Mẹo Dấu Cộng Cho Thấy Địa Chỉ Của Bạn Bị Rò Rỉ Ở Đâu (Và Những Gì Nó Không Thể Chứng Minh)

Đăng ký tài khoản tại một cửa hàng với tư cách you+homedepot@example.com và tại một trang web bán vé với tư cách you+ticketmaster@example.com, và miễn là thẻ không bị xóa, mỗi thư đến đều mang một nhãn cho biết biểu mẫu nào là địa chỉ được nhập vào. Khi spam bắt đầu chuyển đến một trong những thẻ đó, bạn không phải đoán về nơi địa chỉ được phân phối. Bạn đọc nó trên phong bì.

Cơ chế này rất cũ và được ghi chép rõ. Subaddressing — đính kèm một số "chi tiết" vào phần cục bộ của một địa chỉ sau một ký tự phân tách, thường là + — được mô tả trong RFC 5233, xuất bản vào tháng một năm 2008, nó đưa ra ví dụ về thư gửi tới ken+sieve@example.org sẽ đến hộp thư của người dùng ken. Gmail ghi lại hành vi này trong tài liệu trợ giúp riêng: dưới "Lọc bằng cách sử dụng bí danh Gmail của bạn," nó nói rằng "các thư được gửi tới các bí danh sau đây sẽ tất cả đi tới janedoe@gmail.com," sau đó liệt kê janedoe+school@gmail.com, janedoe+notes@gmail.com và janedoe+important.emails@gmail.com. Một hộp thư, nhiều biến thể được gắn nhãn như bạn muốn tạo ra, không cần cài đặt.

Đây là phần thường bị quảng cáo quá mức, kể cả trong phiên bản đầu tiên của bài viết này. Một thẻ xác định một điểm vào. Nó không xác định một thủ phạm. Nếu một địa chỉ được cung cấp cho chính xác một cửa hàng bắt đầu nhận spam tiền điện tử, những gì đã được xác lập là địa chỉ đã vào thị trường rộng hơn thông qua lần đăng ký đó — và đó thực sự là hữu ích. Những gì không được xác lập là như thế nào. Cửa hàng có thể đã bán một danh sách. Nó có thể đã chia sẻ nó theo cách mà chính sách quyền riêng tư của nó cho phép. Nó có thể đã chuyển nó cho một bộ xử lý, một đối tác thực hiện đơn hàng hoặc một nền tảng tiếp thị mà sau đó bị vi phạm. Vi phạm có thể xảy ra tại cửa hàng, hoặc ba nhà cung cấp xuống dưới. Địa chỉ có thể bị rò rỉ từ thiết bị hoặc hộp thư của chính người đăng ký. Ai đó có thể đã suy ra mẫu — khi một kẻ tấn công đã thấy you+petco@, hình dạng của you+anything-else@ không khó để đoán, và các thẻ đôi khi được sao chép ngay từ một thư được chuyển tiếp. "Lần đăng ký này là nơi nó thoát ra" là một kết luận hợp lý. "Công ty này đã bán tôi" là một yêu cầu khác, và một thẻ không phải là bằng chứng cho nó.

Hai giới hạn thực tế đi kèm với mẹo này. Cái đầu tiên là trong chính tiêu chuẩn: cách mà chi tiết được mã hóa là, theo lời của RFC 5233, "cụ thể về trang web và/hoặc triển khai." Không có đảm bảo rằng một nhà cung cấp nhất định hỗ trợ +, coi nó là một bộ phân tách, hoặc rằng một biểu mẫu đăng ký nhất định sẽ chấp nhận ký tự này; các biểu mẫu xác thực địa chỉ một cách hạn chế sẽ từ chối nó, và bất cứ điều gì xử lý địa chỉ sau đó có thể cắt nó đi. Cái thứ hai là những gì thẻ có thể làm khi nó đã bị hỏng. Một bộ lọc trên to: you+petco@… ngăn thư đó đến hộp thư. Nó không loại bỏ địa chỉ khỏi cơ sở dữ liệu của bất kỳ ai, và nó không ngăn nó bị giao dịch thêm. Nó chỉ là chứa đựng ở phía nhận, không gì hơn.

Hủy đăng ký là nửa kia của sự hiểu lầm đó. Hủy đăng ký một cú nhấp chuột không phải là một phép lịch sự; đối với những người gửi có khối lượng cao, đó là một yêu cầu. Các hướng dẫn của Google cho những người gửi 5,000 hoặc nhiều hơn tin nhắn mỗi ngày tới các tài khoản Gmail nói rằng "các thư tiếp thị và các thư được đăng ký phải hỗ trợ hủy đăng ký một cú nhấp chuột" và phải "bao gồm một liên kết hủy đăng ký rõ ràng trong phần thân của thư," trong khi giữ tỷ lệ spam "dưới 0.10%" và không bao giờ đạt "0.30% hoặc cao hơn." Yahoo's Sender Hub yêu cầu một tiêu đề List-Unsubscribe hoạt động cộng với một liên kết hiển thị, với các yêu cầu hủy đăng ký được thực hiện trong vòng hai ngày. Điều này cho bạn biết chính xác cơ chế này có hiệu lực như thế nào: nó được thực thi với những người gửi muốn thư của họ được gửi tới Gmail và Yahoo. Một người gửi không bao giờ có ý định tuân thủ nằm hoàn toàn bên ngoài hệ thống đó, và hỏi nó lịch sự để dừng lại không phải là một kiểm soát mà bạn nắm giữ.

