Artı İşareti Oyunu: Adresinizin Nerede Sızdığını Gösterir (Ama Kanıtlayamayacağı Şeyler)

you+homedepot@example.com olarak bir dükkâza kaydolun, you+ticketmaster@example.com olarak bir bilet sitesine kaydolun ve etiket kaldırılmadığı sürece, gelen her mektup hangi forma adresin yazıldığını söyleyen bir etiket taşır. Spam bu etiketlerden birine gelmeye başladığında adresin nerede dolaşıma girdiğini tahmin etmiyor olmazsınız. Bunu zarftan okuyorsunuz.

Mekanizm eski ve belgelenmiştir. Alt adres verme — bir ayırıcı karakterden (genellikle +) sonra adresin yerel kısmına bir "detay" ekleme — Ocak 2008'de yayınlanan RFC 5233'te açıklanmıştır ve ken+sieve@example.org adresine gönderilen postaların ken kullanıcısına ait bir posta kutusuna gitmesini örnek olarak verir. Gmail davranışı kendi yardımında belgelenmiştir: "Gmail diğer adınızı kullanarak filtrele" başlığı altında "şu diğer adlara gönderilen mesajlar tümü janedoe@gmail.com adresine gidecek" ve sonra janedoe+school@gmail.com, janedoe+notes@gmail.com ve janedoe+important.emails@gmail.com adreslerini listeler. Bir posta kutusu, icat etmek istediğiniz kadar çok etiketli varyasyon, kurulum yok.

İşte normalde fazla satılan ve bu makalenin ilk sürümü de dahil olmak üzere satılan kısım. Bir etiket giriş noktasını tanımlar. Bir suçluyu tanımlamaz. Tam olarak bir dükkâza verilen adres kripto spam almaya başlarsa, kurulan şey adresin o kayıt yoluyla geniş pazara ulaştığıdır — ve bu gerçekten yararlıdır. Kurulan şey nasıl olduğu değildir. Dükkân bir listeyi satmış olabilir. Kendi gizlilik politikasının izin verdiği şekilde paylaşmış olabilir. Bunu bir işlemciye, yerine getirilme ortağına veya daha sonra ihlal edilen bir pazarlama platformuna geçirmiş olabilir. İhlal dükkânda veya üç tedarikçi sonrasında olmuş olabilir. Adres, abonenin kendi cihazından veya posta kutusundan sızmış olabilir. Birisi deseni çıkarmış olabilir — bir saldırgan you+petco@ gördüğünde you+anything-else@ şekli tahmin etmesi kolay değildir ve etiketler bazen iletilen bir mesajdan doğrudan kopyalanır. "Bu kayıt yoluyla dışarı çıktı" geçerli bir sonuçtur. "Bu şirket beni satıp çıkardı" farklı bir iddiadır ve bir etiket bunun kanıtı değildir.

Oyunla birlikte iki pratik sınır gelir. Birincisi standart içindedir: detayın kodlanma biçimi RFC 5233'ün sözleriyle "siteye ve/veya uygulamaya özeldir." Belirli bir sağlayıcının + destekleyeceğine, bunu ayırıcı olarak işleyeceğine veya belirli bir kayıt formunun karakteri kabul edeceğine dair bir garanti yoktur; adresleri dar şekilde doğrulayan formlar bunu reddeder ve adresi daha sonra işleyen her şey bunu kırpabilir. İkincisi, etiket bozulduktan sonra neler yapabileceğidir. to: you+petco@… üzerine bir filtre o postaların gelen kutusuna ulaşmasını durdurur. Kimsenin veritabanından adresi kaldırmaz ve bunun daha da ileri traded olmasını durdurabilir. Alma ucunda sınırlandırmadır, fazla bir şey değildir.

Abonelikten çıkış, bu yanlış anlayışın diğer yarısıdır. Tek tıklamalı abonelikten çıkış bir nezaket değildir; yüksek hacimli göndericiler için bir gerekliliktir. Google'ın göndericiler için rehberi, Gmail hesaplarına günde 5.000 veya daha fazla mesaj gönderenlere "pazarlama mesajları ve abone mesajları tek tıklamalı abonelikten çıkmayı desteklemeli" ve "mesaj gövdesinde açıkça görünen abonelikten çıkma bağlantısı içermeli" ve spam oranlarını "0.10% altında" tutmalı ve asla "0.30% veya daha yüksek" olmamalı söyler. Yahoo'nun Gönderici Hub'ı çalışan bir List-Unsubscribe başlığı ve görünür bir bağlantı gerektirir, abonelikten çıkma istekleri iki gün içinde yerine getirilir. Bu mekanizmin tam olarak ne kadar ileri gittiğini söyler: Gmail ve Yahoo'ya postaların teslim edilmesini isteyen göndericilere karşı uygulanır. Hiçbir zaman uyum sağlamayı amaçlamayan bir göndericisi bu sistem tamamen dışında ve nazikçe bunu durdurmasını istemek sizin tuttuğunuz bir kontrol değildir.

