El 3 de mayo de 1978, Gary Thuerk, un responsable de marketing de Digital Equipment Corporation, envió un único mensaje a varios cientos de usuarios de ARPANET a la vez, 393 según la mayoría de las cuentas, para invitarlos a ver demostraciones de los nuevos ordenadores de DEC. Los destinatarios se quejaron y los responsables de la red llamaron la atención a DEC. Guinness World Records lo recoge como el spam electrónico más antiguo. Pasaron unas dos décadas hasta que alguien ofreció a la gente corriente una respuesta práctica desde su extremo del cable.
Esa respuesta, la dirección de correo desechable, apareció hacia el año 2000. Para entonces Spamgourmet ya ofrecía direcciones de reenvío que caducaban solas, y Mailinator llegó en 2003 con bandejas públicas que no necesitaban ninguna cuenta. La historia del correo desechable es la historia de por qué hicieron falta esos servicios: un sistema de correo construido sobre la confianza, una dirección que acabó convirtiéndose en un inicio de sesión y un coste de envío tan cercano a cero que los filtros y las leyes solo podían reducir la avalancha. Las mismas presiones produjeron más tarde los alias, y siguen marcando lo que viene.
Una red donde todos podían ser localizados
Ya en los años sesenta existían mensajes entre usuarios de un mismo ordenador compartido. El paso que importa aquí llegó en 1971, cuando el ingeniero Ray Tomlinson envió mensajes entre dos máquinas de ARPANET, la red de investigación financiada por el Departamento de Defensa de EE. UU., y eligió el signo @ para separar el nombre de una persona del nombre de su equipo. Cuando Thuerk envió su mensaje, el correo era una de las cosas más usadas de la red.
Los usuarios eran investigadores, ingenieros y personal del gobierno, y en su mayoría podían identificarse entre sí. Ese hecho social quedó incorporado a la ingeniería. Cuando SMTP se publicó como RFC 821 en 1982, con la RFC 822 definiendo cabeceras como From, To y Subject, nada en él pedía al remitente que demostrara nada. Un intercambio simplificado entre dos servidores de correo se veía casi igual que ahora:
MAIL FROM:<anyone@example.com>RCPT TO:<reader@example.org>DATA
El servidor receptor aceptaba lo que el remitente decía de sí mismo. En una red cuya política contra los abusos se podía hacer cumplir con una llamada al jefe de alguien, era un diseño razonable. Se volvió la raíz de los remitentes falsificados, el phishing y el correo masivo anónimo cuando esa llamada dejó de ser posible.
Una segunda pieza llegó en 1986, cuando la RFC 974 describió cómo el Sistema de Nombres de Dominio encaminaría el correo mediante registros MX. Un dominio publica un registro con los servidores que aceptan su correo, y cualquier remitente puede consultarlo. Así sigue recibiendo mensajes todo buzón de internet, y de ahí se deriva algo que importa más adelante en esta historia: quien controla un dominio puede dirigir su correo adonde quiera y aceptar mensajes para cualquier nombre de ese dominio, sin crear antes ni una sola cuenta.
1994: el envío masivo llega al público
El mensaje de Thuerk fue durante mucho tiempo una simple curiosidad, porque ARPANET prohibía el uso comercial y había poca gente a quien llegar. A principios de los noventa la palabra «spam» ya circulaba en las comunidades en línea, tomada de un sketch cómico en el que la palabra se repite hasta ahogar cualquier otra conversación.
El episodio que mostró lo que se venía ocurrió el 12 de abril de 1994. Dos abogados de inmigración de Arizona, Laurence Canter y Martha Siegel, publicaron un anuncio de ayuda para la lotería de tarjetas verdes en miles de grupos de debate de Usenet. Los usuarios de Usenet respondieron con furia, y cuando la pareja lo intentó de nuevo más tarde ese mismo año, un programador escribió un programa para cancelar las publicaciones automáticamente. Los dos acabaron publicando un libro sobre cómo ganar dinero en línea, así que la indignación apenas zanjó la discusión.
Esa pequeña historia ya contiene el patrón de los treinta años siguientes. Un remitente descubre que llegar a un público enorme casi no cuesta nada. Quienes están al otro lado responden primero con presión de la comunidad y luego con software. El remitente cambia de táctica. Y cada lector, individualmente, no tiene voz ni voto hasta que aparece una herramienta que trabaja de su lado.