Đối với các lần đăng ký mà bạn không tin tưởng với một địa chỉ thực tế, Apple cung cấp hai điều riêng biệt thường bị nhầm lẫn. Cái đầu tiên là iCloud+ Hide My Email, yêu cầu một đăng ký iCloud+: "khi bạn đăng ký iCloud+," bạn có thể "tạo các địa chỉ email ngẫu nhiên duy nhất," "thư được gửi tới các địa chỉ ngẫu nhiên của bạn được chuyển tiếp tới tài khoản email cá nhân của bạn," "bạn có thể tạo bao nhiêu địa chỉ tùy ý," và "bạn cũng có thể vô hiệu hóa hoặc xóa các địa chỉ mà bạn không còn sử dụng." Vô hiệu hóa có thể đảo ngược; xóa, Apple lưu ý, thì không. Cái thứ hai là Sign in with Apple, nơi đăng nhập vào một ứng dụng bằng Tài khoản Apple có thể cấp một địa chỉ chuyển tiếp trong miền privaterelay.appleid.com thay vì trao địa chỉ của riêng bạn; việc thay đổi địa chỉ mà chuyển tiếp chuyển tiếp tới là chính nó một tính năng iCloud+. Cả hai tránh trao cho người gửi một cái gì đó để xóa hoặc cạo, vì không có thẻ hiển thị được ghép vào một địa chỉ thực tế — nhưng chúng là các tính năng khác nhau, với các yêu cầu khác nhau, và chúng đáng để hỏi bằng tên.

Quy mô đằng sau tất cả điều này rất dễ kiểm tra và đáng để kiểm tra thay vì trích dẫn từ bộ nhớ. Trang chủ của Have I Been Pwned, được đọc vào ngày 20 tháng 10 năm 2026, cho thấy 17,846,550,965 địa chỉ bị vi phạm trên 1,047 trang web bị vi phạm. Đó là những địa chỉ xuất hiện trong các vi phạm mà dự án đã tải, không phải tài khoản bị xâm phạm, và không phải là số của mọi vi phạm từng xảy ra. Gắn thẻ không giữ một địa chỉ ngoài lần vi phạm tiếp theo. Những gì nó làm là biến một dòng nước lũ vô danh thành thư được gắn nhãn, vì vậy khi có điều gì đó không ổn thì bạn biết nó đi qua cánh cửa nào — và thành thật với bạn về những gì nó chứng minh và không chứng minh.

Sửa lỗi, ngày 20 tháng 10 năm 2026. Phiên bản trước của bài viết này được viết dưới góc độ cá nhân và mô tả các quan sát cá nhân về các địa chỉ được gắn thẻ xuất hiện trong các bộ dữ liệu của nhà môi giới dữ liệu. Bài viết không có tác giả cá nhân được xác định — nó được xuất bản bởi xmail với tư cách là một tổ chức — và tài khoản đó không thể được xác thực, vì vậy nó đã được viết lại như một kịch bản trung lập, có thể lặp lại. Yêu cầu rằng một địa chỉ được gắn thẻ để lại "chính xác một nghi phạm" và đặt tên công ty đã bán địa chỉ đã được sửa chữa: một thẻ xác định một điểm vào, không phải một thủ phạm hoặc một giao dịch. Một tuyên bố rằng Gmail đã hỗ trợ địa chỉ plus kể từ năm 2008 đã bị xóa, vì tài liệu của Google không cung cấp ngày bắt đầu; ngày 2008 hiện tham chiếu đến RFC 5233, nơi quy ước được chỉ định. Con số Have I Been Pwned, trước đây được đưa ra là hơn 14 tỷ tài khoản bị xâm phạm trên hàng ngàn vi phạm, đã được thay thế bằng các bộ đếm của chính trang web khi đọc vào ngày 20 tháng 10 năm 2026. Mô tả về các địa chỉ chuyển tiếp của Apple đã được chia thành iCloud+ Hide My Email và Sign in with Apple, đây là các tính năng riêng biệt với các yêu cầu khác nhau, và trích dẫn cho hành vi của Gmail hiện trỏ tới trang trợ giúp thực sự ghi lại nó. Một yêu cầu rằng các liên kết hủy đăng ký thường là mồi nhử phishing đã bị xóa vì thiếu nguồn.