Trik Plus Sign yang Menunjukkan Di Mana Alamat Anda Bocor (dan Apa yang Tidak Bisa Dibuktikannya)

Daftar ke toko sebagai anda+homedepot@contoh.com dan ke situs tiket sebagai anda+ticketmaster@contoh.com, dan selama tidak ada yang menghapus tag, setiap surat yang tiba membawa label yang menunjukkan formulir mana tempat alamat diketik. Ketika spam mulai masuk ke salah satu tag tersebut, Anda tidak menebak-nebak tentang di mana alamat mulai beredar. Anda membacanya langsung dari amplop.

Mekanisme ini sudah lama dan terdokumentasi. Subaddressing — melampirkan beberapa "detail" ke bagian lokal dari alamat setelah karakter pemisah, biasanya + — dijelaskan dalam RFC 5233, dipublikasikan pada Januari 2008, yang memberikan contoh surat ke ken+sieve@contoh.org tiba di kotak surat milik pengguna ken. Gmail mendokumentasikan perilaku ini di halaman bantuan sendiri: di bawah "Filter menggunakan alias Gmail Anda," dinyatakan bahwa "pesan yang dikirim ke alias berikut akan semua masuk ke janedoe@gmail.com," kemudian mendaftar janedoe+school@gmail.com, janedoe+notes@gmail.com dan janedoe+important.emails@gmail.com. Satu kotak surat, sebanyak variasi berlabel yang ingin Anda buat, tidak perlu pengaturan.

Berikut bagian yang biasanya terlalu dipromosikan, termasuk dalam versi pertama artikel ini. Sebuah tag mengidentifikasi titik masuk. Itu tidak mengidentifikasi pelaku. Jika alamat yang diberikan ke tepat satu toko mulai menerima crypto spam, apa yang telah diestablish adalah bahwa alamat mencapai pasar yang lebih luas melalui pendaftaran tersebut — dan itu benar-benar berguna. Apa yang belum diestablish adalah caranya. Toko mungkin telah menjual daftar. Mungkin membagikannya dengan cara yang diizinkan kebijakan privasi mereka sendiri. Mungkin meneruskannya ke pemroses, mitra pemenuhan pesanan atau platform pemasaran yang kemudian diretas. Pelanggaran mungkin terjadi di toko, atau tiga pemasok di bawah. Alamat mungkin bocor dari perangkat atau kotak surat pelanggan sendiri. Seseorang mungkin telah menyimpulkan polanya — setelah penyerang melihat anda+petco@, bentuk anda+apapun-lainnya@ tidak sulit ditebak, dan tag kadang-kadang disalin langsung dari pesan yang diteruskan. "Pendaftaran inilah tempat alamat keluar" adalah kesimpulan yang masuk akal. "Perusahaan ini menjual saya" adalah klaim yang berbeda, dan tag bukan bukti untuk itu.

Dua batasan praktis datang dengan trik ini. Yang pertama ada dalam standar itu sendiri: cara detail dikodekan adalah, dalam kata-kata RFC 5233, "spesifik situs dan/atau implementasi." Tidak ada jaminan bahwa penyedia tertentu mendukung +, memperlakukannya sebagai pemisah, atau bahwa formulir pendaftaran tertentu akan menerima karakter sama sekali; formulir yang memvalidasi alamat secara sempit menolaknya, dan apa pun yang memproses alamat nanti dapat memotongnya. Yang kedua adalah apa yang dapat dilakukan tag setelah gagal. Filter pada to: anda+petco@… mencegah surat tersebut masuk ke inbox. Itu tidak menghapus alamat dari database siapa pun, dan itu tidak menghentikannya dari diperdagangkan lebih lanjut. Ini adalah penahanan di ujung penerimaan, tidak lebih.

Berhenti berlangganan adalah separuh lain dari kesalahpahaman itu. Berhenti berlangganan sekali klik bukanlah keramahan; untuk pengirim volume tinggi itu adalah persyaratan. Panduan pengirim Google memberi tahu pengirim 5.000 atau lebih pesan per hari ke akun Gmail bahwa "pesan pemasaran dan pesan berlangganan harus mendukung berhenti berlangganan sekali klik" dan harus "menyertakan tautan berhenti berlangganan yang jelas terlihat di badan pesan," sambil menjaga tingkat spam "di bawah 0,10%" dan tidak pernah mencapai "0,30% atau lebih tinggi." Yahoo's Sender Hub memerlukan header List-Unsubscribe yang berfungsi ditambah tautan terlihat, dengan permintaan berhenti berlangganan dihormati dalam dua hari. Yang memberitahu Anda tepat sejauh mana mekanisme mencapai: itu ditegakkan terhadap pengirim yang menginginkan surat mereka disampaikan ke Gmail dan Yahoo. Pengirim yang tidak pernah berniat mematuhi berada di luar sistem itu sepenuhnya, dan memintanya dengan sopan untuk berhenti bukan kontrol yang Anda miliki.

