Trick ze znakiem plus, który pokazuje, gdzie wyciekł Twój adres (i co nie może udowodnić)

Zarejestruj się w sklepie jako ty+homedepot@example.com i na stronie biletów jako ty+ticketmaster@example.com, a dopóki nic nie usunie znacznika, każda wiadomość, która przybywa, nosi etykietę mówiącą, do którego formularza został wpisany adres. Kiedy spam zaczyna spadać na jeden z tych znaczników, nie zgadujesz, skąd adres wszedł do obiegu. Czytasz to z koperty.

Mechanizm jest stary i udokumentowany. Subaddressing — dodanie jakiegoś „szczegółu" do lokalnej części adresu po znaku separatora, zwykle + — jest opisany w RFC 5233, opublikowanym w styczniu 2008 roku, który podaje przykład poczty do ken+sieve@example.org trafiającej do skrzynki pocztowej użytkownika ken. Gmail dokumentuje to zachowanie w swojej pomocy: w sekcji „Filtrowanie za pomocą aliasu Gmaila" stwierdza, że „wiadomości wysłane na następujące aliasy trafią do janedoe@gmail.com", a następnie wypisuje janedoe+school@gmail.com, janedoe+notes@gmail.com i janedoe+important.emails@gmail.com. Jedna skrzynka pocztowa, tyle oznaczonych wariantów, ile chcesz wymyślić, bez konfiguracji.

Oto część, która jest zwykle przeceniana, w tym w pierwszej wersji tego artykułu. Znacznik identyfikuje punkt wejścia. Nie identyfikuje sprawcy. Jeśli adres przekazany dokładnie jednemu sklepowi zaczyna otrzymywać spam dotyczący kryptowalut, to, co zostało ustalone, to że adres dotarł do szerszego rynku przez tę rejestrację — i to jest naprawdę użyteczne. Co nie zostało ustalone, to jak. Sklep mógł sprzedać listę. Mógł ją udostępnić w sposób, na który pozwala jego własna polityka prywatności. Mógł ją przekazać procesorowi, partnerowi logistycznemu lub platformie marketingowej, która została następnie zhakowana. Naruszenie mogło nastąpić w sklepie lub trzy poziomy dostawców niżej. Adres mógł wyciec z urządzenia lub skrzynki pocztowej samego abonenta. Ktoś mógł wydedukować wzór — gdy atakujący raz zobaczył ty+petco@, kształt ty+cokolwiek-innego@ nie jest trudny do odgadnięcia, a znaczniki są czasami kopiowane prosto z przesłanej wiadomości. „Ta rejestracja to miejsce, gdzie to się wydostało" to rozsądny wniosek. „Ta firma mnie sprzedała" to inne twierdzenie, a znacznik nie jest dowodem na jego rzecz.

Trick ma dwie praktyczne ograniczenia. Pierwsze tkwi w samym standardzie: sposób kodowania szczegółu jest, według słów RFC 5233, „zależny od witryny i/lub implementacji". Nie ma gwarancji, że dany dostawca obsługuje +, traktuje go jako separator, ani że dany formularz rejestracji w ogóle zaakceptuje ten znak; formularze, które walidują adresy w wąski sposób, go odrzucają, a wszystko, co przetwarza adres później, może go usunąć. Drugie to to, co znacznik może zrobić, gdy pójdzie na złe. Filtr na to: ty+petco@… zatrzymuje tę pocztę przed dotarciem do skrzynki odbiorczej. Nie usuwa adresu z żadnej bazy danych i nie zatrzymuje jego dalszego rozprowadzania. To powstrzymanie na końcu odbierającym, nic więcej.