Gerçek adresle güvenmeyen kayıtlar için Apple sık sık birleştirilen iki ayrı şey sunar. Birincisi iCloud+ Hide My Email'dir ve bir iCloud+ aboneliği gerektirir: "iCloud+'ya abone olduğunuzda" "benzersiz, rastgele e-posta adresleri oluşturabilir," "rastgele adreslerinize gönderilen posta kişisel e-posta hesabınıza iletilir," "ihtiyaç duyduğunuz kadar çok adres oluşturabilir" ve "artık kullanmadığınız adresleri devre dışı bırakabilir veya silebilirsiniz." Devre dışı bırakma tersine çevrilebilir; silme, Apple belirtir, değildir. İkincisi Sign in with Apple'dır ve burada Apple Hesabı ile bir uygulamada oturum açmak, kendi bilgilerinizi teslim etmek yerine privaterelay.appleid.com etki alanında bir aktarma adresi verebilir; aktarmanın iletildiği adresi değiştirmek kendi başına bir iCloud+ özelliğidir. Her ikisi de göndericiye şeritler veya kazımaları için bir şey vermeyi önler, çünkü gerçek adrese yapıştırılmış görünür bir etiket yoktur — ama bunlar farklı özelliklerdir, farklı gereksinimleri vardır ve ad ile sormaya değer.

Tüm bunun arkasındaki ölçek kontrol etmek kolay ve adı koyarak alıntı yapmak yerine kontrol etmeye değerdir. Have I Been Pwned'in ön sayfası, 20 Ekim 2026'da okunduğunda, 1.047 saldırıya uğramış web sitesi arasında 17.846.550.965 saldırıya uğramış adresi göstermiştir. Bunlar, projenin yüklediği ihlallerde görünen adreslerdir, hesaplar değildir ve hiçbir zaman gerçekleşmiş her ihlalin sayısı değildir. Etiketleme bir adresi sonrakinden uzak tutmaz. Yaptığı şey, anonim bir seldörünü etiketli posta haline getirmektir, böylece bir şey ters gittiğinde hangi kapıdan geldiğini bilirsiniz — ve bunun neler yaptığı ve yapmadığı hakkında kendinize dürüst olun.

Düzeltme, 20 Ekim 2026. Bu makalenin daha önceki bir sürümü birinci kişi şeklinde yazılmıştı ve etiketli adreslerin veri aracısı dumplarında görünmesinin kişisel gözlemlerini açıklamıştı. Makalenin tanımlanmış bireysel yazarı yoktur — xmail tarafından bir kuruluş olarak yayınlanır — ve bu hesap doğrulanabilir değildi, bu nedenle nötr, tekrarlanabilir bir senaryo olarak yeniden yazılmıştır. Etiketli bir adresin "tam olarak bir şüpheli" bıraktığı ve adresi satın alan şirketi adlandıran iddiası düzeltildi: bir etiket giriş noktasını tanımlar, bir suçluyu veya işlemi değildir. Gmail'in 2008'den beri artı adreslemesini desteklediği yönündeki bir açıklama kaldırıldı, çünkü Google'ın belgeleri başlangıç tarihi vermez; 2008 tarihi şimdi kuralın belirtildiği RFC 5233'e atıfta bulunur. Have I Been Pwned figürü, daha önce binlerce ihlal arasında 14 milyardan fazla güvenliği ihlal edilmiş hesap olarak verilmişti, sitenin kendi sayaçlarıyla 20 Ekim 2026'da okunduğu şekilde değiştirildi. Apple'ın aktarma adresleri açıklaması iCloud+ Hide My Email ve Sign in with Apple'a bölündü, bunlar farklı gereksinimleri olan ayrı özelliklerdir ve Gmail davranışı için alıntı artık bunu gerçekten belgeleyen yardım sayfasına işaret eder. Abonelikten çıkma bağlantılarının sık sıra kimlik avı yemi olduğu yönündeki bir iddia bir kaynak eksikliği nedeniyle kaldırıldı.