El correo web gratuito convirtió la dirección en un inicio de sesión
Hotmail se lanzó el 4 de julio de 1996 y Yahoo Mail en 1997. Los dos permitían a cualquiera crear una dirección en minutos y leerla desde cualquier navegador. En pocos años las cuentas gratuitas de correo web se contaban por decenas de millones, y la dirección dejó de ser algo que te daba una universidad o un empleador.
Siguieron tres cosas que se reforzaron entre sí. Los sitios web empezaron a usar la dirección de correo como nombre de usuario y como canal para confirmar cuentas y restablecer contraseñas, lo que la convirtió en una pieza de identidad y no solo en una forma de localizar a alguien. Las direcciones se volvieron una mercancía: programas de recolección rastreaban páginas web, foros y grupos de noticias en busca de cualquier cosa con esa forma, y se vendían por lotes en listas. Y como enviar un millón de mensajes costaba tan poco, una tasa de respuesta demasiado pequeña para la publicidad postal aún podía salir rentable.
La gente improvisó. Algunos escribían su dirección en público como «nombre arroba ejemplo punto com» para que un rastreador no la captara. Muchos abrían una segunda cuenta gratuita solo para registrarse en sitios, la consultaban de vez en cuando y la dejaban llenarse de basura. Ese segundo hábito es el verdadero antepasado del correo desechable. Tenía todas las ideas en su sitio salvo la automatización: una dirección cuyo único trabajo es absorber la exposición, lejos del buzón que importa. Su punto débil era el mantenimiento, porque exigía registrarse, recordar una contraseña y contar con un proveedor dispuesto a mantener la cuenta abierta.
Los defensores empezaron por el extremo receptor
Antes de que las direcciones de usar y tirar se popularizaran, casi todo el esfuerzo serio se dedicó a frenar el spam al llegar. Destacan cuatro enfoques, y cada uno sigue vivo de alguna forma.
| Enfoque | Período | Cómo funcionaba | Dónde se quedaba corto |
|---|---|---|---|
| Listas de bloqueo por DNS | Finales de los noventa: MAPS Realtime Blackhole List (1997), Spamhaus (1998) | Los servidores de correo buscaban la dirección IP de quien se conectaba en una lista publicada de fuentes conocidas de spam | Los remitentes saltaban de una red a otra, y a veces se incluía a vecinos inocentes |
| Reglas y palabras clave | Años noventa | Los filtros buscaban palabras y patrones sospechosos | Las faltas de ortografía y el texto oculto en imágenes los esquivaban |
| Filtrado estadístico | Popularizado por el ensayo de Paul Graham de 2002 «A Plan for Spam» | Un filtro bayesiano aprendía de lo que cada usuario marcaba como spam o no | Muy eficaz, pero solo actúa cuando el correo ya se te ha enviado |
| Desafío-respuesta | Alrededor del cambio de siglo | Los remitentes desconocidos debían demostrar que eran humanos antes de la entrega | Molestaba a los corresponsales reales y podía enviar desafíos a direcciones falsificadas |
Una quinta idea atacaba directamente la economía del problema. En 1992, Cynthia Dwork y Moni Naor propusieron que el ordenador resolviera un pequeño rompecabezas por cada mensaje, un precio trivial para un correo y ruinoso para diez millones. Hashcash, de Adam Back (1997), ofreció una versión práctica. Nunca llegó a ser una condición para enviar correo, porque habría requerido que casi todos los servidores del mundo lo adoptaran a la vez y porque los delincuentes podían gastar en los rompecabezas ordenadores ajenos secuestrados. Pero la idea sobrevivió en otros lugares. Bitcoin citó después a Hashcash, y hoy se usan pequeños cálculos de prueba de trabajo como comprobación contra bots en páginas web. VookMail usa uno en el navegador del visitante, de modo que la idea de 1992 ha acabado, sin hacer ruido, dentro de un descendiente de los mismos servicios de los que trata este artículo.
Durante un tiempo la confianza fue alta. En el Foro Económico Mundial de enero de 2004, se informó ampliamente de que Bill Gates predijo que el spam estaría resuelto en dos años. El filtrado mejoró enormemente, y la mayoría de la gente ve hoy solo una pequeña parte de lo que se le envía. Pero el filtrado tiene un límite que ninguna cifra de precisión corrige: empieza cuando tu dirección ya es conocida, y una dirección que ya está en una lista sigue en ella. Esa brecha es la que atacaron las herramientas del lado del usuario. Si el remitente nunca tuvo tu dirección real, no había nada que filtrar.
