في 3 مايو 1978، أرسل غاري ثيرك (Gary Thuerk)، وهو مسوّق في شركة Digital Equipment Corporation، رسالة واحدة إلى عدة مئات من مستخدمي شبكة ARPANET دفعة واحدة، 393 مستخدمًا في معظم الروايات، يدعوهم فيها إلى حضور عروض لأجهزة الكمبيوتر الجديدة من DEC. اشتكى المستلمون، ووجّه القائمون على الشبكة توبيخًا إلى DEC. وتدرجها موسوعة غينيس للأرقام القياسية بوصفها أقدم رسالة إلكترونية مزعجة. ثم مضى نحو عقدين قبل أن يقدّم أحد للناس العاديين حلًا عمليًا من طرفهم هم.
جاء هذا الحل في صورة عنوان البريد القابل للتخلص منه، وظهر نحو عام 2000. كانت خدمة Spamgourmet تقدّم حينها عناوين تحويل تنتهي صلاحيتها تلقائيًا، ثم تبعتها Mailinator عام 2003 بصناديق عامة لا تحتاج إلى أي حساب. وتاريخ البريد القابل للتخلص منه هو في جوهره قصة الأسباب التي جعلت هذه الخدمات ضرورية: نظام بريد بُني على الثقة، وعنوان تحوّل إلى وسيلة لتسجيل الدخول، وتكلفة إرسال تكاد تساوي الصفر، فلم يكن بوسع الفلاتر والقوانين إلا أن تخفف الطوفان. وهذه الضغوط نفسها أنتجت لاحقًا الأسماء المستعارة، وما زالت ترسم ملامح ما سيأتي.
شبكة يمكن فيها العثور على الجميع
كانت الرسائل بين مستخدمي الكمبيوتر المشترك الواحد موجودة في ستينيات القرن الماضي. أما الخطوة التي تهمنا هنا فجاءت عام 1971، حين أرسل المهندس راي توملينسون (Ray Tomlinson) رسائل بين جهازين على ARPANET، وهي شبكة بحثية موّلتها وزارة الدفاع الأمريكية، واختار علامة @ للفصل بين اسم الشخص واسم الجهاز المضيف. وبحلول وقت رسالة ثيرك، كان البريد الإلكتروني من أكثر ما يُستخدم على الشبكة.
كان المستخدمون باحثين ومهندسين وموظفين حكوميين، وكان بوسعهم في الغالب أن يعرف بعضهم بعضًا. وقد انعكس هذا الواقع الاجتماعي على التصميم الهندسي نفسه. فحين نُشر SMTP في الوثيقة RFC 821 عام 1982، مع RFC 822 التي عرّفت ترويسات مثل From وTo وSubject، لم يكن فيه ما يطلب من المرسل إثبات أي شيء. وكان التبادل المبسّط بين خادمَي بريد يشبه كثيرًا ما هو عليه اليوم:
MAIL FROM:<anyone@example.com>RCPT TO:<reader@example.org>DATA
كان الخادم المستقبِل يصدّق ما يقوله المرسل دون تحقق. وعلى شبكة يمكن فيها فرض سياسة منع الإساءة بمكالمة هاتفية إلى مدير الشخص، كان هذا تصميمًا معقولًا. لكنه صار أصل تزوير المرسلين والتصيد والبريد الجماعي مجهول المصدر حين لم تعد تلك المكالمة ممكنة.
وجاءت القطعة الثانية عام 1986، حين وصفت الوثيقة RFC 974 كيف سيوجّه نظام أسماء النطاقات البريد باستخدام سجلات MX. ينشر النطاق سجلًا يسمّي الخوادم التي تستقبل بريده، ويستطيع أي مرسل الاطلاع عليه. وما زال كل صندوق بريد على الإنترنت يستقبل رسائله بهذه الطريقة، ولها نتيجة ستهمنا لاحقًا في هذه القصة: كل من يتحكم في نطاق يستطيع توجيه بريده إلى حيث يشاء، واستقبال الرسائل الموجهة إلى أي اسم في ذلك النطاق، دون إنشاء حساب واحد مسبقًا.
1994: الرسائل الجماعية تصل إلى عامة الناس
ظلت رسالة ثيرك مجرد طرفة زمنًا طويلًا، لأن ARPANET كانت تحظر الاستخدام التجاري ولم يكن عدد من يمكن الوصول إليهم كبيرًا. ومع مطلع التسعينيات، كانت كلمة «spam» قد انتشرت في المجتمعات الإلكترونية، استعارةً من مشهد كوميدي تتكرر فيه الكلمة حتى تطغى على كل حديث آخر.
أما الحادثة التي كشفت ما هو قادم فوقعت في 12 أبريل 1994. نشر محاميا هجرة من ولاية أريزونا، لورنس كانتر (Laurence Canter) ومارثا سيغل (Martha Siegel)، إعلانًا عن المساعدة في قرعة البطاقة الخضراء في آلاف مجموعات النقاش على Usenet. ثار مستخدمو Usenet غضبًا، وحين أعاد الاثنان الكرّة في وقت لاحق من ذلك العام، كتب أحد المبرمجين برنامجًا يلغي المنشورات تلقائيًا. ومضى الزوجان بعد ذلك إلى نشر كتاب عن كسب المال عبر الإنترنت، فلم يحسم الغضب الجدال بأي حال.
