O spam na sua caixa de entrada sabe quem entregou. Você só precisa perguntar do jeito certo.

Recebi uma vez um email de spam endereçado a um nome que nenhum ser humano jamais tinha me chamado: chairs-direct@. Eu tinha inventado esse alias no ano anterior, usado em exatamente um site de móveis, e nunca digitei novamente. Então quando lixo começou a cair nele, não havia mistério, sem encolher de ombros, nenhum "como eles conseguiram meu endereço?" A empresa de móveis conseguiu meu endereço porque eu dei para eles. E depois alguém conseguiu daí.

Esse é o argumento inteiro para aliases por cadastro, e é a única coisa que ninguém menciona quando dizem para você apenas ativar o Hide My Email da Apple.

O Hide My Email é genuinamente útil. Gera um relay aleatório como wandering-otter9182@icloud.com, encaminha o email para sua caixa de entrada real, e deixa você desativar o relay depois. A própria documentação da Apple é clara que o ponto é manter seu endereço real privado e lhe dar um botão de desligar. Tudo bem. Mas aqui está a lacuna: a Apple decide como o relay se parece, e o relay é opaco. Quando spam aparece em wandering-otter9182, você pode ver que endereço vazou. Geralmente você não consegue lembrar qual empresa você o deu oito meses atrás, porque você não nomeou. Você não nomeou nada. A Apple nomeou para você.

Inverta isso. Dê a cada empresa um alias que você escolha, ligado a um domínio que você controla, e spam deixa de ser ruído. Vira evidência.

Esse é o modelo que SimpleLogin e addy.io são construídos, e é por isso que as pessoas pagam por eles em vez de usar o relay gratuito já sentado no seu telefone. Você se cadastra para uma newsletter como nyt@yourdomain. Você compra tênis como kicks@yourdomain. Você registra uma garantia como warranty@yourdomain. Cada um encaminha para a mesma caixa de entrada real. Cada um é uma armadilha com uma etiqueta nela. No dia em que kicks@ começa a receber arremessos de criptografia e spam de faturas falsas, você não adivinha. Você sabe que a loja de tênis foi hackeada ou vendeu sua lista, e você pode deletar aquele alias e ver o ruído desaparecer enquanto tudo mais continua funcionando.

Você nem precisa rigorosamente de um serviço pago para começar. RFC 5233 define sub-endereçamento — o truque do plus — então yourname+kicks@gmail.com chega na sua Gmail normal e lhe conta a mesma história. O problema é que uma tag + é trivialmente fácil para qualquer corretor de dados remover de volta para yourname@gmail.com antes de revender, o que derrota a perícia. Um alias único no seu próprio domínio não pode ser engenharia reversa para seu endereço principal. Esse é o upgrade que vale a pena pagar.

A escala do problema é por que isso importa. O Identity Theft Resource Center contou 3.158 compromissos de dados dos EUA reportados publicamente em 2024, o segundo ano mais alto em registros, expondo bem mais de um bilhão de registros. Seu endereço está em algumas daquelas pilhas agora. A pergunta nunca é se uma empresa vai vazar você — é qual, e o que você pode fazer pela manhã em que descobrir.

Um único relay escondido oferece um botão de pânico. Um alias por empresa oferece uma trilha de papel. Um deixa você parar a hemorragia; o outro lhe diz quem cortou você.

Então por todos os meios esconda seu email. Apenas não o esconda da mesma forma para todos. Dê a cada empresa um nome com suas impressões digitais já nele, e quando o spam chegar — e chegará — você não terá que se perguntar quem falou.