Las primeras direcciones de usar y tirar
Nadie en concreto inventó el correo desechable. Varios servicios aparecieron con pocos años de diferencia, y cada uno resolvía el problema de otra manera. Vale la pena fijarse en las diferencias, porque casi todos los productos posteriores han sido una variación de alguno de ellos.
Spamgourmet: la dirección que cuenta
Spamgourmet, disponible desde alrededor del año 2000, se basaba en una regla ingeniosa. Te registrabas una vez y después inventabas direcciones sobre la marcha cada vez que un formulario pedía una, y cada dirección reenviaba a tu bandeja real durante un número fijado de mensajes. Si le dabas a un sitio una dirección válida para tres correos, suficiente para una confirmación, después se quedaba en silencio. No había nada que gestionar y nunca tenías que leer una bandeja aparte. El inconveniente era que seguías teniendo una cuenta, y que tu buzón real seguía detrás de ella.
Mailinator: la bandeja que no es de nadie
Mailinator, de Paul Tyma, nació en 2003 como proyecto paralelo y eliminó todo lo que se podía eliminar. Servía cualquier nombre de usuario en su dominio sin necesidad de crearlo antes. Para leer el correo, escribías el mismo nombre en el sitio web. No había cuentas, ni contraseñas, ni reenvíos, y los mensajes antiguos se borraban automáticamente.
Este diseño aprovecha lo dicho antes sobre los registros MX. Como el dueño de un dominio decide cómo se trata su correo, el servidor podía aceptar correo para todos los nombres posibles y tratar cada nombre como una simple etiqueta sobre un montón. Tyma contó más tarde que lo mantenía barato guardando el correo en gran parte en memoria. Se notó enseguida: Joel Spolsky ya escribía sobre él en su blog a los pocos meses del lanzamiento. Su carácter abierto también fijó un límite que sigue vigente en este tipo de servicio. Una bandeja sin contraseña puede leerla cualquiera que escriba su nombre, así que sirve para correo que no importa y para nada más.
Bandejas con temporizador
A mediados de los 2000, servicios como Guerrilla Mail y 10 Minute Mail habían popularizado otra idea: el sitio te crea una dirección aleatoria al cargar la página, y la dirección caduca con un reloj corto. Un nombre aleatorio es difícil de adivinar, lo que aliviaba la debilidad de privacidad de una bandeja pública compartida, y el temporizador a la vista le decía al usuario exactamente para qué servía aquello.
En estos tres diseños se afianzaron unos pocos principios. Una cuenta frustra el propósito si tienes que entregar datos para proteger tus datos, así que los servicios más conocidos no pedían ninguna. La dirección tenía que funcionar en el momento en que aparecía. El correo tenía que desaparecer solo, para que se guardara poco. Y la mayoría de los servicios se centraba en recibir, que es lo que los usuarios necesitaban de verdad y lo que daba muy poco uso a los spammers.
Los sitios web respondieron con listas de bloqueo
El dueño de un sitio ve una dirección desechable de otra manera. Un equipo de marketing ha pagado por un registro al que nunca podrá volver a escribir. Una plataforma no tiene forma de contactar a un usuario por un problema de seguridad o de facturación. Un servicio con un plan gratuito o con una norma de comunidad de una cuenta por persona ha perdido una de sus pocas señales de que la norma se cumple.
La respuesta habitual ha sido una comprobación de dominio: al registrarse, se compara la parte posterior a la @ con una lista de dominios desechables conocidos. Hay listas comunitarias de esos dominios publicadas abiertamente, y los servicios comerciales de validación ofrecen la misma comprobación mediante una API. Las listas han ido creciendo con los años junto con el número de servicios y de dominios.
Sería fácil contar esto como una competición con ganadores, pero ese enfoque no le sirve a nadie. Un sitio que decide no aceptar direcciones desechables está tomando una decisión sobre su propio servicio, y la respuesta correcta a una negativa es usar ahí una dirección permanente o un alias. Las direcciones de usar y tirar tienen su lugar en el gran grupo de sitios que no necesitan una relación duradera contigo, y donde sus condiciones lo permitan.