يحمل هذا التاريخ الصغير نمط الثلاثين عامًا التالية كاملًا. يكتشف المرسل أن الوصول إلى جمهور ضخم يكاد لا يكلف شيئًا. فيرد المتلقون بضغط المجتمع، ثم بالبرمجيات. فيغيّر المرسل أساليبه. ولا يملك القارئ الفرد أي رأي في الأمر حتى تظهر أداة تعمل من جهته.
البريد المجاني حوّل العنوان إلى وسيلة دخول
انطلقت خدمة Hotmail في 4 يوليو 1996، وYahoo Mail عام 1997. وأتاحت كلتاهما لأي شخص إنشاء عنوان في دقائق وقراءته من أي متصفح. وخلال سنوات قليلة بلغ عدد حسابات البريد المجاني عشرات الملايين، ولم يعد العنوان شيئًا تحصل عليه من جامعة أو جهة عمل.
ترتبت على ذلك ثلاثة أمور عزّز بعضها بعضًا. بدأت المواقع تستخدم عنوان البريد اسمًا للمستخدم، وقناةً لتأكيد الحسابات وإعادة تعيين كلمات المرور، فصار جزءًا من الهوية لا مجرد وسيلة للوصول إلى شخص ما. وتحولت العناوين إلى سلعة، تجمعها برامج تفحص صفحات الويب والمنتديات ومجموعات الأخبار بحثًا عن كل ما يشبه عنوانًا، وتُباع بالجملة في قوائم. ولأن إرسال مليون رسالة كان يكلف القليل جدًا، فإن نسبة استجابة أضأل بكثير مما يكفي للإعلان البريدي الورقي كانت تظل مربحة.
لجأ الناس إلى حلول مرتجلة. كتب بعضهم عنوانه علنًا بصيغة «name at example dot com» كي لا تلتقطه برامج الزحف. وفتح كثيرون حسابًا مجانيًا ثانيًا للتسجيلات فقط، يتفقدونه نادرًا ويتركونه يمتلئ بالقمامة. وهذه العادة الثانية هي الجد الحقيقي للبريد القابل للتخلص منه. فقد ضمّت كل الأفكار عدا الأتمتة: عنوان مهمته الوحيدة أن يتلقى الانكشاف، بعيدًا عن الصندوق المهم. أما نقطة ضعفها فكانت الصيانة، إذ كانت تتطلب تسجيلًا، وكلمة مرور تُحفظ، ومزوّدًا مستعدًا لإبقاء الحساب مفتوحًا.
بدأ المدافعون من الطرف المستقبِل
قبل أن تنتشر العناوين المؤقتة، انصب كل الجهد الجاد تقريبًا على إيقاف الرسائل المزعجة عند وصولها. وتبرز هنا أربعة أساليب، وما زال كل منها حيًا بشكل أو بآخر.
| الأسلوب | الفترة | طريقة عمله | أين قصّر |
|---|---|---|---|
| قوائم الحظر في DNS | أواخر التسعينيات: MAPS Realtime Blackhole List (1997)، وSpamhaus (1998) | تبحث خوادم البريد عن عنوان IP المتصل في قائمة منشورة بمصادر الرسائل المزعجة المعروفة | ينتقل المرسلون بين الشبكات، ويُدرج أحيانًا جيران أبرياء في القائمة |
| القواعد والكلمات المفتاحية | التسعينيات | تطابق الفلاتر كلمات وأنماطًا مشبوهة | تتجاوزها الأخطاء الإملائية المتعمدة والنصوص المخفية في الصور |
| الفلترة الإحصائية | اشتهرت بمقال بول غراهام (Paul Graham) عام 2002 «A Plan for Spam» | يتعلم فلتر بايزي مما يصنفه كل مستخدم على أنه مزعج أو غير مزعج | فعالة جدًا، لكنها لا تعمل إلا بعد إرسال البريد إليك |
| التحدي والاستجابة | نحو مطلع القرن | يتعين على المرسلين المجهولين إثبات أنهم بشر قبل التسليم | تزعج المراسلين الحقيقيين، وقد ترسل تحديات إلى عناوين مزوّرة |
وهاجمت فكرة خامسة الاقتصاد نفسه مباشرة. ففي عام 1992 اقترحت سينثيا دورك (Cynthia Dwork) وموني ناور (Moni Naor) إلزام الكمبيوتر بحل أحجية صغيرة مقابل كل رسالة، وهو ثمن تافه لرسالة واحدة ومدمّر لعشرة ملايين. وقدّم مشروع Hashcash الذي أطلقه آدم باك (Adam Back) عام 1997 نسخة عملية منها. لكنها لم تصبح شرطًا لإرسال البريد قط، لأنها كانت ستحتاج إلى أن يعتمدها كل خادم على وجه الأرض تقريبًا في وقت واحد، ولأن المجرمين كان بإمكانهم تسخير أجهزة الآخرين المخترقة لحل الأحاجي. ومع ذلك بقيت الفكرة حية في أماكن أخرى. فقد استشهدت Bitcoin لاحقًا بـHashcash، وتُستخدم اليوم حسابات صغيرة لإثبات العمل لكشف الروبوتات في صفحات الويب. ويستخدم VookMail واحدة منها في متصفح الزائر، وهكذا انتهى الأمر بفكرة 1992 بهدوء داخل سليل من الخدمات نفسها التي يتناولها هذا المقال.
