プラス記号の技：あなたのアドレスがどこで漏れたかを示す方法（ただし、それが証明しないこと）

you+homedepot@example.comでショップにサインアップし、you+ticketmaster@example.comでチケットサイトにサインアップすると、タグが削除されない限り、到着するすべてのメールには、アドレスがどのフォームに入力されたかを示すラベルが付く。タグのいずれかにスパムが届き始めると、あなたはアドレスがどこで流通し始めたかを推測していない。封筒から読み取っているのだ。

このメカニズムは古く、文書化されている。サブアドレッシング（通常は+を区切り文字として、アドレスのローカル部分の後に何らかの「詳細」を添付すること）は、2008年1月に公開されたRFC 5233に記載されており、ken+sieve@example.org宛のメールがユーザーkenに属するメールボックスに到着する例を示している。Gmailはその独自のヘルプで「Gmail別名を使用してフィルタリング」という項目でこの動作を文書化している。「以下の別名に送信されたメッセージはすべて janedoe@gmail.com に送信されます」と述べ、janedoe+school@gmail.com、janedoe+notes@gmail.com、janedoe+important.emails@gmail.comを列挙している。ひとつのメールボックス、あなたが作成する限り数多くのラベル付きバリエーション、セットアップは不要。

ここが通常、この記事の最初のバージョンを含めて、過度に販売されている部分である。タグはエントリーポイントを識別する。犯人を識別しない。正確にはひとつのショップに与えられたアドレスがクリプトスパムを受信し始めた場合、確立されたことは、そのサインアップを通じてアドレスがより広い市場に到達したということ — それは本当に有用である。確立されていないことはどのようにしてかである。ショップはリストを売却したかもしれない。独自のプライバシーポリシーが許可する方法でそれを共有したかもしれない。プロセッサー、フルフィルメントパートナー、またはマーケティングプラットフォームにそれを渡し、その後、侵害されたかもしれない。侵害はショップにあったか、サプライヤーを三段階下ったところにあったかもしれない。アドレスは購読者自身のデバイスまたはメールボックスから漏れたかもしれない。誰かがパターンを推測したかもしれない — 攻撃者がyou+petco@を見た後、you+anything-else@の形は推測するのは難しくなく、タグは時々転送されたメッセージから直接コピーされる。「このサインアップがそれが出た場所である」は合理的な結論である。「この企業は私を売った」は異なるクレームであり、タグはそれの証拠ではない。

トリックにはつの実際的な制限がある。最初のものは標準そのもの内にある：詳細がエンコードされる方法は、RFC 5233の言葉では、「サイトおよび/または実装固有」である。与えられたプロバイダーが+をサポートすること、それを区切り文字として扱うこと、または与えられたサインアップフォームがその文字をまったく受け入れることの保証はない。狭くアドレスを検証するフォームはそれを拒否し、後でアドレスを処理するものはすべてそれをトリムするかもしれない。二番目のものは、タグが悪くなった後にできることである。to: you+petco@…のフィルターはそのメールがインボックスに到達するのを停止する。誰のデータベースからもアドレスを削除しない、そしてそれがさらに取引されるのを停止しない。それは受信側での封じ込めであり、それ以上のものではない。

購読解除はその誤解のもう半分である。ワンクリック購読解除は配慮ではない。高流量の送信者にとっては要件である。Googleの送信者ガイドラインは、Gmail アカウント向けに1日に5,000件以上のメッセージを送信する送信者に対して、「マーケティングメッセージと購読メッセージはワンクリック購読解除をサポートする必要があり」、「メッセージ本文に明確に見えるリンクを含める必要があり」、スパムレートを「0.10%未満」に保ち、「0.30%以上」に達しないようにする必要があることを示している。Yahoo の Sender Hub は機能するList-Unsubscribeヘッダーと目に見えるリンクを要求し、購読解除リクエストはつの日以内に実行される。これはメカニズムが到達する範囲をあなたに正確に伝える：それはGmailとYahooにメールを配信したい送信者に対して実行される。コンプライアンスを意図したことがない送信者はそのシステムの完全に外にあり、丁寧にそれを停止するよう要求することはあなたが保有する制御ではない。

実アドレスでまったく信頼しないサインアップの場合、Appleはしばしば混同される別のものを提供する。最初のものはiCloud+ Hide My Emailであり、iCloud+サブスクリプションが必要である：「iCloud+にサブスクライブすると」、あなたは「一意のランダムなメールアドレスを生成」でき、「ランダムアドレスに送信されたメールはあなたの個人的なメールアカウントに転送」され、「必要に応じて多くのアドレスを作成」でき、「また、もう使用しないアドレスを非アクティブ化または削除」できる。非アクティブ化は可逆的である。削除はAppleが注記するように、不可逆的である。二番目のものはSign in with Appleであり、Apple Accountでアプリにサインインすると、あなた自身を渡す代わりにprivaterelay.appleid.comドメインのリレーアドレスを発行できる。そのリレーが転送するアドレスを変更することはそれ自体がiCloud+機能である。どちらも送信者に削除またはスクレイプするものを渡すのを避ける。実アドレスに付加されたタグが見えないからである — しかし、それらは異なる機能であり、異なる要件があり、それらは名前で質問する価値がある。

すべてのこの背後にあるスケールは簡単にチェックでき、記憶から引用するのではなくチェックする価値がある。Have I Been Pwned のフロントページ、20 October 2026 に読み取り、17,846,550,965 の侵害されたアドレスが 1,047 のハッキングされたウェブサイト全体で表示された。これらは、プロジェクトが読み込んだ侵害に表示されるアドレスであり、侵害されたアカウントではなく、すべての侵害が発生したことのカウントではない。タグは次のアドレスをアドレスから保持しない。それが行うことは、匿名の大量流入をラベル付きメールに変えることで、何か間違ったことが起こったときに、どのドアからそれが入ってきたかを知ることができ、それがなすこととしないことについて正直になることである。

訂正、20 October 2026。 この記事の以前のバージョンは一人称で書かれており、データブローカーダンプに表示されるタグ付きアドレスの個人的な観察について説明されていた。この記事には識別された個別の著者がなく、それはxmailによって組織として公開され、その説明を実証することができなかったので、それは中立的で再現可能なシナリオとして書き直されている。タグ付きアドレスが「正確にひとつの容疑者」を残し、その企業の名前を告げるという主張は訂正された：タグは入口ポイントを識別し、犯人または取引を識別しない。Gmailが2008年から加算アドレッシングをサポートしてきたという声明は、Googleのドキュメンテーションが開始日を与えないため、削除された。2008年の日付は現在、規則が指定されるRFC 5233を指す。Have I Been Pwned の図は、以前は14億以上の侵害されたアカウントが数千の侵害全体で与えられていたが、20 October 2026 に読み取ったサイト自身のカウンターに置き換えられた。Appleのリレーアドレスの説明は、iCloud+ Hide My EmailとSign in with Appleに分割されており、異なる機能であり、異なる要件があり、Gmailの動作の引用は実際にそれを文書化するヘルプページをポイントしている。購読解除リンクはしばしばフィッシング餌であるという主張は、ソースがないため削除された。