2004: el signo más llega al gran público
Gmail se lanzó el 1 de abril de 2004, con un gigabyte de almacenamiento cuando sus rivales ofrecían una pequeña fracción. El almacenamiento era el titular, pero el servicio también dio a conocer dos costumbres de direccionamiento. Los puntos en un nombre de usuario se ignoran, y todo lo que va después de un signo más se ignora para la entrega, de modo que name+shop@gmail.com llega a name@gmail.com.
La idea era anterior a Gmail, y los servidores de correo la admitían desde hacía años. Su forma estándar llegó después, en la RFC 5233 de 2008, que define una extensión de subdirección para el lenguaje de filtrado de correo Sieve. Para la mayoría de la gente, sin embargo, Gmail fue donde la conoció. Permitía etiquetar cada sitio, filtrar por la etiqueta y ver la copia de qué empresa de tu dirección había acabado en una lista de spam.
Lo que no hacía era ocultar nada. Quita la etiqueta y la dirección real está ahí mismo, y algunos formularios de registro rechazaban el signo más por error. Así que se quedó en herramienta de organización, y su atractivo mostró un apetito real por una dirección por relación. Los alias de reenvío satisfarían ese apetito como es debido una década después.
Arreglar el lado del remitente: de 2006 a 2024
Mientras los usuarios adoptaban sus propias herramientas, la industria empezó a añadir las comprobaciones de identidad que SMTP había dejado fuera. Tardó notablemente, porque cada capa tenía que convivir con el sistema existente sin romperlo.
| Estándar | Qué responde | Especificación |
|---|---|---|
| SPF | ¿Puede este servidor enviar en nombre de este dominio? | RFC 4408 (2006), sustituida por la RFC 7208 (2014) |
| DKIM | ¿Firmó este dominio el mensaje y ha cambiado desde entonces? | RFC 4871 (2007), sustituida por la RFC 6376 (2011). Fusionó DomainKeys de Yahoo con Identified Internet Mail de Cisco |
| DMARC | ¿Coincide el dominio visible en From con una comprobación superada y qué debe pasar si no? | Publicado por un grupo de la industria en 2012, RFC 7489 (2015) |
| Cancelación de suscripción con un clic | ¿Puede el proveedor de correo dar de baja a un lector con una sola acción? | RFC 8058 (2017), basada en la cabecera List-Unsubscribe de la RFC 2369 (1998) |
| BIMI | ¿Puede un dominio con DMARC estricto mostrar un logotipo verificado? | Desarrollado por un grupo de trabajo de la industria y adoptado por varios grandes proveedores en la década de 2020 |
Durante años esto fue opcional en la práctica. Cambió en febrero de 2024, cuando Google y Yahoo empezaron a aplicar reglas a los remitentes masivos, las de Google para quienes envían más de 5000 mensajes al día a direcciones de Gmail. Esos remitentes ahora necesitan SPF, DKIM y DMARC, cancelación de suscripción con un clic en el correo de marketing y una tasa baja de quejas por spam. Cuarenta y dos años después de la RFC 821, los mayores operadores de buzones habían convertido de hecho la identidad del remitente en una condición para llegar a sus usuarios a gran escala.
La autenticación mejora la confianza en el origen de un mensaje. No dice nada sobre lo extendida que está tu dirección. Un correo de marketing no deseado puede pasar todas las comprobaciones sin problema, y un delincuente puede registrar un dominio y autenticarlo también. Así que este trabajo y las direcciones desechables resuelven partes distintas del mismo problema, y ninguno dejó sin sentido al otro.
Lo que hicieron los legisladores
Las leyes llegaron en oleadas y difieren en su enfoque. El resumen que sigue es información general, y las normas varían según el país y cambian con el tiempo.
- La Directiva sobre privacidad y comunicaciones electrónicas de la UE, de 2002, fijó normas para las comunicaciones electrónicas, incluido el consentimiento para el correo de marketing, que cada Estado miembro aplicó por separado.
- La ley CAN-SPAM de EE. UU. entró en vigor en enero de 2004. Exige cabeceras exactas, una dirección postal válida y una forma de darse de baja que funcione, y no exige consentimiento antes del primer mensaje.
- La legislación antispam de Canadá, CASL, entró en vigor en 2014 con un modelo más estricto basado en el consentimiento.
- El Reglamento General de Protección de Datos de la UE se aplicó desde mayo de 2018 y trajo principios como la minimización de datos y la limitación de la finalidad, junto con derechos sobre los datos personales, entre ellos las direcciones de correo.