بلغت الثقة ذروتها فترة من الزمن. ففي المنتدى الاقتصادي العالمي في يناير 2004، نقلت تقارير واسعة عن بيل غيتس توقعه أن تُحل مشكلة الرسائل المزعجة خلال عامين. وقد تحسنت الفلترة كثيرًا بالفعل، ولا يرى معظم الناس اليوم إلا جزءًا صغيرًا مما يُرسل إليهم. لكن للفلترة حدًا لا تعالجه أي نسبة دقة: فهي تبدأ بعد أن يصبح عنوانك معروفًا، والعنوان المدرج في قائمة يبقى مدرجًا. هذه الثغرة هي ما سعت إليه الأدوات التي تعمل من جهة المستخدم. فإذا لم يملك المرسل عنوانك الحقيقي قط، لم يبق ما يُفلتر.
أول العناوين المؤقتة
لم يخترع البريد القابل للتخلص منه شخص واحد. ظهرت عدة خدمات في غضون سنوات قليلة من بعضها، وحلّت كل منها المشكلة بطريقتها. وتستحق هذه الفروق النظر فيها، لأن كل منتج ظهر بعدها تقريبًا كان تنويعًا على واحدة منها.
Spamgourmet: العنوان الذي يعدّ الرسائل
قامت خدمة Spamgourmet، المتاحة منذ نحو عام 2000، على قاعدة أنيقة. تسجّل مرة واحدة، ثم تخترع عناوين في لحظتها كلما طلب منك نموذج عنوانًا، ويحوّل كل عنوان الرسائل إلى صندوقك الحقيقي لعدد محدد من الرسائل. تعطي موقعًا عنوانًا صالحًا لثلاث رسائل، وهي كافية للتأكيد، ثم يصمت بعدها. لم يكن هناك ما يحتاج إلى إدارة، ولم تكن مضطرًا إلى قراءة صندوق منفصل. أما الثمن فهو أنك ما زلت تملك حسابًا، وأن صندوقك الحقيقي ما زال قابعًا خلفه.
Mailinator: الصندوق الذي لا يملكه أحد
أزالت خدمة Mailinator، التي بدأها بول تايما (Paul Tyma) عام 2003 مشروعًا جانبيًا، كل ما يمكن إزالته. كان أي اسم مستخدم في نطاقها يعمل دون إنشائه مسبقًا. ولقراءة البريد، تكتب الاسم نفسه في الموقع. لا حسابات ولا كلمات مرور ولا تحويل، وتُمحى الرسائل القديمة تلقائيًا.
يستغل هذا التصميم ما ذكرناه آنفًا عن سجلات MX. فلأن مالك النطاق هو من يقرر كيف يُعامل بريده، كان بوسع الخادم قبول البريد لكل اسم ممكن، والتعامل مع كل اسم على أنه مجرد ملصق على كومة. وقد ذكر تايما لاحقًا أنه أبقى التكلفة منخفضة بحفظ البريد في الذاكرة في الغالب. ولفتت الخدمة الانتباه سريعًا: فقد كتب عنها جويل سبولسكي (Joel Spolsky) في مدونته في غضون أشهر من إطلاقها. كما فرضت طبيعتها المفتوحة حدًا ما زال ساريًا على هذا النوع من الخدمات. فالصندوق بلا كلمة مرور يقرؤه كل من يكتب اسمه، ولذلك يناسب البريد غير المهم ولا شيء غيره.
الصناديق المؤقتة بوقت محدد
بحلول منتصف العقد الأول من هذا القرن، كانت خدمات مثل Guerrilla Mail و10 Minute Mail قد جعلت فكرة أخرى مألوفة: ينشئ الموقع لك عنوانًا عشوائيًا عند تحميل الصفحة، وتنتهي صلاحية العنوان بعد وقت قصير. والاسم العشوائي صعب التخمين، فخفف ذلك من ضعف الخصوصية في الصندوق العام المشترك، وأخبر العدّاد الظاهر المستخدم بدقة بالغرض من هذا الشيء.
ومن هذه التصاميم الثلاثة ترسّخت مجموعة صغيرة من المبادئ. يفقد الحساب معناه إذا كان عليك تسليم بياناتك لحماية بياناتك، ولذلك لم تطلب أشهر الخدمات أي حساب. وكان على العنوان أن يعمل لحظة ظهوره. وكان على البريد أن يختفي من تلقاء نفسه، حتى لا يُخزَّن إلا القليل. وركزت معظم الخدمات على الاستقبال، وهو ما يحتاج إليه المستخدمون فعلًا، ولم يترك للمرسلين المزعجين فائدة كبيرة منها.
ردّت المواقع بقوائم الحظر
يرى صاحب الموقع العنوان المؤقت بطريقة مختلفة. فريق تسويق دفع ثمن تسجيل لن يستطيع مراسلته مرة أخرى. ومنصة لا سبيل لها إلى الوصول إلى مستخدم بشأن مشكلة أمنية أو مسألة في الفوترة. وخدمة لها باقة مجانية أو قاعدة مجتمعية تقضي بحساب واحد لكل شخص، فقدت إحدى الإشارات القليلة على أن القاعدة محترمة.
وكان الرد الشائع هو فحص النطاق: عند التسجيل، يُقارن الجزء الذي يلي علامة @ بقائمة من النطاقات المعروفة القابلة للتخلص منها. وتُنشر قوائم مجتمعية بهذه النطاقات علنًا، وتقدّم خدمات التحقق التجارية الفحص نفسه عبر واجهة API. وقد كبرت هذه القوائم على مر السنين مع ازدياد عدد الخدمات والنطاقات.
من السهل أن تُروى هذه القصة كمنافسة لها فائزون، لكن هذه النظرة لا تفيد أحدًا. فالموقع الذي يقرر عدم قبول العناوين القابلة للتخلص منها يتخذ قرارًا بشأن خدمته هو، والرد الصحيح على الرفض هو استخدام عنوان دائم أو اسم مستعار هناك. وللعناوين المؤقتة مكانها الصحيح في المجموعة الكبيرة جدًا من المواقع التي لا تحتاج إلى علاقة دائمة معك، حيث تسمح شروطها بذلك.