Wypisanie się to druga połowa tego nieporozumienia. Wypisanie się jednym kliknięciem to nie uprzejmość; dla nadawców o wysokim wolumenie to wymóg. Wytyczne dla nadawców Google mówią nadawcom 5000 lub więcej wiadomości dziennie do kont Gmail, że „wiadomości marketingowe i wiadomości subskrybowane muszą obsługiwać wypisanie się jednym kliknięciem" i muszą „zawierać wyraźnie widoczny link wypisania się w treści wiadomości", przy jednoczesnym utrzymaniu wskaźnika spamu „poniżej 0,10%" i nigdy nie osiąganiu „0,30% lub wyższego". Sender Hub Yahoo wymaga działającego nagłówka List-Unsubscribe plus widocznego linku, z żądaniami wypisania się zrealizowanymi w ciągu dwóch dni. Co mówi Ci dokładnie, jak daleko sięga mechanizm: jest wymuszane wobec nadawców, którzy chcą, aby ich poczta trafiała do Gmail i Yahoo. Nadawca, który nigdy nie zamierzał się stosować, jest całkowicie poza tym systemem, a uprzejme proszenie go, aby przestał, to kontrola, którą nie masz.

Dla rejestracji, którym nie ufasz rzeczywistym adresem, Apple oferuje dwie osobne rzeczy, które są często mylone. Pierwsza to iCloud+ Hide My Email, która wymaga subskrypcji iCloud+: „gdy subskrybujesz iCloud+", możesz „generować unikalne, losowe adresy email", „poczta wysłana na Twoje losowe adresy jest przekazywana na Twoje osobiste konto email", „możesz tworzyć tyle adresów, ile potrzebujesz", i „możesz również dezaktywować lub usuwać adresy, których już nie używasz". Dezaktywacja jest odwracalna; usunięcie, jak zauważa Apple, nie jest. Drugie to Sign in with Apple, gdzie zalogowanie się do aplikacji za pomocą Apple Account może wydać adres przekierowania w domenie privaterelay.appleid.com zamiast przekazywania Twojego własnego; zmiana adresu, na który to przekierowanie wysyła dalej, jest sama w sobie funkcją iCloud+. Oba unikają przekazywania nadawcy czegoś do usunięcia lub skrobania, ponieważ nie ma widocznego znacznika przymocowanego do rzeczywistego adresu — ale to są różne funkcje, z różnymi wymaganiami, i warto o nie prosić, wymyśliwszy je po imieniu.

Skalę tego wszystkiego można łatwo sprawdzić i warto sprawdzić zamiast cytować z pamięci. Strona główna Have I Been Pwned, przeczytana 20 października 2026 roku, pokazała 17846550965 zhakowanych adresów na 1047 zhakowanych witrynach. To adresy pojawiające się w naruszeniach załadowanych przez projekt, nie skompromitowane konta, i nie liczba każdego naruszenia, które kiedykolwiek się zdarzało. Tagging nie trzyma adresu z dala od następnego. To, co robi, to zamienia anonimowy potok w oznaczoną pocztę, więc kiedy coś idzie nie tak, wiesz, którymi drzwiami przyszło — i jesteś uczciwy w stosunku do siebie na temat tego, co to dowodzi i czego nie.

Poprawka, 20 października 2026 roku. Wcześniejsza wersja tego artykułu została napisana w pierwszej osobie i zawierała opis osobistych obserwacji oznaczonych adresów pojawiających się w zrzutach brokerów danych. Artykuł nie ma zidentyfikowanego indywidualnego autora — jest publikowany przez xmail jako organizacja — i to konto nie mogło być potwierdzone, więc została przepisana jako neutralny, odtwarzalny scenariusz. Twierdzenie, że oznaczony adres pozostawia „dokładnie jednego podejrzanego" i wymienia firmę, która sprzedała adres, zostało poprawione: znacznik identyfikuje punkt wejścia, nie sprawcę lub transakcję. Stwierdzenie, że Gmail obsługuje adresowanie z plusem od 2008 roku, zostało usunięte, ponieważ dokumentacja Google nie podaje daty rozpoczęcia; data 2008 roku odnosi się teraz do RFC 5233, gdzie konwencja jest określona. Figura Have I Been Pwned, wcześniej podana jako ponad 14 miliardów skompromitowanych kont na tysiącach naruszeń, została zastąpiona własnymi licznikami witryny odczytanymi 20 października 2026 roku. Opis adresów przekierowania Apple został podzielony na iCloud+ Hide My Email i Sign in with Apple, które są osobnymi funkcjami o różnych wymaganiach, a cytacja zachowania Gmail wskazuje teraz na stronę pomocy, która rzeczywiście ją dokumentuje. Twierdzenie, że linki do wypisania się są często przynętą phishingową, zostało usunięte ze względu na brak źródła.