Estas leyes elevaron el nivel entre las empresas que quieren mantenerse en la legalidad. Tuvieron mucho menos efecto sobre los delincuentes que operan a través de las fronteras, y ninguna podía impedir que le robaran la base de datos a una empresa, que fue el siguiente motivo por el que la gente empezó a preocuparse por su bandeja de entrada.
Las filtraciones cambiaron el argumento
Hasta la década de 2010, el argumento a favor de una dirección de usar y tirar era sobre todo la molestia. Luego se hizo público el alcance del robo de datos. La filtración de Adobe salió a la luz en 2013, y ese mismo año, en diciembre, el investigador de seguridad Troy Hunt lanzó Have I Been Pwned, que permite a cualquiera comprobar una dirección frente a filtraciones conocidas. Muchas personas que lo probaron encontraron su dirección principal en la lista varias veces. Yahoo dijo más tarde que una filtración de 2013 había afectado a todas sus cuentas, unos tres mil millones.
La amenaza cambió como consecuencia. Tu dirección había sido un objetivo para la publicidad. Ahora venía con contexto: el phishing podía referirse a un servicio que de verdad usabas, y el relleno de credenciales podía probar automáticamente un par de usuario y contraseña filtrado en otros sitios. Cada servicio que tenía tu dirección principal podía ser la fuente de un futuro ataque, por trivial que pareciera el servicio cuando te registraste.
La vieja lógica de la segunda cuenta pasó de repente a parecer gestión de riesgos. Si se filtra un sitio de descargas de un solo uso y le diste una dirección temporal, tu bandeja principal no está en la filtración. Si le diste un alias, puedes desactivarlo. Cuanto menos viaja tu dirección principal, menos hay que robar.
La imagen que informa de ti
Los especialistas en marketing llevaban tiempo usando pequeñas imágenes remotas y enlaces personalizados para saber quién abría qué y cuándo, a veces junto con una ubicación aproximada y el tipo de dispositivo. La respuesta llegó despacio y desde el lado del buzón. Muchos programas de correo añadieron opciones para bloquear imágenes remotas. Gmail empezó a descargar las imágenes a través de su propio proxy a finales de 2013, lo que ocultaba a los remitentes la IP de los lectores pero les seguía permitiendo saber que el mensaje se había cargado. En 2021 Apple presentó Protección de la privacidad en Mail, que carga el contenido remoto de forma privada en segundo plano y hace que los datos de apertura dejen de ser una señal fiable.
Son defensas pequeñas comparadas con limitar quién tiene tu dirección, pero apuntan en la misma dirección: quien lee el correo debería decidir lo que el remitente llega a saber. Las bandejas desechables llegan al mismo resultado por otro camino. El correo que va a una dirección que no vuelves a consultar tiene poco que reportar, y algunos servicios van más allá y eliminan las imágenes de seguimiento.
Los alias pasan al sistema operativo
Los servicios de alias de reenvío existieron durante años como productos de nicho. El usuario recibía direcciones permanentes de aspecto aleatorio que entregaban en un buzón real, y cada una se podía desactivar por separado. A finales de la década de 2010 la idea se hizo popular, en rápida sucesión:
- Apple presentó las direcciones de retransmisión como parte de Iniciar sesión con Apple en 2019.
- Mozilla empezó a probar Firefox Relay, primero llamado Firefox Private Relay, en 2020.
- Apple amplió la idea con Hide My Email en iCloud+ en 2021.
- DuckDuckGo abrió en 2021 la beta de su protección de correo, con direcciones privadas de reenvío.
- Proton compró en 2022 el servicio de alias SimpleLogin, y los proveedores de correo centrados en la privacidad integraron los alias en sus productos de forma más general.
