagyjon fel, nem olyan kontroll, amellyel rendelkezel.

A regisztrációkhoz, amelyekben nem bízol valódi címmel, az Apple két külön dolgot kínál, amelyeket gyakran összekevernek. Az első az iCloud+ Hide My Email, amely egy iCloud+ előfizetésre szükséges: „amikor feliratkozol az iCloud+-ra," „generálhatsz egyedi, véletlenszerű e-mail-címeket," „az e-mailek, amelyek a véletlenszerű címedre érkeznek, átirányításra kerülnek a személyes e-mail-fiókodon," „annyi címet hozhatsz létre, amennyire szükséged van," és „deaktiválhatod vagy törölheted azokat a címeket, amelyeket már nem használsz." A deaktiválás visszavonható; a törlés viszont, mint az Apple megjegyzi, nem. A második a Sign in with Apple, ahol egy alkalmazásba Apple-fiókkal való bejelentkezés egy reléycímet adhat ki a privaterelay.appleid.com tartományban ahelyett, hogy átadnád a sajátod; az a cím, amelyre a relay átirányít, maga is egy iCloud+ funkció. Mindkettő elkerüli, hogy valamit adjál a feladónak, amit eltávolíthat vagy begyűjthet, mivel nincs látható jelölés rögzítve egy valódi címhez — de ezek különböző funkciók, különböző követelményekkel, és érdemes név szerint rákérdezni rájuk.

Az ennek az alapja szereplő méret könnyen ellenőrizhető, és érdemes ellenőrizni, mintsem memóriából idézni. A Have I Been Pwned előlapja, amelyet 2026. október 20-án olvastak, 17,846,550,965 megtámadott e-mail-címet mutatott 1,047 megtámadott weboldal között. Ezek olyan címek, amelyek az olyan megtámadott helyeken jelennek meg, amelyeket a projekt betöltött, nem a megtámadott fiókok száma, és nem az összes megtámadás száma, amely valaha megtörtént. A jelölés nem tartja egy e-mail-címet a következő megtámadás előtt. Amit csinál, az az, hogy az anonim áradatot feliratú postává változtatja, így amikor valami rosszul megy, tudod, melyik ajtón jött be — és őszinte vagy magaddal szemben azzal kapcsolatban, mit bizonyít és mit nem.

Helyesbítés, 2026. október 20. A cikk egy korábbi verziója első személyből íródott, és a jelölt e-mail-címekről szóló személyes megfigyeléseket írta le, amelyek az adatközvetítő kimutatásaiban jelentek meg. A cikknek nincs azonosított egyéni szerzője — az xmail szervezet által kerül publikálásra — és ez a leírás nem volt alátámasztható, ezért semleges, reprodukálható forgatókönyvként újraírásra került. Az a követelés, amely szerint egy jelölt cím „pontosan egy gyanúsítottat hagy" és megnevezi az azt eladó vállalatot, helyesbítésre kerül: egy jelölés egy belépési pontot azonosít, nem egy felelőst vagy tranzakciót. Az a kijelentés, miszerint a Gmail a pluszjel-kezelést 2008 óta támogatja, eltávolításra kerül, mivel a Google dokumentációja nem ad kezdődátumot; a 2008-as dátum most az RFC 5233-ra utal, ahol a konvenció meg van adva. A Have I Been Pwned-szám, amelyet korábban több mint 14 milliárd megtámadott fiókként említettem több ezer megtámadás között, helyébe lépett az oldal saját számlálói, amelyeket 2026. október 20-án olvastak. Az Apple relé-cím leírása az iCloud+ Hide My Email és a Sign in with Apple-re lett felosztva, amelyek külön funkciók, különböző követelményekkel, és a Gmail-viselkedésre vonatkozó hivatkozás most arra a súgó oldalra mutat, amely ténylegesen dokumentálja azt. Az a követelés, miszerint a leiratkozás-linkek gyakran adathalászati csalások, forráshiány miatt eltávolításra kerül.