Plus-tecknet som visar var din adress läckte (och vad det inte kan bevisa)

Registrera dig på en butik som du+homedepot@exempel.se och på en biljettplats som du+ticketmaster@exempel.se, och så länge som inget tar bort taggen bär varje mejl som anländer en etikett som säger vilken blankett adressen skrevs in i. När spam börjar komma till en av dessa taggar gissar du inte om var adressen började cirkulera. Du läser det på kuvertet.

Mekanismen är gammal och väldokumenterad. Subadressering — att lägga till någon "detalj" till den lokala delen av en adress efter ett separatortecken, vanligtvis + — beskrivs i RFC 5233, publicerad i januari 2008, som ger exemplet med mejl till ken+sieve@example.org som landar i en brevlåda som tillhör användaren ken. Gmail dokumenterar beteendet i sin egen hjälp: under "Filter using your Gmail alias" säger det att "messages sent to the following aliases will all go to janedoe@gmail.com," och listar sedan janedoe+school@gmail.com, janedoe+notes@gmail.com och janedoe+important.emails@gmail.com. En brevlåda, så många märkta variationer som du vill uppfinna, ingen installation krävs.

Här kommer delen som vanligtvis överförsäljs, även i den första versionen av denna artikel. En tagg identifierar en inmatningspunkt. Den identifierar inte en skyldighet. Om en adress som gavs till exakt en butik börjar ta emot kryptospam, är det etablerat att adressen nådde den större marknaden genom denna registrering — och det är verkligen användbart. Det som inte är etablerat är hur. Butiken kan ha sålt en lista. Den kan ha delat den på ett sätt som dess egen integritetspolicy tillåter. Den kan ha skickat den till en processor, en uppfyllnadepartner eller en marknadsföringsplattform som sedan sattes under attack. Intrånget kan ha varit på butiken, eller tre leverantörer längre bort. Adressen kan ha läckt från prenumerantens egen enhet eller brevlåda. Någon kan ha härledd mönstret — när en angripare väl har sett du+petco@, är formen på du+vad-som-helst@ inte svår att gissa, och taggar kopieras ibland rakt ur ett vidarebefordrat meddelande. "Den här registreringen är där det läckte" är en rimlig slutsats. "Det här företaget sålde mig" är ett annat påstående, och en tagg är inte bevis för det.

Två praktiska begränsningar följer med tricket. Den första ligger i standarden själv: hur detaljen kodas är, enligt RFC 5233:s ord, "site and/or implementation specific." Det finns ingen garanti för att en given leverantör stöder +, behandlar det som en separator, eller att en given registreringsformulär överhuvudtaget accepterar tecknet; formulär som validerar adresser strikt avvisar det, och allt som bearbetar adressen senare kan trimma det. Den andra är vad taggen kan göra när den blivit dålig. Ett filter på to: du+petco@… stoppar det mejlet från att nå inkorgen. Det tar inte bort adressen från någons databas, och det stoppar den inte från att handlas vidare. Det är inneslutning på mottagarsidan, inget mer.

Att avsluta prenumerationen är den andra hälften av det missförståndet. Enklicksavprenumeration är inte en artighet; för avsändare av höga volymer är det ett krav. Googles riktlinjer för avsändare säger att avsändare av 5 000 eller fler meddelanden per dag till Gmail-konton måste "marketing messages and subscribed messages must support one-click unsubscribe" och måste "include a clearly visible unsubscribe link in the message body," samtidigt som spamfrekvensen hålls "below 0.10%" och aldrig når "0.30% or higher." Yahoos Sender Hub kräver en fungerande List-Unsubscribe-rubrik plus en synlig länk, där avprenumerationsbegäranden måste uppfyllas inom två dagar. Det säger exakt hur långt mekanismen når: den tillämpas mot avsändare som vill att deras mejl ska levereras till Gmail och Yahoo. En avsändare som aldrig hade för avsikt att följa reglerna ligger helt utanför det systemet, och att be den poliskt att sluta är inte en kontroll du har.

För registreringar du inte litar på att ge en riktig adress till erbjuder Apple två separata saker som ofta blandas ihop. Det första är iCloud+ Hide My Email, som kräver en iCloud+-prenumeration: "when you subscribe to iCloud+," kan du "generate unique, random email addresses," "mail sent to your random addresses is forwarded to your personal email account," "you can create as many addresses as you need," och "you can also deactivate or delete addresses you no longer use." Deaktivering är reversibel; borttagning är, noterar Apple, inte det. Det andra är Sign in with Apple, där inloggning på en app med ett Apple-konto kan utfärda en relay-adress i domänen privaterelay.appleid.com istället för att överlämna din egen; att ändra adressen som relay vidarebefordrar till är i sig en iCloud+-funktion. Båda undviker att ge avsändaren något att ta bort eller skrapa, eftersom det inte finns någon synlig tagg fastsatt på en riktig adress — men de är olika funktioner, med olika krav, och de är värda att fråga efter vid namn.

Omfattningen bakom allt detta är lätt att kontrollera och värd att kontrollera istället för att citera från minnet. Have I Been Pwned:s förstasida, läst den 20 oktober 2026, visade 17 846 550 965 komprometterade adresser på 1 047 komprometterade webbplatser. Det är adresser som visas i intrång som projektet har läst in, inte konton som komprometterats, och inte en räkning av vartenda intrång som någonsin hänt. Taggning håller inte en adress borta från nästa. Det det gör är att förvandla en anonym översvämning till märkt mejl, så att när något går fel vet du vilken dörr det kom genom — och är ärlig med dig själv om vad det gör och inte gör för att bevisa.

Rättelse, 20 oktober 2026. En tidigare version av denna artikel skrevs i första person och beskrev personliga observationer av taggade adresser som förekommer i datamäklarudgiftningar. Artikeln har ingen identifierad enskild författare — den publiceras av xmail som en organisation — och det kontot kunde inte styrkas, så det har omskrivits som ett neutralt, reproducerbart scenario. Påståendet att en taggad adress lämnar "exactly one suspect" och namnger företaget som sålde adressen har rättats: en tagg identifierar en inmatningspunkt, inte en skyldighet eller en transaktion. Ett uttalande om att Gmail har stött plus-adressering sedan 2008 har tagits bort, eftersom Googles dokumentation ger inget startdatum; 2008-datumet hänvisar nu till RFC 5233, där konventionen anges. Have I Been Pwned-siffran, tidigare angiven som mer än 14 miljarder komprometterade konton på tusentals intrång, har ersatts med webbplatsens egna räknare som läst den 20 oktober 2026. Beskrivningen av Apples relay-adresser har delats upp i iCloud+ Hide My Email och Sign in with Apple, som är separata funktioner med olika krav, och citering för Gmails beteende pekar nu på hjälpsidan som faktiskt dokumenterar det. Ett påstående om att avprenumerationslänkar ofta är phishing-bete har tagits bort för avsaknad av källa.