El cambio es fácil de subestimar. Durante veinte años, tener una dirección distinta para cada sitio fue una costumbre de los más preocupados por la privacidad. Cuando un teléfono o un navegador te la ofrece en el propio formulario de registro, cuesta menos esfuerzo que escribir tu dirección. Los alias no hacen redundantes las bandejas temporales, porque siguen apoyándose en una cuenta en algún lugar, y esa cuenta sabe quién eres. Una buena forma de ver cómo se relacionan ambos es ponerlos junto a todo lo anterior.
| Generación | Qué ofrecía | A qué renunciaba |
|---|---|---|
| Segunda cuenta gratuita (finales de los noventa) | Un lugar permanente y recuperable para los registros | Registro, mantenimiento y su propio problema creciente de spam |
| Escribir las direcciones de forma disfrazada | Protección frente a los rastreadores, sin herramientas | Solo servía para publicaciones públicas, nunca para registros |
| Reenviadores con contador (hacia 2000) | Un corte automático tras unos pocos mensajes | Requería una cuenta y seguía vinculado a una bandeja real |
| Bandejas temporales públicas (desde 2003) | Sin entregar datos y sin nada que gestionar | Vida corta, legibles por cualquiera que tenga la dirección, inadecuadas para cuentas importantes |
| Direcciones con signo más (populares desde 2004) | Filtrado sencillo y rastreo de filtraciones | La dirección real sigue a la vista y algunos formularios la rechazan |
| Servicios de alias de reenvío (años 2010) | Relaciones duraderas con un interruptor de apagado | Confianza en un proveedor de alias, que pasa a formar parte de tu cadena de recuperación |
| Alias integrados (desde 2019) | Casi ningún esfuerzo, ofrecidos dentro del formulario de registro | Te ata al ecosistema de una sola plataforma |
Ninguno sustituyó a los demás. Cada uno encaja con un nivel de confianza y una duración distintos, y por eso sigue teniendo sentido una estrategia de correo personal con varios niveles.
Cómo es hoy una bandeja temporal
La promesa central es la misma desde 2003, mientras que la maquinaria ha cambiado bastante. Los primeros servicios solían ejecutar un único servidor SMTP que lo aceptaba todo y lo guardaba tras una página sencilla. Hoy el trabajo suele repartirse, y VookMail es un ejemplo de ese esquema. Sus dominios, como privoxmail.com, veylax.com y mailnexio.com, publican registros MX que apuntan a un proveedor de entrega de correo. Un servidor remitente consulta ese registro y entrega por SMTP como se hace desde los años ochenta. Después el proveedor reenvía cada mensaje a VookMail por HTTPS, de modo que VookMail no expone su propio servidor de correo. El navegador comprueba si hay correo nuevo cada pocos segundos, y los mensajes, los archivos adjuntos y las direcciones se eliminan pasado aproximadamente un día. La página de metodología da más detalles.
La interfaz también ha evolucionado, y refleja lo aprendido de las generaciones anteriores. La dirección está lista al cargar la página, sin registro y sin contraseña, como Mailinator demostró que era posible. Una dirección aleatoria, con el botón amarillo «Aleatorio», responde a la debilidad de adivinación de las bandejas abiertas; la alternativa es pulsar Nuevo, escribir un nombre de usuario y elegir entre más de 30 dominios. Cualquiera que conozca o adivine una dirección puede abrir esa bandeja, algo que sigue siendo cierto en toda esta familia de servicios, y por eso lo aleatorio es la opción más segura. Nuestra guía para usar VookMail explica los botones, y hay apps en Google Play y Huawei AppGallery.
Los pasos que ve hoy un usuario sorprenderían a alguien de 2003 menos de lo que podrías pensar. Códigos de verificación extraídos y mostrados sobre el mensaje, un código QR para llevar la dirección a un segundo dispositivo, imágenes de seguimiento eliminadas: son refinamientos de una sola idea, recibir lo que necesitas ahora y luego soltarlo. Las pruebas de software también se han convertido en un uso importante, ya que una bandeja limpia por cada ejecución de pruebas es justo lo que quiere un desarrollador que revisa un flujo de registro.
