Trucul cu plusul care arată de unde s-a scurs adresa ta (și ce nu poate dovedi)

Înregistrează-te la un magazin ca tu+homedepot@example.com și la un site cu bilete ca tu+ticketmaster@example.com, și atâta timp cât nimic nu șterge eticheta, fiecare mesaj care soseşte poartă o etichetă spunând în ce formular a fost introdusă adresa. Când spamul începe să ajungă pe una dintre acele etichete, nu mai ghicești de unde a intrat adresa în circulație. O citești direct pe plic.

Mecanismul este vechi și documentat. Subadresarea — atașarea unui „detaliu" la partea locală a unei adrese după un caracter separator, de obicei + — este descrisă în RFC 5233, publicat în ianuarie 2008, care dă exemplul mesajelor către ken+sieve@example.org ajungând în cutia poștală a utilizatorului ken. Gmail documentează comportamentul în propria sa documente: sub „Filter using your Gmail alias", se spune că „messages sent to the following aliases will all go to janedoe@gmail.com", apoi enumeră janedoe+school@gmail.com, janedoe+notes@gmail.com și janedoe+important.emails@gmail.com. O cutie poștală, atâtea variații etichetate cât îți dorești, fără configurație.

Iată partea care este de obicei supraestimată, inclusiv în prima versiune a acestui articol. O etichetă identifică un punct de intrare. Nu identifică un vinovat. Dacă o adresă dată exact unui singur magazin începe să primească spam cu criptomonede, ceea ce s-a stabilit este că adresa a ajuns pe piața mai largă prin acea înregistrare — și asta e cu adevărat folositor. Ceea ce nu s-a stabilit este cum. Magazinul ar fi putut vinde o listă. Ar fi putut s-o partajeze în modul în care propria sa politică de confidențialitate o permite. Ar fi putut s-o transmită unui procesor, unui partener de fulfillment sau unei platforme de marketing care a fost apoi breşuită. Breşa ar putea fi fost la magazin, sau trei furnizori mai jos. Adresa ar fi putut să se scurgă din dispozitivul sau cutia poștală propriului abonat. Cineva ar fi putut deduce modelul — odată ce un atacator a văzut tu+petco@, forma tu+orice-altceva@ nu e greu de ghicit, și etichetele sunt uneori copiate direct dintr-un mesaj transmis mai departe. „Această înregistrare este locul de unde s-a scurs" e o concluzie solidă. „Această companie m-a vândut" e o afirmație diferită, și o etichetă nu e dovadă pentru ea.

Două limite practice vin cu trucul. Prima este în standardul însuşi: modul în care detaliul este codat este, în cuvintele RFC 5233, „site and/or implementation specific". Nu există garanție că un anumit provider suportă +, îl tratează ca separator, sau că un anumit formular de înregistrare va accepta caracterul; formularele care validează adresele restrictiv îl respinge, și orice procesează adresa mai târziu o poate tăia. A doua este ceea ce eticheta poate face odată ce a mers prost. Un filtru pe to: tu+petco@… oprește acel mail să ajungă în inbox. Nu îndepărtează adresa din baza de date a nimănui, și nu o oprește să fie comercializată mai departe. E conținere pe capătul receptor, nimic mai mult.

Dezabonarea e cealaltă jumătate a neînțelegerii asta. Dezabonarea cu un singur clic nu e o curtoazie; pentru expeditorii cu volum mare e o cerință. Ghidurile de expeditor ale Google spun expeditorilor a 5.000 sau mai multor mesaje pe zi către conturi Gmail că „marketing messages and subscribed messages must support one-click unsubscribe" și trebuie să „include a clearly visible unsubscribe link in the message body", menținând ratele de spam „below 0.10%" și niciodată ajungând „0.30% or higher". Yahoo's Sender Hub cere un header List-Unsubscribe funcțional plus o legătură vizibilă, cu cererile de dezabonare onorate în termen de două zile. Ceea ce-ți spune exact cât ajunge mecanismul: e aplicat asupra expeditorilor care vor ca mailul lor să fie livrat la Gmail și Yahoo. Un expeditor care niciodată nu a intenționat să respecte este în afara acelui sistem în totalitate, și a-l ruga politicos să se oprească nu e o controlă pe care o deții.

Pentru înregistrări cărora nu le încredințezi deloc o adresă reală, Apple oferă două lucruri separate care sunt frecvent confundate. Primul este iCloud+ Hide My Email, care necesită un abonament iCloud+: „when you subscribe to iCloud+", poti „generate unique, random email addresses", „mail sent to your random addresses is forwarded to your personal email account", „you can create as many addresses as you need", și „you can also deactivate or delete addresses you no longer use". Dezactivarea e reversibilă; ștergerea, cum notează Apple, nu e. Al doilea este Sign in with Apple, unde intrarea într-o aplicație cu un Apple Account poate emite o adresă de releu în domeniul privaterelay.appleid.com în locul transmiterii a ta propria; schimbarea adresei căreia acea releu se redirecționează este ea însăși o caracteristică iCloud+. Ambele evită să dai expeditorului ceva de șters sau de răzuit, pentru că nu există etichetă vizibilă lipită pe o adresă reală — dar sunt caracteristici diferite, cu cerințe diferite, și merită cerate pe nume.

Scara din spatele tuturor acestora e ușor de verificat și merită verificată mai degrabă decât citată din memorie. Pagina de pornire Have I Been Pwned, citită pe 20 octombrie 2026, arăta 17.846.550.965 de adrese compromise pe 1.047 de site-uri compromise. Acestea sunt adrese care apar în breşe pe care proiectul le-a încărcat, nu conturi compromise, și nu un numărătoare a fiecărei breşe care a avut vreodată loc. Etichetarea nu ține o adresă departe de următoarea. Ceea ce face e transformă o inundație anonimă în mail etichetat, ca atunci când ceva merge prost să ştii care ușă a traversat — și să fii sincer cu tine însuți despre ceea ce asta face și ce nu.

Corectare, 20 octombrie 2026. O versiune anterioară a acestui articol a fost scrisă în persoana I și descrisă observații personale ale adreselor etichetate apărând în depozite de agenți de date. Articolul nu are niciun autor individual identificat — este publicat de xmail ca organizație — și acel cont nu a putut fi substanțiat, deci a fost rescris ca un scenariu neutru și reproducibil. Afirmația că o adresă etichetată lasă „exact un suspect" și numește compania care a vândut adresa a fost corectată: o etichetă identifică un punct de intrare, nu un vinovat sau o tranzacție. O declarație că Gmail a suportat plus-addressing din 2008 a fost eliminată, din moment ce documentația Google nu oferă niciun dată de start; data 2008 se referă acum la RFC 5233, unde convenția este specificată. Cifra Have I Been Pwned, anterior dată ca mai mult de 14 miliarde de conturi compromise pe mii de breşe, a fost înlocuită cu propriii contori ai site-ului cum sunt citiți pe 20 octombrie 2026. Descrierea adreselor de releu ale Apple a fost împărțită în iCloud+ Hide My Email și Sign in with Apple, care sunt caracteristici separate cu cerințe diferite, și citarea pentru comportamentul Gmail indică acum pagina de ajutor care de fapt o documentează. O afirmație că legăturile de dezabonare sunt adesea momeală de phishing a fost eliminată din lipsa unei surse.