2004: علامة الزائد تصل إلى جمهور واسع
انطلق Gmail في 1 أبريل 2004 بمساحة تخزين تبلغ جيجابايت واحدًا، في وقت كان منافسوه يقدمون جزءًا صغيرًا منها. وكانت مساحة التخزين هي العنوان البارز، لكن الخدمة نشرت أيضًا عادتين في العنونة. تُتجاهل النقاط في اسم المستخدم، ويُتجاهل عند التسليم كل ما يأتي بعد علامة الزائد، فتصل رسالة name+shop@gmail.com إلى name@gmail.com.
كانت الفكرة أقدم من Gmail، وكانت خوادم البريد تدعمها منذ سنوات. وجاءت صيغتها المعيارية لاحقًا في RFC 5233 لعام 2008، التي تعرّف امتداد العنوان الفرعي للغة فلترة البريد Sieve. لكن Gmail كان، بالنسبة إلى معظم الناس، أول مكان التقوا فيه بها. فقد أتاحت لك وسم كل موقع، والفلترة حسب الوسم، ومعرفة أي شركة انتهت نسختها من عنوانك في قائمة مزعجة.
أما ما لم تفعله فهو إخفاء أي شيء. احذف الوسم وسيظهر العنوان الحقيقي أمامك، كما أن بعض نماذج التسجيل رفضت علامة الزائد خطأً. فصارت أداة تنظيم، وكشف رواجها عن رغبة حقيقية في عنوان لكل علاقة. وستلبي الأسماء المستعارة المحوِّلة هذه الرغبة كما ينبغي بعد عقد من الزمن.
إصلاح جهة المرسل: من 2006 إلى 2024
بينما اعتمد المستخدمون أدواتهم، بدأت الصناعة تضيف فحوص الهوية التي أغفلها SMTP. واستغرق ذلك وقتًا طويلًا على نحو لافت، لأن كل طبقة كان عليها أن تعمل إلى جانب النظام القائم دون أن تكسره.
| المعيار | السؤال الذي يجيب عنه | المواصفة |
|---|---|---|
| SPF | هل يحق لهذا الخادم الإرسال باسم هذا النطاق؟ | RFC 4408 (2006)، وحلّت محلها RFC 7208 (2014) |
| DKIM | هل وقّع هذا النطاق الرسالة، وهل تغيرت منذ ذلك الحين؟ | RFC 4871 (2007)، وحلّت محلها RFC 6376 (2011). دمج DomainKeys من Yahoo مع Identified Internet Mail من Cisco |
| DMARC | هل يتوافق نطاق From الظاهر مع فحص ناجح، وماذا يجب أن يحدث إن لم يتوافق؟ | نشرته مجموعة صناعية عام 2012، RFC 7489 (2015) |
| إلغاء الاشتراك بنقرة واحدة | هل يستطيع مزوّد البريد إزالة قارئ بإجراء واحد؟ | RFC 8058 (2017)، بناءً على ترويسة List-Unsubscribe في RFC 2369 (1998) |
| BIMI | هل يستطيع نطاق يطبق DMARC صارمًا عرض شعار موثّق؟ | طوّرته مجموعة عمل صناعية واعتمده عدد من كبار المزوّدين في عشرينيات هذا القرن |
ظلت هذه المعايير اختيارية عمليًا لسنوات. وتغيّر ذلك في فبراير 2024، حين بدأت Google وYahoo فرض قواعد على المرسلين بالجملة، وتسري قواعد Google على من يرسلون أكثر من 5,000 رسالة يوميًا إلى عناوين Gmail. يحتاج هؤلاء المرسلون الآن إلى SPF وDKIM وDMARC، وإلغاء الاشتراك بنقرة واحدة في البريد التسويقي، ومعدل منخفض من شكاوى الرسائل المزعجة. وبعد اثنين وأربعين عامًا من RFC 821، جعل أكبر مشغّلي صناديق البريد هوية المرسل شرطًا فعليًا للوصول إلى مستخدميهم على نطاق واسع.
تعزز المصادقة الثقة في مصدر الرسالة. لكنها لا تقول شيئًا عن مدى انتشار عنوانك. فقد تجتاز رسالة تسويقية غير مرغوب فيها كل الفحوص بامتياز، ويستطيع المجرم أيضًا تسجيل نطاق والمصادقة عليه. ولذلك يحل هذا العمل والعناوين القابلة للتخلص منها جزأين مختلفين من المشكلة نفسها، ولم يُلغِ أحدهما جدوى الآخر.
ما فعله المشرّعون
جاءت القوانين على موجات، وتختلف في منهجها. والملخص هنا معلومات عامة، وتتفاوت القواعد من بلد إلى آخر وتتغير مع الوقت.
- وضع توجيه الخصوصية الإلكترونية (ePrivacy Directive) الصادر عن الاتحاد الأوروبي عام 2002 قواعد للاتصالات الإلكترونية، منها الموافقة على البريد التسويقي، وتطبقه كل دولة عضو على حدة.
- دخل قانون CAN-SPAM الأمريكي حيز التنفيذ في يناير 2004. وهو يشترط ترويسات دقيقة، وعنوانًا بريديًا صالحًا، وآلية فعالة لإلغاء الاشتراك، ولا يشترط الموافقة قبل الرسالة الأولى.