Fechas que conviene tener juntas
| Año | Acontecimiento |
|---|---|
| 1971 | Ray Tomlinson envía correo entre máquinas y adopta el signo @ |
| 1978 | El mensaje masivo de Gary Thuerk en ARPANET, citado normalmente como el primer spam |
| 1982 | Se publican SMTP (RFC 821) y el formato de mensaje (RFC 822) |
| 1986 | La RFC 974 describe el encaminamiento del correo con DNS |
| 1992 | Dwork y Naor proponen rompecabezas computacionales contra el correo basura |
| 1994 | Los mensajes de la tarjeta verde inundan Usenet |
| 1996 a 1997 | Hotmail y Yahoo Mail abren el correo web gratuito a todos; nace la primera lista de bloqueo por DNS de uso generalizado |
| Hacia 2000 | Spamgourmet ofrece direcciones que caducan solas |
| 2002 | «A Plan for Spam» populariza el filtrado estadístico; Directiva sobre privacidad y comunicaciones electrónicas de la UE |
| 2003 | Se lanza Mailinator; se firma CAN-SPAM en Estados Unidos |
| 2004 | Se lanza Gmail y populariza las direcciones con signo más |
| 2013 | Se lanza Have I Been Pwned; Gmail empieza a usar un proxy para las imágenes |
| 2015 | DMARC se publica como RFC 7489 |
| 2018 | El RGPD se aplica en la UE |
| 2019 a 2021 | Llegan Iniciar sesión con Apple, Firefox Relay, Hide My Email y el servicio de reenvío de DuckDuckGo |
| 2022 | Apple, Google y Microsoft se comprometen con las passkeys |
| 2024 | Google y Yahoo empiezan a aplicar las reglas para remitentes masivos |
Lo que no cambió en cincuenta años
Leída de principio a fin, esta historia tiene menos variedad de la que sugiere la larga lista de tecnologías. Enviar ha seguido siendo barato, y mientras lo siga siendo existirá el correo no deseado, porque la economía del remitente no necesita que muchos lectores digan que sí. La invitación a la demostración de Thuerk y una campaña de phishing actual tienen eso en común, y la propuesta de 1992 de hacer pagar a los remitentes con potencia de cálculo fracasó precisamente porque ese precio no se podía imponer a todos.
La dirección ha seguido siendo una identidad desde la era del correo web, y una especialmente poderosa: quien lee tu bandeja normalmente puede restablecer tus contraseñas. La exposición ha seguido siendo acumulativa, ya que una lista a la que tu dirección entró en 2009 no la olvida, y la mayoría de las copias nunca se borran. Y cada generación de defensa ha venido con un compromiso que no se podía resolver con ingeniería. Cuanto más fácil es desechar una dirección, peor es para cualquier cosa que vayas a querer más adelante. Nadie ha logrado construir un buzón que sea a la vez fácil de tirar y seguro para confiarle tu banco.
Hacia dónde probablemente va la privacidad del correo
La historia sirve mejor para explicar que para predecir, como muestra el pronóstico de dos años de Gates, así que lo que sigue es una lectura de las tendencias actuales, sin garantía alguna.
Una dirección por sitio como opción por defecto
Las grandes plataformas y los gestores de contraseñas ofrecen ya alias durante el registro. Si eso sigue extendiéndose, dar la misma dirección a todos los sitios podría llegar a verse como hoy se ve reutilizar una sola contraseña. El límite probable es la portabilidad: un alias atado al ecosistema de una empresa dura lo que dure tu relación con ella, así que quienes cambien de plataforma tendrán que deshacer algunos nudos.
Las passkeys y el papel del correo
Las passkeys, basadas en estándares FIDO e impulsadas conjuntamente por Apple, Google y Microsoft desde 2022, sustituyen la contraseña por una credencial criptográfica guardada en tus dispositivos. Menos contraseñas significa menos correos de restablecimiento. Aun así, la mayoría de los servicios siguen usando la dirección de correo como identificador de la cuenta, y para avisos y recuperación cuando se pierde un dispositivo. Así que el papel del correo como canal de seguridad parece destinado a reducirse solo poco a poco, y el buzón principal seguirá mereciendo protección durante bastante tiempo.
Mejores filtros, fraudes más convincentes
El aprendizaje automático sigue mejorando la detección, y el texto generado sigue facilitando la redacción de estafas fluidas y personalizadas en cualquier idioma. El viejo consejo de fijarse en las faltas de ortografía pierde valor por ello. Las preguntas de contexto aguantan mejor: ¿tiene sentido que este mensaje llegue a esta dirección? Quien usa direcciones separadas tiene ahí una ventaja, ya que un aviso del «banco» que llega a un alias de compras responde solo a la pregunta.
Reglas más estrictas para los remitentes
Los requisitos de 2024 podrían endurecerse más, y otros grandes proveedores se han movido en la misma dirección. Eso haría más fácil dejar el marketing legítimo y más fácil filtrar el correo masivo ilegítimo. No cambiaría la economía de los delincuentes dispuestos a abusar de cuentas secuestradas o de servicios comprometidos, que se han vuelto más atractivos conforme el envío directo se hace más difícil.
