O Truque do Sinal de Mais Que Mostra Por Onde Seu Endereço Vazou (E O Que Ele Não Pode Provar)

Cadastre-se em uma loja como voce+homedepot@exemplo.com e em um site de ingressos como voce+ticketmaster@exemplo.com, e enquanto nada remover a marcação, cada mensagem que chegar traz um rótulo dizendo em qual formulário o endereço foi digitado. Quando spam começa a chegar em uma dessas marcações, você não está adivinhando por onde o endereço entrou em circulação. Você está lendo no envelope.

O mecanismo é antigo e documentado. Subendereçamento — anexar algum "detalhe" à parte local de um endereço após um caractere separador, geralmente + — é descrito na RFC 5233, publicada em janeiro de 2008, que dá o exemplo de mensagens para ken+sieve@exemplo.org chegando à caixa de correio do usuário ken. O Gmail documenta o comportamento em sua própria ajuda: sob "Filtrar usando seu alias do Gmail", afirma que "mensagens enviadas para os seguintes aliases chegarão todas a janedoe@gmail.com", depois lista janedoe+school@gmail.com, janedoe+notes@gmail.com e janedoe+important.emails@gmail.com. Uma caixa de correio, quantas variações marcadas quiser inventar, sem configuração.

Aqui está a parte que é geralmente exagerada, inclusive na primeira versão deste artigo. Uma marcação identifica um ponto de entrada. Ela não identifica um culpado. Se um endereço dado a exatamente uma loja começa a receber spam de criptografia, o que foi estabelecido é que o endereço chegou ao mercado mais amplo através desse cadastro — e isso é genuinamente útil. O que não foi estabelecido é como. A loja pode ter vendido uma lista. Pode tê-la compartilhado de uma forma que sua própria política de privacidade permite. Pode tê-la passado para um processador, parceiro de atendimento ou plataforma de marketing que foi então comprometida. A violação pode ter sido na loja, ou três fornecedores adiante. O endereço pode ter vazado do dispositivo ou caixa de correio do próprio assinante. Alguém pode ter inferido o padrão — uma vez que um atacante viu voce+petco@, a forma de voce+qualquer-outra-coisa@ não é difícil de adivinhar, e marcações às vezes são copiadas direto de uma mensagem encaminhada. "Este cadastro é por onde saiu" é uma conclusão sólida. "Esta empresa me vendeu" é uma afirmação diferente, e uma marcação não é evidência para isso.

Dois limites práticos vêm com o truque. O primeiro está no padrão em si: a forma como o detalhe é codificado é, nas palavras da RFC 5233, "específica do site e/ou implementação". Não há garantia de que um provedor específico suporte +, o trate como separador, ou que um formulário de cadastro específico aceite o caractere; formulários que validam endereços estritamente o rejeitam, e qualquer coisa que processe o endereço depois pode removê-lo. O segundo é o que a marcação pode fazer depois que se tornou ruim. Um filtro em para: voce+petco@… impede que esse correio chegue à caixa de entrada. Ele não remove o endereço de nenhum banco de dados, e não impede que seja comercializado adiante. É contenção no lado receptor, nada mais.

Cancelar inscrição é a outra metade desse mal-entendido. Cancelamento de inscrição com um clique não é uma cortesia; para remetentes de alto volume é um requisito. As diretrizes de remetente do Google dizem aos remetentes de 5.000 ou mais mensagens por dia para contas do Gmail que "mensagens de marketing e mensagens inscritas devem suportar cancelamento de inscrição com um clique" e devem "incluir um link de cancelamento de inscrição claramente visível no corpo da mensagem", mantendo taxas de spam "abaixo de 0,10%" e nunca atingindo "0,30% ou superior". O Sender Hub do Yahoo exige um cabeçalho List-Unsubscribe funcional mais um link visível, com solicitações de cancelamento de inscrição honradas dentro de dois dias. O que mostra exatamente até onde o mecanismo alcança: é aplicado contra remetentes que desejam que seu correio seja entregue no Gmail e Yahoo. Um remetente que nunca pretendeu cumprir está completamente fora desse sistema, e pedir educadamente para parar não é um controle que você tem.

Para cadastros nos quais você não confia com um endereço real, a Apple oferece duas coisas separadas que são frequentemente confundidas. A primeira é iCloud+ Hide My Email, que requer uma assinatura iCloud+: "quando você se inscreve em iCloud+", pode "gerar endereços de email únicos e aleatórios", "o correio enviado para seus endereços aleatórios é encaminhado para sua conta de email pessoal", "você pode criar quantos endereços precisar", e "você também pode desativar ou excluir endereços que não usa mais". A desativação é reversível; a exclusão, como observa a Apple, não é. A segunda é Sign in with Apple, onde fazer login em um app com uma Apple Account pode emitir um endereço de retransmissão no domínio privaterelay.appleid.com em vez de entregar o seu; mudar o endereço para o qual essa retransmissão encaminha é em si um recurso do iCloud+. Ambos evitam entregar ao remetente algo para remover ou raspar, porque não há uma marcação visível acoplada a um endereço real — mas são recursos diferentes, com requisitos diferentes, e vale a pena pedir por nome.

A escala por trás disso tudo é fácil de verificar e vale verificar em vez de citar de memória. A página inicial de Have I Been Pwned, lida em 20 de outubro de 2026, mostrou 17.846.550.965 endereços comprometidos em 1.047 sites violados. Esses são endereços aparecendo em violações que o projeto carregou, não contas comprometidas, e não uma contagem de cada violação que já aconteceu. Marcação não impede um endereço de entrar na próxima. O que faz é transformar uma enchente anônima em correio marcado, para que quando algo der errado você saiba por qual porta entrou — e seja honesto consigo mesmo sobre o que isso prova e o que não prova.

Correção, 20 de outubro de 2026. Uma versão anterior deste artigo foi escrita em primeira pessoa e descrevia observações pessoais de endereços marcados aparecendo em dumps de corretores de dados. O artigo não tem autor individual identificado — é publicado pela xmail como uma organização — e essa narrativa não pôde ser substantivada, então foi reescrita como um cenário neutro e reproduzível. A afirmação de que um endereço marcado deixa "exatamente um suspeito" e nomeia a empresa que vendeu o endereço foi corrigida: uma marcação identifica um ponto de entrada, não um culpado ou uma transação. Uma afirmação de que o Gmail tem suportado endereçamento com plus desde 2008 foi removida, pois a documentação do Google não fornece data de início; a data de 2008 agora se refere à RFC 5233, onde a convenção é especificada. A figura de Have I Been Pwned, anteriormente dada como mais de 14 bilhões de contas comprometidas em milhares de violações, foi substituída pelos próprios contadores do site conforme lido em 20 de outubro de 2026. A descrição dos endereços de retransmissão da Apple foi dividida em iCloud+ Hide My Email e Sign in with Apple, que são recursos separados com requisitos diferentes, e a citação para o comportamento do Gmail agora aponta para a página de ajuda que realmente o documenta. Uma afirmação de que links de cancelamento de inscrição são frequentemente isca de phishing foi removida por falta de fonte.

@@END@@