- دخل قانون مكافحة الرسائل المزعجة الكندي CASL حيز التنفيذ عام 2014، بنموذج أشد صرامة قائم على الموافقة.
- بدأ تطبيق اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR) في مايو 2018، حاملةً مبادئ مثل تقليل البيانات وتحديد الغرض، إلى جانب حقوق على البيانات الشخصية تشمل عناوين البريد.
رفعت هذه القوانين المعايير لدى الشركات التي تريد البقاء في دائرة المشروعية. لكن أثرها كان أقل بكثير على المجرمين الذين يعملون عبر الحدود، ولم يستطع أي منها منع سرقة قاعدة بيانات شركة، وهو ما صار السبب التالي لاهتمام الناس بصناديق بريدهم.
التسريبات غيّرت النقاش
حتى العقد الثاني من هذا القرن، كانت حجة العنوان المؤقت تدور أساسًا حول الإزعاج. ثم صار حجم سرقة البيانات معروفًا للعامة. فقد انكشف تسريب Adobe عام 2013، وفي ديسمبر من العام نفسه أطلق الباحث الأمني تروي هنت (Troy Hunt) موقع Have I Been Pwned، الذي يتيح لأي شخص فحص عنوان ما في التسريبات المعروفة. ووجد كثير ممن جرّبوه عنوانهم الرئيسي مدرجًا عدة مرات. وقالت Yahoo لاحقًا إن اختراقًا وقع عام 2013 طال كل حساباتها البالغة نحو ثلاثة مليارات حساب.
وتغيّر التهديد نتيجة لذلك. كان عنوانك هدفًا للإعلان. أما الآن فصار يأتي مع سياقه: فالتصيد يستطيع الإشارة إلى خدمة تستخدمها فعلًا، وحشو بيانات الدخول يستطيع تجربة زوج مسرّب من العنوان وكلمة المرور على مواقع أخرى تلقائيًا. وصارت كل خدمة تحتفظ بعنوانك الرئيسي مصدرًا محتملًا لهجوم قادم، مهما بدت تافهة حين سجّلت فيها.
وفجأة بدا المنطق القديم للحساب الثاني إدارةً للمخاطر. إذا اختُرق موقع تنزيل استخدمته مرة واحدة وكنت قد أعطيته عنوانًا مؤقتًا، فلن يكون صندوقك الرئيسي ضمن التسريب. وإذا أعطيته اسمًا مستعارًا، يمكنك إيقاف ذلك الاسم. وكلما قلّ انتشار عنوانك الأساسي، قلّ ما يمكن سرقته منه.
الصورة التي ترفع تقريرًا
لطالما استخدم المسوّقون صورًا بعيدة صغيرة جدًا وروابط مخصصة لمعرفة من فتح ماذا ومتى، وأحيانًا مع موقع تقريبي ونوع الجهاز. وجاء الرد ببطء ومن جهة صناديق البريد. أضافت برامج بريد كثيرة إعدادات لحظر الصور البعيدة. وبدأ Gmail جلب الصور عبر وسيط خاص به في أواخر 2013، فأخفى ذلك عناوين IP الخاصة بالقراء عن المرسلين، لكنه ظل يتيح لهم معرفة أن الرسالة حُمّلت. وفي عام 2021 قدّمت Apple ميزة Mail Privacy Protection، التي تحمّل المحتوى البعيد بخصوصية في الخلفية وتجعل بيانات الفتح إشارة غير موثوقة.
هذه دفاعات صغيرة مقارنة بتقييد من يملك عنوانك، لكنها تسير في الاتجاه نفسه: ينبغي لقارئ البريد أن يقرر ما يحق للمرسل معرفته. وتصل الصناديق القابلة للتخلص منها إلى النتيجة نفسها من طريق آخر. فالبريد الذي يذهب إلى عنوان لن تتفقده مرة أخرى ليس لديه الكثير ليبلّغ عنه، وتذهب بعض الخدمات أبعد من ذلك فتزيل صور التتبع.
الأسماء المستعارة تدخل نظام التشغيل
ظلت خدمات الأسماء المستعارة المحوِّلة منتجات متخصصة لسنوات. كان المستخدم يحصل على عناوين دائمة تبدو عشوائية تسلّم البريد إلى صندوق حقيقي، ويمكن تعطيل كل منها على حدة. ثم نقلت أواخر العقد الثاني من هذا القرن الفكرة إلى عامة الناس، في تتابع سريع:
- قدّمت Apple عناوين الترحيل ضمن Sign in with Apple عام 2019.
- بدأت Mozilla اختبار Firefox Relay، الذي سُمّي أولًا Firefox Private Relay، عام 2020.
- وسّعت Apple الفكرة باسم Hide My Email في iCloud+ عام 2021.
- فتحت DuckDuckGo النسخة التجريبية من خدمة حماية البريد عام 2021، مع عناوين تحويل خاصة.
- اشترت Proton خدمة الأسماء المستعارة SimpleLogin عام 2022، وأدمج مزوّدو البريد المعنيون بالخصوصية الأسماء المستعارة في منتجاتهم بصورة أوسع.