Menos formularios que pidan nada
Los principios de minimización de datos de la ley de privacidad empujan a recoger solo lo que una finalidad necesita. Con el tiempo, más descargas, vistas previas y portales wifi podrían dejar de pedir una dirección, o ser más claros sobre para qué se usará. El cambio ha sido lento, porque una lista de correo tiene valor comercial. Mientras eso siga así, las bandejas temporales tendrán un trabajo: un contenido restringido de un solo uso, la página de acceso de un local, ver qué envía un sitio desconocido antes de confiar en él, siempre que las condiciones del sitio lo permitan.
Tampoco es probable que se muevan los límites. Algunas plataformas seguirán rechazando dominios desechables, y una bandeja temporal no tiene nada que hacer cerca del fraude, el abuso, la elusión de un bloqueo ni nada importante como la banca, los servicios públicos o una cuenta principal de redes sociales. Nuestros términos y condiciones establecen esos límites con claridad.
Lo que sugiere el historial para tu propia dirección
La historia da pocas instrucciones, pero unas cuantas se sostienen a lo largo de toda ella. Una dirección no vuelve atrás una vez que se ha extendido, así que el momento de proteger una dirección principal es antes de darla, y esta es la única defensa de la lista que actúa antes de que se envíe un mensaje. Los filtros, la autenticación y la ley han ayudado cada uno y cada uno ha topado con un límite, de modo que depender de uno solo ha decepcionado una y otra vez a la gente. Las herramientas desechables siempre han sido buenas en una cosa y malas en la contraria: el correo que necesitas una vez, frente a las cuentas que necesitas durante años. Guarda lo que importa en otro lugar, porque el borrado automático es a la vez el sentido de estos servicios y su filo más peligroso.
Preguntas que plantea esta historia
¿Fue el mensaje de Thuerk realmente el primer spam?
Es la respuesta habitual y la que recoge Guinness, sobre todo porque fue comercial y la reacción está documentada. Antes ya hubo mensajes masivos en sistemas compartidos. Tom Van Vleck, que trabajó en el sistema CTSS del MIT, ha descrito un mensaje contra la guerra enviado a todos sus usuarios en 1971. «Primero» depende de si cuentas los mensajes no comerciales y los mensajes dentro de un solo ordenador.
¿Quién inventó el correo desechable?
Nadie en particular. Una segunda cuenta de correo web ya hacía el trabajo de manera informal antes de que existiera ningún servicio, y Spamgourmet y Mailinator automatizaron mitades distintas de la idea. A menudo se atribuye a Mailinator haber definido la categoría porque eliminó el registro por completo, pero esa afirmación debe leerse como influencia y no como una patente de la idea.
¿Por qué tardó hasta alrededor del año 2000?
Hasta el correo web gratuito, poca gente tenía una dirección que le importara fuera del trabajo o los estudios, y los sitios web todavía no la exigían a cada paso. La necesidad llegó con los registros web a finales de los noventa. El método ya estaba disponible, puesto que los dominios siempre habían podido aceptar correo para cualquier nombre.
¿Por qué fracasó la prueba de trabajo para el correo pero sobrevivió en otros lugares?
El correo necesitaba que casi todos los servidores se pusieran de acuerdo antes de poder exigir un sello, y esa coordinación nunca se dio. Un sitio web puede adoptar la misma técnica por su cuenta, para sus propios visitantes, por eso hoy funciona como comprobación contra bots.
¿Hizo la autenticación innecesarias las direcciones de usar y tirar?
No, porque ambas tratan cuestiones distintas. SPF, DKIM y DMARC abordan si un mensaje procede realmente de un dominio. Una dirección desechable aborda quién tiene tu dirección en primer lugar. Un correo puede superar todas las comprobaciones y seguir siendo un correo que nunca quisiste.
¿Podría reemplazarse algún día el correo electrónico?
Las apps de mensajería se llevaron hace tiempo buena parte de la conversación personal, y aun así casi toda cuenta en línea pide una dirección de correo. Ninguna empresa es su dueña, cualquiera puede montar un servidor y dos partes cualesquiera pueden intercambiar correo sin compartir plataforma. Esas mismas cualidades explican por qué ha sido tan difícil acabar con el spam. Como contexto relacionado, el blog de VookMail tiene más sobre cómo funcionan hoy estas herramientas.