Untuk pendaftaran yang tidak Anda percayakan dengan alamat nyata sama sekali, Apple menawarkan dua hal terpisah yang sering dikacaukan. Yang pertama adalah iCloud+ Hide My Email, yang memerlukan langganan iCloud+: "ketika Anda berlangganan iCloud+," Anda dapat "membuat alamat email unik dan acak," "surat yang dikirim ke alamat acak Anda diteruskan ke akun email pribadi Anda," "Anda dapat membuat alamat sebanyak yang Anda butuhkan," dan "Anda juga dapat menonaktifkan atau menghapus alamat yang tidak lagi Anda gunakan." Penonaktifan dapat dibalikkan; penghapusan, catatan Apple, tidak dapat. Yang kedua adalah Sign in with Apple, di mana login ke aplikasi dengan Akun Apple dapat mengeluarkan alamat relay di domain privaterelay.appleid.com alih-alih menyerahkan milik Anda sendiri; mengubah alamat yang relay teruskan adalah fitur iCloud+ itu sendiri. Keduanya menghindari penyerahan sesuatu untuk dilepas atau discrape, karena tidak ada tag terlihat yang menempel pada alamat nyata — tetapi ini adalah fitur yang berbeda, dengan persyaratan berbeda, dan layak untuk diminta dengan nama.

Skala di balik semua ini mudah untuk diperiksa dan layak diperiksa daripada dikutip dari memori. Halaman depan Have I Been Pwned, dibaca pada 20 Oktober 2026, menunjukkan 17.846.550.965 alamat yang diretas di seluruh 1.047 situs yang diretas. Ini adalah alamat yang muncul dalam pelanggaran yang telah dimuat proyek, bukan akun yang dikompromikan, dan bukan hitungan setiap pelanggaran yang pernah terjadi. Penandaan tidak menjaga alamat keluar dari yang berikutnya. Apa yang dilakukannya adalah mengubah banjir anonim menjadi surat berlabel, sehingga ketika ada yang salah Anda tahu pintu mana yang dilalui — dan jujur kepada diri sendiri tentang apa yang dilakukan dan tidak dibuktikan itu.

Koreksi, 20 Oktober 2026. Versi sebelumnya dari artikel ini ditulis dalam orang pertama dan menjelaskan observasi pribadi alamat berlabel yang muncul dalam dump pialang data. Artikel ini tidak memiliki penulis individu yang teridentifikasi — diterbitkan oleh xmail sebagai organisasi — dan akun itu tidak dapat diverifikasi, jadi telah ditulis ulang sebagai skenario netral yang dapat direproduksi. Klaim bahwa alamat berlabel meninggalkan "tepat satu tersangka" dan menyebutkan nama perusahaan yang menjual alamat telah dikoreksi: tag mengidentifikasi titik masuk, bukan pelaku atau transaksi. Pernyataan bahwa Gmail telah mendukung plus-addressing sejak 2008 telah dihapus, karena dokumentasi Google tidak memberikan tanggal mulai; tanggal 2008 sekarang merujuk pada RFC 5233, di mana konvensi ditentukan. Gambar Have I Been Pwned, sebelumnya diberikan sebagai lebih dari 14 miliar akun yang dikompromikan di seluruh ribuan pelanggaran, telah diganti dengan penghitung situs sendiri seperti yang dibaca pada 20 Oktober 2026. Deskripsi alamat relay Apple telah dibagi menjadi iCloud+ Hide My Email dan Sign in with Apple, yang merupakan fitur terpisah dengan persyaratan berbeda, dan kutipan untuk perilaku Gmail sekarang menunjuk ke halaman bantuan yang benar-benar mendokumentasikannya. Klaim bahwa tautan berhenti berlangganan sering menjadi umpan phishing telah dihapus karena tidak ada sumber.

@@END@@