من السهل التقليل من شأن هذا التحول. فطوال عشرين عامًا، كان امتلاك عنوان منفصل لكل موقع عادة المهتمين بالخصوصية. أما حين يعرض الهاتف أو المتصفح عنوانًا داخل نموذج التسجيل نفسه، فإنه يتطلب جهدًا أقل من كتابة عنوانك. ولا تجعل الأسماء المستعارة الصناديق المؤقتة بلا فائدة، لأنها تظل مستندة إلى حساب في مكان ما، وهذا الحساب يعرف من أنت. ومن الطرق الجيدة لرؤية العلاقة بينهما أن تضعهما إلى جانب كل ما سبقهما.
| الجيل | ما قدّمه | ما تنازل عنه |
|---|---|---|
| حساب مجاني ثانٍ (أواخر التسعينيات) | مكان دائم قابل للاسترداد للتسجيلات | التسجيل، والصيانة، ومشكلة رسائل مزعجة خاصة به تكبر باستمرار |
| كتابة العناوين بصيغة مموّهة | حماية من برامج الزحف، دون أدوات | لم يساعد إلا في المنشورات العامة، ولم يفد في التسجيلات قط |
| المحوِّلات التي تعدّ الرسائل (نحو 2000) | قطع تلقائي بعد بضع رسائل | احتاجت إلى حساب، وظلت مرتبطة بصندوق حقيقي |
| الصناديق المؤقتة العامة (منذ 2003) | لا تُسلَّم أي بيانات، ولا شيء يحتاج إلى إدارة | عمر قصير، ويقرؤها كل من يملك العنوان، ولا تصلح للحسابات المهمة |
| العنونة بعلامة الزائد (رائجة منذ 2004) | فلترة سهلة وتتبع للتسريبات | يبقى العنوان الحقيقي ظاهرًا، وترفضه بعض النماذج |
| خدمات الأسماء المستعارة المحوِّلة (العقد الثاني من القرن) | علاقات دائمة مع مفتاح إيقاف | الثقة في مزوّد الأسماء المستعارة، الذي ينضم إلى سلسلة استرداد حساباتك |
| الأسماء المستعارة المدمجة (منذ 2019) | جهد يكاد يكون معدومًا، وتُعرض داخل نموذج التسجيل | تربطك بمنظومة منصة واحدة |
لم يحل أي منها محل الآخر. فكل منها يناسب مستوى مختلفًا من الثقة وعمرًا مختلفًا، ولهذا تظل استراتيجية البريد الشخصي المبنية على عدة مستويات أمرًا منطقيًا.
كيف يبدو الصندوق المؤقت اليوم
لم يتغير الوعد الأساسي منذ 2003، بينما تغيرت الآلية كثيرًا. كانت الخدمات المبكرة تشغّل غالبًا خادم SMTP واحدًا يقبل كل شيء ويخزّنه خلف صفحة بسيطة. أما اليوم فيُقسَّم العمل في الغالب، وVookMail مثال على هذا الترتيب. تنشر نطاقاته، مثل privoxmail.com وveylax.com وmailnexio.com، سجلات MX تشير إلى مزوّد لتسليم البريد. يبحث خادم الإرسال عن ذلك السجل ويسلّم الرسالة عبر SMTP كما يفعل منذ الثمانينيات. ثم يحوّل المزوّد كل رسالة إلى VookMail عبر HTTPS، فلا يكشف VookMail خادم البريد الخاص به. ويتحقق المتصفح من وجود بريد جديد كل بضع ثوانٍ، وتُحذف الرسائل والمرفقات والعناوين بعد نحو يوم. وتقدم صفحة المنهجية مزيدًا من التفاصيل.
تطورت الواجهة أيضًا، وهي تعكس دروس الأجيال السابقة. يكون العنوان جاهزًا عند تحميل الصفحة، دون تسجيل ولا كلمة مرور، كما أثبتت Mailinator أنه ممكن. ويعالج العنوان العشوائي، من زر «عشوائي» الأصفر، ضعف التخمين في الصناديق المفتوحة؛ والبديل هو الضغط على «جديد» وكتابة اسم مستخدم والاختيار من أكثر من 30 نطاقًا. ويظل بإمكان كل من يعرف عنوانًا أو يخمّنه أن يفتح ذلك الصندوق، وهذا صحيح في كل هذه العائلة من الخدمات، ولهذا يكون العشوائي هو الخيار الأكثر أمانًا. ويشرح دليل استخدام VookMail الأزرار واحدًا واحدًا، وتوجد تطبيقات على Google Play وHuawei AppGallery.
لن تفاجئ الخطوات التي يراها المستخدم اليوم شخصًا من عام 2003 بالقدر الذي قد تتوقعه. أكواد التحقق المستخرجة والمعروضة فوق الرسالة، ورمز QR لنقل العنوان إلى جهاز ثانٍ، وإزالة صور التتبع: كلها تحسينات لفكرة واحدة، أن تستقبل ما تحتاج إليه الآن ثم تتركه يذهب. وصار اختبار البرمجيات أيضًا استخدامًا رئيسيًا، فالصندوق النظيف لكل جولة اختبار هو بالضبط ما يريده مطور يفحص مسار التسجيل.
