O Último Nome do Seu Email é uma Mentira que Spammers Já Descobriram

Um spammer que compra uma lista de emails vazados executa uma linha de código bem limpa antes de enviar qualquer coisa: remover tudo do + até o @. Seu cuidadosamente rotulado jane+target@gmail.com se torna simples jane@gmail.com no tempo de um piscar de olhos, e sua etiqueta inteligente se foi.

Esse é o segredo sujo do endereço com +, o truque onde você adiciona +qualquer coisa ao seu endereço do Gmail. O próprio Google documenta que emails para você+cupons@gmail.com chegam na caixa de entrada de você@gmail.com. É real, funciona, e é genuinamente útil para uma tarefa: filtragem. Você pode rotear tudo marcado com +boletins para uma pasta que você verifica nos domingos. Ok.

O que não faz é escondê-lo. O + é uma convenção pública e documentada. Qualquer spammer, qualquer corretor de dados, qualquer vendedor de marketing desatencioso que comprou seu endereço em um vazamento pode normalizá-lo de volta ao seu inbox simples com uma expressão regular que você poderia escrever em um guardanapo. As pessoas tratam as etiquetas com + como um disfarce. Elas são um crachá de identificação.

Então quando alguém te vende endereçamento com + como um movimento de privacidade, está meio certo e perigosamente enganando. Como ferramenta forense? É decente — até que o vazamento aconteça. Como defesa? É uma porta de tela.

A real atualização é um serviço de alias que entrega um endereço genuinamente diferente para cada signup e encaminha emails para sua verdadeira caixa de entrada sem nunca revelá-la. Apple's Hide My Email gera endereços aleatórios algo@icloud.com e te deixa desativar cada um sempre que quiser. Mozilla's Firefox Relay faz o mesmo, gratuito para até cinco máscaras, mais em sua camada paga. O endereço mascarado não tem relação com o real. Não há + para remover, nenhum nome base para recuperar. Um spammer que compra aquela lista compra um beco sem saída.

Aqui está a parte que transforma isso de conveniência em poder. Dê ao Acme Tools um alias único. Dê ao seu dentista outro. Dê àquele concurso suspeito um terceiro. No dia em que spam começar a bombardear um deles, você não tem um mistério — você tem uma confissão assinada. O endereço que apenas uma empresa jamais teve agora está nas mãos de um spammer, o que significa que aquela empresa vazou, vendeu, ou foi comprometida. Você não adivinha quem te queimou. Você lê no envelope. Então você desativa aquele alias único e sua caixa de entrada fica quieta, enquanto todos os outros relacionamentos continuam funcionando intocados.

Esse é o interruptor de desligamento que o endereçamento com + nunca pode te dar. Desative jane+acme e um spammer apenas envia um email para jane diretamente, porque eles já removeram a etiqueta meses atrás. Desative uma máscara Relay e o email volta para o vazio.

A pegadinha com aliases é fricção. Você precisa do serviço à mão no signup, respostas são encaminhadas através de um redirecionador, e o vendedor ocasional rejeita um domínio @icloud.com ou relay no checkout. Endereçamento com + é zero-configuração e funciona em qualquer lugar onde um + é permitido (e irritantemente, alguns formulários ainda rejeitam o +, tratando um endereço RFC 5233 válido como um erro de digitação).

Meu veredito: use etiquetas com + para classificar seu próprio email, onde a etiqueta é um recurso e ninguém está tentando derrotá-la. Use aliases reais em qualquer lugar onde você está entregando seu endereço a um estranho. O primeiro organiza sua vida. O segundo te diz exatamente quem o vendeu — e te deixa cortá-los sem mudar nada sobre como você faz login amanhã.