加号标记技巧：显示你的地址在哪里泄露了（以及它无法证明什么）

以 you+homedepot@example.com 的名义注册商店，以 you+ticketmaster@example.com 的名义注册购票网站，只要标签没有被删除，你收到的每封邮件都会带有一个标签，说明地址是输入到哪个表单中的。当垃圾邮件开始进入其中一个标签时，你不是在猜测地址是在哪里进入流通的。你是在信封上读到它。

这种机制很古老，有文档记载。子寻址——在通常为 + 的分隔符后面将某个"细节"附加到地址的本地部分——在2008年1月发布的RFC 5233中有描述，它举例说邮件发送到 ken+sieve@example.org 会进入用户 ken 的邮箱。Gmail在自己的帮助中记录了这种行为：在"使用你的Gmail别名过滤"下，它说"发送到以下别名的邮件都会进入janedoe@gmail.com"，然后列出 janedoe+school@gmail.com、janedoe+notes@gmail.com 和 janedoe+important.emails@gmail.com。一个邮箱，尽可能多的带标签变体，无需设置。

这就是通常被过度宣传的部分，包括本文的第一个版本。标签标识了一个入口点。它不标识罪魁祸首。如果一个只给过一家店铺的地址开始收到加密货币垃圾邮件，那么已经确定的是该地址通过那个注册进入了更广泛的市场——这确实很有用。但尚未确定的是方式。这家店铺可能出售了列表。它可能以其隐私政策允许的方式进行了分享。它可能将其传递给了一个处理器、履行伙伴或营销平台，而该平台后来遭到了入侵。入侵可能发生在店铺，也可能发生在下游三个供应商处。地址可能从订阅者自己的设备或邮箱泄露。有人可能推断出了这种模式——一旦攻击者看到 you+petco@，you+anything-else@ 的形式就不难猜测了，标签有时直接从转发的邮件中复制出来。"这个注册是它泄露出来的地方"是一个合理的结论。"这家公司出卖了我"是一个不同的声明，标签不是它的证据。

该技巧伴随着两个实际限制。第一个在标准本身中：根据RFC 5233的说法，细节的编码方式是"特定于站点和/或实现的"。不能保证给定的提供商支持 +、将其视为分隔符，或者给定的注册表单是否会接受该字符；验证地址严格的表单会拒绝它，任何后来处理该地址的东西都可能会将其删除。第二个是标签变坏后能做什么。针对 to: you+petco@… 的过滤器可以阻止该邮件进入收件箱。它不会从任何人的数据库中删除该地址，也不会阻止它被进一步交易。这是接收端的遏制，仅此而已。

取消订阅是该误解的另一半。一键取消订阅不是一种礼貌；对于高容量发件人来说，它是一项要求。Google的发件人指南告诉每天向Gmail账户发送5,000条或以上邮件的发件人，"营销邮件和订阅邮件必须支持一键取消订阅"，并且必须"在邮件正文中包含明显可见的取消订阅链接"，同时保持垃圾邮件率"低于0.10%"，永远不要达到"0.30%或更高"。Yahoo的发件人中心要求有效的 List-Unsubscribe 标头加上可见链接，取消订阅请求在两天内得到尊重。这告诉你该机制的覆盖范围完全是什么：它对希望其邮件传递到Gmail和Yahoo的发件人强制执行。从未打算遵守的发件人完全在该系统之外，礼貌地要求他停止不是你持有的控制权。

对于你不信任使用真实地址的注册，Apple提供了两种经常被混淆的独立功能。第一个是iCloud+ Hide My Email，它需要iCloud+订阅："当你订阅iCloud+时"，你可以"生成唯一的随机电子邮件地址"，"发送到你的随机地址的邮件被转发到你的个人电子邮件账户"，"你可以创建尽可能多的地址"，以及"你也可以停用或删除你不再使用的地址"。停用是可逆的；Apple指出删除则不是。第二个是Sign in with Apple，其中使用Apple账户登录应用可以在 privaterelay.appleid.com 域中颁发中继地址，而不是交出你自己的；更改该中继转发到的地址本身是一项iCloud+功能。两者都避免了交给发件人某些可以删除或抓取的东西，因为没有粘贴在真实地址上的可见标签——但它们是不同的功能，有不同的要求，值得按名称请求。

这一切背后的规模很容易检查，值得检查而不是凭记忆引用。Have I Been Pwned的首页在2026年10月20日读取时，在1,047个已泄露网站中显示了17,846,550,965个已泄露地址。这些是在项目加载的入侵中出现的地址，不是被入侵的账户，也不是曾经发生过的每次入侵的计数。标签不会让地址远离下一次入侵。它所做的是将匿名洪流转变为带标签的邮件，这样当出错时你知道它是从哪扇门进来的——并对此诚实了解它证明了什么和不证明什么。

更正，2026年10月20日。本文的早期版本以第一人称撰写，描述了对在数据代理转储中出现的带标签地址的个人观察。本文没有已识别的个人作者——它由xmail作为一个组织发布——该账户无法证实，因此已被改写为中立、可再现的场景。关于带标签地址留下"唯一一个嫌疑人"并命名出售地址的公司的声明已被更正：标签标识了一个入口点，而不是罪魁祸首或交易。关于Gmail自2008年以来支持加号寻址的声明已被移除，因为Google的文档没有给出开始日期；2008年的日期现在指的是RFC 5233，其中该约定被指定。Have I Been Pwned的数字（之前给出为超过14亿个已入侵账户，跨越数千个入侵）已被替换为该网站在2026年10月20日读取时的自己的计数器。Apple中继地址的描述已分为iCloud+ Hide My Email和Sign in with Apple，它们是不同的功能，有不同的要求，关于Gmail行为的引用现在指向实际记录它的帮助页面。关于取消订阅链接通常是网络钓鱼诱饵的声明已因缺乏来源而被移除。