تواريخ يستحسن جمعها في مكان واحد
| السنة | الحدث |
|---|---|
| 1971 | راي توملينسون يرسل البريد بين جهازين ويعتمد علامة @ |
| 1978 | رسالة غاري ثيرك الجماعية على ARPANET، وتُذكر عادةً بوصفها أول رسالة مزعجة |
| 1982 | نشر SMTP (RFC 821) وتنسيق الرسائل (RFC 822) |
| 1986 | RFC 974 تصف توجيه البريد باستخدام DNS |
| 1992 | دورك وناور يقترحان أحاجي حسابية لمواجهة البريد غير المرغوب فيه |
| 1994 | منشورات البطاقة الخضراء تغمر Usenet |
| 1996 إلى 1997 | Hotmail وYahoo Mail تفتحان البريد المجاني للجميع؛ وبدء أول قائمة حظر DNS واسعة الاستخدام |
| نحو 2000 | Spamgourmet تقدم عناوين تنتهي صلاحيتها تلقائيًا |
| 2002 | مقال «A Plan for Spam» ينشر الفلترة الإحصائية؛ وتوجيه الخصوصية الإلكترونية في الاتحاد الأوروبي |
| 2003 | انطلاق Mailinator؛ وتوقيع قانون CAN-SPAM في الولايات المتحدة |
| 2004 | انطلاق Gmail وتعريف الناس بالعنونة بعلامة الزائد |
| 2013 | انطلاق Have I Been Pwned؛ وبدء Gmail جلب الصور عبر وسيط |
| 2015 | نشر DMARC في RFC 7489 |
| 2018 | بدء تطبيق GDPR في الاتحاد الأوروبي |
| 2019 إلى 2021 | ظهور Sign in with Apple وFirefox Relay وHide My Email وخدمة التحويل من DuckDuckGo |
| 2022 | Apple وGoogle وMicrosoft تلتزم بمفاتيح المرور |
| 2024 | Google وYahoo تبدآن فرض قواعد المرسلين بالجملة |
ما لم يتغير طوال خمسين عامًا
إذا قرأت هذا التاريخ من أوله إلى آخره، وجدت فيه تنوعًا أقل مما توحي به قائمة التقنيات الطويلة. ظل الإرسال رخيصًا، وما دام كذلك فسيبقى البريد غير المرغوب فيه موجودًا، لأن حسابات المرسل الاقتصادية لا تحتاج إلى موافقة كثير من القراء. هذا ما يجمع دعوة ثيرك إلى العروض بحملة تصيد حديثة، وقد فشل مقترح 1992 بجعل المرسلين يدفعون قدرة حاسوبية لأن ذلك الثمن تحديدًا لم يكن ممكنًا فرضه على الجميع.
وظل العنوان هوية منذ عصر البريد المجاني، وهوية قوية على نحو غير معتاد: فمن يقرأ صندوقك يستطيع عادةً إعادة تعيين كلمات مرورك. وظل الانكشاف تراكميًا، فالقائمة التي انضم إليها عنوانك عام 2009 لا تنساه، ومعظم النسخ لا تُحذف أبدًا. وجاء كل جيل من الدفاعات بتنازل لا تستطيع الهندسة إزالته. فكلما سهل التخلص من العنوان، ساء لكل ما ستحتاج إليه لاحقًا. ولم ينجح أحد في بناء صندوق بريد يسهل التخلص منه دون عناء ويمكن في الوقت نفسه ائتمانه على حسابك المصرفي.
إلى أين يُرجَّح أن تتجه خصوصية البريد
التاريخ أقدر على الشرح منه على التنبؤ، كما يبيّن توقع غيتس ذو العامين، فتعامل مع ما يلي على أنه قراءة للاتجاهات الحالية دون أي ضمان.
عنوان لكل موقع بوصفه الوضع الافتراضي
تعرض المنصات الكبرى ومديرو كلمات المرور الآن الأسماء المستعارة أثناء التسجيل. وإذا استمر هذا الانتشار، فقد يبدو إعطاء كل موقع العنوان نفسه كما تبدو اليوم إعادة استخدام كلمة مرور واحدة. والحد المرجّح هو قابلية النقل: فالاسم المستعار المرتبط بمنظومة شركة واحدة لا يدوم إلا بدوام علاقتك بتلك الشركة، ولذلك سيكون على من ينتقلون بين المنصات فك بعض الارتباطات.
مفاتيح المرور ودور البريد
تستبدل مفاتيح المرور، المبنية على معايير FIDO والتي تروّج لها Apple وGoogle وMicrosoft معًا منذ 2022، كلمة المرور ببيانات اعتماد مشفّرة محفوظة على أجهزتك. وقلة كلمات المرور تعني قلة رسائل إعادة التعيين. لكن معظم الخدمات ما زالت تستخدم عنوان البريد معرّفًا للحساب، وللإشعارات والاسترداد عند فقدان جهاز. ولذلك يبدو أن دور البريد قناةً أمنية سيتقلص تدريجيًا فقط، ويظل الصندوق الأساسي جديرًا بالحماية لبعض الوقت.
فلاتر أفضل، واحتيال أكثر إقناعًا
يواصل تعلم الآلة تحسين الكشف، ويواصل النص المولَّد تسهيل كتابة عمليات احتيال سلسة ومخصصة بأي لغة. ونتيجة لذلك تفقد النصيحة القديمة عن الأخطاء الإملائية قيمتها. أما أسئلة السياق فتصمد أكثر: هل تنتمي هذه الرسالة إلى هذا العنوان أصلًا؟ ومن يستخدم عناوين منفصلة يملك ميزة هنا، فإشعار «مصرفي» يصل إلى اسم مستعار للتسوق يجيب عن السؤال بنفسه.
قواعد أشد على المرسلين
قد تزداد متطلبات 2024 صرامة، وقد تحرك مزوّدون كبار آخرون في الاتجاه نفسه. وهذا من شأنه أن يسهّل مغادرة التسويق المشروع وفلترة البريد الجماعي غير المشروع. لكنه لن يغيّر الحسابات الاقتصادية للمجرمين المستعدين لإساءة استخدام حسابات مخترقة أو خدمات مخترقة، وقد صارت هذه أكثر جاذبية مع ازدياد صعوبة الإرسال المباشر.
