Трюк со знаком плюс: как узнать, откуда утекал ваш адрес (и что он не может доказать)

Зарегистрируйтесь в магазине как you+homedepot@example.com и на сайте билетов как you+ticketmaster@example.com, и до тех пор, пока никто не удалит метку, каждое письмо, которое приходит, несёт этикетку, указывающую, в какую форму был введён адрес. Когда спам начинает приходить на одну из этих меток, вы не гадаете о том, где адрес попал в обращение. Вы читаете это прямо с конверта.

Этот механизм старый и документирован. Субадресация — присоединение какого-то «уточнения» к локальной части адреса после символа-разделителя, обычно + — описана в RFC 5233, опубликованном в январе 2008 года, где приводится пример письма на ken+sieve@example.org, поступающего в почтовый ящик пользователя ken. Gmail документирует это поведение в своей справке: в разделе «Фильтрация с помощью псевдонима Gmail» указано, что «сообщения, отправленные на следующие псевдонимы, будут поступать на janedoe@gmail.com», а затем перечислены janedoe+school@gmail.com, janedoe+notes@gmail.com и janedoe+important.emails@gmail.com. Один почтовый ящик, столько же помеченных вариантов, сколько вы захотите придумать, никакой настройки.

Вот часть, которая обычно преувеличивается, включая в первую версию этой статьи. Метка определяет точку входа. Она не определяет виновника. Если адрес, выданный ровно одному магазину, начинает получать крипто-спам, то доказано, что адрес попал на более широкий рынок через эту регистрацию — и это действительно полезно. Что не доказано — это как. Магазин мог продать список. Он мог поделиться им способом, который разрешает его собственная политика конфиденциальности. Он мог передать его процессору, партнёру по исполнению или маркетинговой платформе, которая была затем взломана. Взлом мог произойти в магазине или у трёх поставщиков ниже по цепи. Адрес мог утечь с устройства или почтового ящика самого подписчика. Кто-то мог угадать логику — как только злоумышленник видит you+petco@, форма you+anything-else@ не сложна для угадывания, и метки иногда копируются прямо из переправленного сообщения. «Эта регистрация — вот откуда это вышло» — это обоснованный вывод. «Эта компания меня выдала» — это другое утверждение, и метка не является доказательством для этого.

С этим трюком связаны два практических ограничения. Первое в самом стандарте: способ кодирования уточнения является, по словам RFC 5233, «зависящим от сайта и/или реализации». Нет гарантии, что данный поставщик поддерживает +, рассматривает его как разделитель или что данная форма регистрации вообще примет этот символ; формы, которые узко проверяют адреса, отклоняют его, и всё, что обрабатывает адрес позже, может его обрезать. Второе — это то, что метка может сделать, когда она испортится. Фильтр на to: you+petco@… не позволяет этой почте попасть в папку входящих. Это не удаляет адрес из чьей-либо базы данных и не останавливает его дальнейшую торговлю. Это сдерживание на приёмном конце, ничего больше.

Отписка — это другая половина этого неправильного понимания. Отписка в один клик — это не вежливость; для отправителей с большим объёмом это требование. Руководство отправителей Google говорит отправителям 5000 или более сообщений в день на учётные записи Gmail, что «маркетинговые сообщения и подписанные сообщения должны поддерживать отписку в один клик» и должны «включать чётко видимую ссылку отписки в теле сообщения», одновременно сохраняя уровень спама «ниже 0,10%» и никогда не достигая «0,30% или выше». Yahoo Sender Hub требует работающего заголовка List-Unsubscribe плюс видимую ссылку, при этом запросы на отписку выполняются в течение двух дней. Это показывает вам ровно то, насколько далеко распространяется этот механизм: он применяется к отправителям, которые хотят, чтобы их почта доставлялась на Gmail и Yahoo. Отправитель, который никогда не намеревался соблюдать требования, находится полностью вне этой системы, и вежливая просьба ему остановиться — это не контроль, который вы удерживаете.

Для регистраций, которым вы не доверяете с реальным адресом вообще, Apple предлагает две отдельные вещи, которые часто путают. Первая — это iCloud+ Hide My Email, которая требует подписки iCloud+: «когда вы подписываетесь на iCloud+», вы можете «генерировать уникальные, случайные адреса электронной почты», «почта, отправленная на ваши случайные адреса, перенаправляется на ваш личный адрес электронной почты», «вы можете создать столько адресов, сколько вам нужно», и «вы также можете деактивировать или удалить адреса, которые вам больше не нужны». Деактивация обратима; удаление, как отмечает Apple, необратимо. Второе — это Sign in with Apple, где вход в приложение с помощью Apple Account может выдать адрес-ретранслятор в домене privaterelay.appleid.com вместо передачи вашего собственного; изменение адреса, на который ретранслятор перенаправляет, — это само по себе функция iCloud+. Оба варианта избегают передачи отправителю чего-то, что можно удалить или скрейпить, потому что нет видимой метки, прикрепленной к реальному адресу — но это разные функции, с разными требованиями, и их стоит просить по названию.

Масштабы всего этого легко проверить и стоит проверить, чем цитировать по памяти. На главной странице Have I Been Pwned, прочитанной 20 октября 2026 года, показано 17,846,550,965 взломанных адресов на 1,047 взломанных веб-сайтах. Это адреса, появляющиеся в утечках, которые проект загрузил, а не взломанные учётные записи, и не подсчёт каждого взлома, который когда-либо произошёл. Таговая разметка не защищает адрес от следующей утечки. Что она делает — это превращает анонимный поток в помеченную почту, так что когда что-то идёт не так, вы знаете, через какую дверь это произошло — и честно себе признаёте, что это доказывает и что не доказывает.

Поправка от 20 октября 2026 года. Ранняя версия этой статьи была написана от первого лица и описывала личные наблюдения помеченных адресов, появляющихся в свалках брокеров данных. Статья не имеет установленного автора-個人 — она опубликована xmail как организация — и этот рассказ не мог быть подтверждён, поэтому он был переписан как нейтральный, воспроизводимый сценарий. Утверждение о том, что помеченный адрес оставляет «ровно одного подозреваемого» и называет компанию, которая продала адрес, было исправлено: метка определяет точку входа, а не виновника или транзакцию. Утверждение о том, что Gmail поддерживает добавление плюса с 2008 года, было удалено, так как документация Google не даёт даты начала; дата 2008 года теперь относится к RFC 5233, где конвенция указана. Данные Have I Been Pwned, ранее указанные как более 14 миллиардов взломанных учётных записей на тысячах взломов, были заменены собственными счётчиками сайта, прочитанными 20 октября 2026 года. Описание адресов-ретрансляторов Apple было разделено на iCloud+ Hide My Email и Sign in with Apple, которые являются отдельными функциями с разными требованиями, и ссылка на поведение Gmail теперь указывает на страницу справки, которая это действительно документирует. Утверждение о том, что ссылки на отписку часто являются приманкой для фишинга, было удалено из-за отсутствия источника.