Трюк зі знаком плюс, який показує, де витекла ваша адреса (і що він не може довести)

Зареєструйтеся в магазині як you+homedepot@example.com і на сайті квитків як you+ticketmaster@example.com, і поки ніщо не видаляє позначку, кожен лист, який прибуває, несе на собі мітку, яка говорить, у яку форму була введена адреса. Коли спам починає надходити на одну з цих позначок, ви не гадаєте про те, де адреса потрапила в обіг. Ви читаєте це прямо з конверта.

Цей механізм старий і задокументований. Підадресування — приєднання якоїсь «деталі» до локальної частини адреси після символу-розділювача, зазвичай + — описано в RFC 5233, опублікованому в січні 2008 року, де наведено приклад листа на адресу ken+sieve@example.org, який потрапляє до поштової скриньки користувача ken. Gmail задокументував цю поведінку у своїй довідці: у розділі «Filter using your Gmail alias» зазначено, що «messages sent to the following aliases will all go to janedoe@gmail.com», а потім перелічено janedoe+school@gmail.com, janedoe+notes@gmail.com та janedoe+important.emails@gmail.com. Одна поштова скринька, стільки позначених варіацій, скільки вам потрібно, жодного налаштування.

Ось частина, яка зазвичай переоцінюється, включно з першою версією цієї статті. Позначка визначає точку входу. Вона не визначає винуватця. Якщо адреса, надана рівно одному магазину, починає отримувати спам із крипто, то це встановлює, що адреса потрапила на ширший ринок через цю реєстрацію — і це справді корисно. Що не встановлено, так це як саме. Магазин міг продати список. Він міг поділитися цим способом, який його власна політика конфіденційності дозволяє. Він міг передати його процесору, партнеру з виконання замовлень або маркетинговій платформі, яка пізніше зазнала взлому. Взлом міг статися в магазині або в трьох постачальниках далі. Адреса могла витекти з пристрою або поштової скриньки самого підписника. Хтось міг вгадати закономірність — коли атакуючий побачив you+petco@, форма you+anything-else@ неважко здогадатися, а позначки іноді копіюються прямо з пересланого листа. «Цією реєстрацією вийшло» — це звучний висновок. «Ця компанія мене видала» — це інша претензія, і позначка не є доказом для неї.

Трюк має два практичних обмеження. Перше — у самому стандарті: як кодується деталь, за словами RFC 5233, є «site and/or implementation specific». Немає гарантії, що даний провайдер підтримує +, розглядає його як розділювач, або що форма реєстрації взагалі прийме цей символ; форми, які жорстко перевіряють адреси, його відхиляють, а все, що обробляє адресу пізніше, може її обрізати. Друге — те, що позначка може зробити, коли вона розчахнулась. Фільтр на to: you+petco@… не дозволяє такій пошті потрапити до вхідної папки. Це не видаляє адресу з жодної бази даних і не заважає їй торгуватися далі. Це стримування на приймаючому кінці, нічого більше.

Відписування — це інша половина цього непорозуміння. Відписування одним кліком — це не люб'язність; для відправників великого обсягу це вимога. Рекомендації Google для відправників про те, щоб розсилати 5000 або більше повідомлень на день на облікові записи Gmail, говорять, що «marketing messages and subscribed messages must support one-click unsubscribe» і повинні «include a clearly visible unsubscribe link in the message body», одночасно тримаючи рівень спаму «below 0.10%» і ніколи не досягаючи «0.30% or higher». Yahoo Sender Hub вимагає робочого заголовка List-Unsubscribe плюс видиме посилання, з дотриманням запитів на відписування протягом двох днів. Це говорить вам рівно про те, наскільки далеко цей механізм сягає: він застосовується до відправників, які хочуть, щоб їхня пошта доставляла до Gmail та Yahoo. Відправник, який ніколи не мав наміру дотримуватися цього, перебуває поза цією системою цілком, і ввічливе прохання зупинитися — це не контроль, який ви маєте.

Для реєстрацій, яким ви не довіряєте справжньою адресою взагалі, Apple пропонує дві окремі речі, які часто змішуються. Перша — iCloud+ Hide My Email, яка вимагає підписку iCloud+: «when you subscribe to iCloud+», ви можете «generate unique, random email addresses», «mail sent to your random addresses is forwarded to your personal email account», «you can create as many addresses as you need», а «you can also deactivate or delete addresses you no longer use». Деактивація обернена; видалення, як зазначає Apple, ні. Друга — Sign in with Apple, де вхід у програму з обліковим записом Apple може видати адресу реле в домені privaterelay.appleid.com замість того, щоб передавати вашу власну; зміна адреси, на яку реле перенаправляє, сама по собі є функцією iCloud+. Обидві уникають передачі відправнику чогось, що він може видалити або скопіювати, тому що немає видимої позначки, прибитої до справжньої адреси — але це різні функції з різними вимогами, і їх варто запитувати за назвою.

Масштаб всього цього легко перевірити, і варто перевірити, а не цитувати по пам'яті. Головна сторінка Have I Been Pwned, переглянута 20 жовтня 2026 року, показала 17,846,550,965 скомпрометованих адрес на 1,047 скомпрометованих веб-сайтах. Це адреси, що з'являються в порушеннях, які проект завантажив, не скомпрометовані облікові записи, і не підрахунок кожного порушення, яке коли-небудь сталося. Позначення не утримує адресу від наступного. Те, що вона робить, це перетворює анонімний потік у позначену пошту, так що коли щось йде не так, ви знаєте, яким дверима вона увійшла — і чесно визнаєте собі, що це робить і чого це не доводить.

Виправлення, 20 жовтня 2026 року. Більш ранню версію цієї статті було написано від першої особи і описано особисті спостереження позначених адрес, що з'являються в дампах даних брокерів. Стаття не має визначеного окремого автора — вона публікується xmail як організацією — і цей звіт не можна було підтвердити, тому його переписано як нейтральний, відтворюваний сценарій. Твердження про те, що позначена адреса залишає «exactly one suspect» і називає компанію, яка продала адресу, було виправлено: позначка визначає точку входу, не винуватця або угоду. Твердження про те, що Gmail підтримує плюс-адресування з 2008 року, було видалено, оскільки документація Google не дає дати початку; дата 2008 року тепер посилається на RFC 5233, де визначена умовленість. Показник Have I Been Pwned, раніше наведений як понад 14 мільярдів скомпрометованих облікових записів на тисячах порушень, замінено власними лічильниками сайту, як прочитано 20 жовтня 2026 року. Опис адрес реле Apple розділено на iCloud+ Hide My Email та Sign in with Apple, які є окремими функціями з різними вимогами, а цитування для поведінки Gmail тепер вказує на сторінку довідки, яка її насправді задокументовує. Твердження про те, що посилання для відписування часто є фішингом, було видалено через відсутність джерела.