نماذج أقل تطلب العنوان أصلًا
تدفع مبادئ تقليل البيانات في قوانين الخصوصية نحو جمع ما يحتاج إليه الغرض فقط. ومع الوقت، قد تتوقف تنزيلات ومعاينات وبوابات Wi-Fi أكثر عن طلب العنوان، أو قد توضح بصورة أفضل كيف ستستخدمه. وقد كان التغيير هنا بطيئًا، لأن للقائمة البريدية قيمة تجارية. وما دام الأمر كذلك، فستظل للصناديق المؤقتة مهمة: محتوى مقيّد لمرة واحدة، وصفحة تسجيل الدخول في مكان عام، ورؤية ما يرسله موقع غير مألوف قبل الوثوق به، دائمًا حيث تسمح شروط الموقع بذلك.
ومن غير المرجّح أن تتغير الحدود أيضًا. ستواصل بعض المنصات رفض النطاقات القابلة للتخلص منها، ولا شأن للصندوق المؤقت بالاحتيال أو الإساءة أو الالتفاف على حظر، ولا بأي شيء مهم مثل الخدمات المصرفية أو الخدمات الحكومية أو حساب رئيسي على وسائل التواصل. وتنص الشروط والأحكام على هذه الحدود بوضوح.
ما يوحي به هذا السجل بشأن عنوانك
لا يقدم التاريخ إلا القليل من التعليمات، لكن بعضها يصمد عبره كله. لا يعود العنوان بعد انتشاره، فالوقت المناسب لحماية العنوان الأساسي هو قبل إعطائه لأحد، وهذا هو الدفاع الوحيد في القائمة الذي يعمل قبل إرسال الرسالة. وقد ساعدت الفلاتر والمصادقة والقانون كلٌّ منها وبلغ حده، ولذلك خيّب الاعتماد على واحد منها آمال الناس مرارًا. وكانت الأدوات المؤقتة دائمًا جيدة في شيء واحد وضعيفة في نقيضه: البريد الذي تحتاج إليه مرة واحدة، في مقابل الحسابات التي تحتاج إليها لسنوات. احفظ ما يهمك في مكان آخر، لأن الحذف التلقائي هو غاية هذه الخدمات وأشد جوانبها حدة في آن واحد.
أسئلة يثيرها هذا التاريخ
هل كانت رسالة ثيرك حقًا أول رسالة مزعجة؟
هذه هي الإجابة المعتادة وهي ما تسجله غينيس، ويرجع ذلك أساسًا إلى أنها كانت تجارية وأن ردود الفعل عليها موثقة. وقد وُجدت بالفعل رسائل جماعية أقدم على الأنظمة المشتركة. فقد وصف توم فان فليك (Tom Van Vleck)، الذي عمل على نظام CTSS في MIT، رسالة مناهضة للحرب أُرسلت إلى كل مستخدميه عام 1971. ويتوقف وصف «الأولى» على ما إذا كنت تحتسب الرسائل غير التجارية، والرسائل داخل كمبيوتر واحد.
من اخترع البريد القابل للتخلص منه؟
لا أحد بعينه. كان حساب البريد المجاني الثاني يؤدي المهمة بصورة غير رسمية قبل وجود أي خدمة، وأتمتت Spamgourmet وMailinator نصفين مختلفين من الفكرة. وكثيرًا ما يُنسب إلى Mailinator تحديد هذه الفئة لأنها ألغت التسجيل تمامًا، لكن ينبغي فهم هذا الادعاء على أنه تأثير، لا براءة اختراع للفكرة.
لماذا تأخر الأمر إلى نحو عام 2000؟
قبل البريد المجاني، قلّ من كان يملك عنوانًا يهمه خارج العمل أو الدراسة، ولم تكن المواقع تطلب عنوانًا عند كل خطوة بعد. جاءت الحاجة مع التسجيلات على الويب في أواخر التسعينيات. أما الطريقة فكانت متاحة أصلًا، إذ كان بوسع النطاقات دائمًا قبول البريد لأي اسم.
لماذا فشل إثبات العمل في البريد ونجا في أماكن أخرى؟
كان البريد يحتاج إلى اتفاق كل خادم تقريبًا قبل أن يصبح هذا الطابع مطلوبًا، ولم يتحقق هذا التنسيق قط. أما الموقع فيستطيع اعتماد التقنية نفسها وحده، لزواره هو، ولهذا تعمل اليوم في كشف الروبوتات.
هل جعلت المصادقة العناوين المؤقتة غير ضرورية؟
لا، لأن كلًا منهما يعالج سؤالًا منفصلًا. يعالج SPF وDKIM وDMARC مسألة ما إذا كانت الرسالة صادرة حقًا عن نطاق ما. أما العنوان القابل للتخلص منه فيعالج مسألة من يملك عنوانك أصلًا. وقد يجتاز البريد كل الفحوص ويبقى بريدًا لم ترده قط.
هل يمكن أن يُستبدل البريد الإلكتروني يومًا؟
تولت تطبيقات المراسلة كثيرًا من المحادثات الشخصية منذ زمن طويل، ومع ذلك يطلب كل حساب تقريبًا على الإنترنت عنوان بريد. لا تملكه أي شركة، ويستطيع أي شخص تشغيل خادم، ويستطيع أي طرفين تبادل البريد دون الاشتراك في منصة واحدة. وهذه الصفات نفسها تفسر سبب صعوبة القضاء على الرسائل المزعجة. ولمزيد من المعلومات ذات الصلة، تجد في مدونة VookMail المزيد عن طريقة عمل هذه الأدوات اليوم.