Pada 3 Mei 1978, Gary Thuerk, seorang pemasar di Digital Equipment Corporation, mengirim satu pesan sekaligus kepada beberapa ratus pengguna ARPANET, 393 orang menurut hitungan yang paling umum, berisi undangan untuk melihat demonstrasi komputer baru DEC. Para penerima mengeluh, dan pengelola jaringan menegur DEC. Guinness World Records mencatatnya sebagai spam elektronik tertua. Butuh sekitar dua dekade sampai ada yang menawarkan jawaban praktis bagi orang biasa di ujung kabel.
Jawaban itu, yaitu alamat email sekali pakai, muncul sekitar tahun 2000. Saat itu Spamgourmet sudah menawarkan alamat penerusan yang kedaluwarsa sendiri, dan Mailinator menyusul pada 2003 dengan kotak masuk publik yang sama sekali tidak memerlukan akun. Sejarah email sekali pakai adalah kisah tentang mengapa layanan-layanan itu menjadi perlu: sistem surat yang dibangun di atas kepercayaan, alamat yang berubah menjadi tempat login, dan biaya mengirim yang begitu dekat dengan nol sehingga filter dan undang-undang hanya bisa mengurangi banjirnya. Tekanan yang sama kemudian melahirkan alias, dan masih membentuk apa yang akan datang.
Jaringan tempat semua orang bisa dikenali
Pesan antarpengguna pada satu komputer bersama sudah ada pada 1960-an. Langkah yang penting bagi kita terjadi pada 1971, ketika insinyur Ray Tomlinson mengirim pesan antara dua mesin di ARPANET, jaringan riset yang didanai Departemen Pertahanan AS, dan memilih tanda @ untuk memisahkan nama seseorang dari nama host-nya. Pada saat pesan Thuerk dikirim, email sudah termasuk hal yang paling banyak dipakai di jaringan itu.
Penggunanya adalah peneliti, insinyur, dan pegawai pemerintah, dan sebagian besar dari mereka bisa saling mengenali. Fakta sosial itu tertanam dalam rekayasanya. Ketika SMTP terbit sebagai RFC 821 pada 1982, dengan RFC 822 yang mendefinisikan header seperti From, To, dan Subject, tidak ada satu pun bagian di dalamnya yang meminta pengirim membuktikan apa pun. Pertukaran sederhana antara dua server surat kurang lebih tampak seperti sekarang:
MAIL FROM:<anyone@example.com>RCPT TO:<reader@example.org>DATA
Server penerima menelan begitu saja pengakuan si pengirim. Di jaringan yang pelanggarannya bisa ditangani lewat satu telepon ke atasan seseorang, ini adalah rancangan yang masuk akal. Namun begitu telepon semacam itu tak lagi mungkin, rancangan ini menjadi akar dari pengirim palsu, phishing, dan surat massal anonim.
Bagian kedua datang pada 1986, ketika RFC 974 menjelaskan bagaimana Domain Name System mengarahkan surat memakai catatan MX. Sebuah domain menerbitkan catatan yang menyebut server mana yang menerima suratnya, dan pengirim mana pun bisa mencarinya. Sampai sekarang inilah cara setiap kotak surat di internet menerima pesan, dan ada konsekuensinya yang penting untuk kisah ini: siapa pun yang menguasai sebuah domain dapat mengarahkan suratnya ke mana saja dan menerima pesan untuk nama apa pun di domain itu, tanpa membuat satu akun pun lebih dulu.
1994: pesan massal sampai ke publik
Pesan Thuerk lama dianggap sekadar keanehan, karena ARPANET melarang penggunaan komersial dan orang yang bisa dijangkau pun sedikit. Pada awal 1990-an, kata spam sudah beredar di komunitas daring, dipinjam dari sebuah sketsa komedi yang kata itu diulang terus sampai menenggelamkan semua percakapan lain.
Peristiwa yang menunjukkan apa yang akan datang terjadi pada 12 April 1994. Dua pengacara imigrasi di Arizona, Laurence Canter dan Martha Siegel, memasang iklan jasa bantuan undian green card ke ribuan grup diskusi Usenet. Pengguna Usenet menanggapinya dengan marah besar, dan ketika keduanya mencoba lagi di tahun yang sama, seorang programmer menulis program untuk membatalkan kirimannya secara otomatis. Pasangan itu kemudian menerbitkan buku tentang cara mencari uang di internet, jadi kemarahan itu nyaris tidak menyelesaikan perdebatan.
Sejarah kecil itu sudah memuat pola tiga puluh tahun berikutnya. Seorang pengirim menemukan bahwa menjangkau khalayak besar nyaris tanpa biaya. Pihak penerima membalas dengan tekanan komunitas, lalu perangkat lunak. Pengirim mengubah taktik. Dan setiap pembaca secara pribadi sama sekali tak punya suara sampai ada alat yang bekerja di pihaknya.
Webmail gratis mengubah alamat menjadi tempat login
Hotmail meluncur pada 4 Juli 1996, dan Yahoo Mail pada 1997. Keduanya membiarkan siapa saja membuat alamat dalam hitungan menit dan membacanya dari peramban mana pun. Dalam beberapa tahun, akun webmail gratis berjumlah puluhan juta, dan alamat tak lagi berasal dari universitas atau tempat kerja.
Tiga hal menyusul, dan ketiganya saling memperkuat. Situs web mulai memakai alamat email sebagai nama pengguna, sekaligus sebagai saluran untuk mengonfirmasi akun dan mengatur ulang kata sandi, sehingga alamat menjadi bagian dari identitas, bukan sekadar cara menghubungi seseorang. Alamat menjadi komoditas, dipanen oleh perangkat lunak yang menyisir halaman web, forum, dan newsgroup untuk mencari apa saja yang berbentuk alamat, lalu dijual borongan dalam daftar. Dan karena mengirim sejuta pesan nyaris tak berbiaya, tingkat respons yang jauh terlalu kecil untuk iklan lewat pos pun tetap menguntungkan.
Orang pun berimprovisasi. Sebagian menulis alamatnya di tempat umum sebagai "nama at example dot com" supaya terlewat oleh crawler. Banyak yang membuka akun gratis kedua semata-mata untuk pendaftaran, jarang memeriksanya, dan membiarkannya penuh sampah. Kebiasaan kedua itulah leluhur sejati email sekali pakai. Semua gagasannya sudah ada kecuali otomatisasi: alamat yang tugasnya hanya menampung paparan, dijauhkan dari kotak surat yang penting. Kelemahannya adalah perawatan, karena ia butuh pendaftaran, kata sandi yang harus diingat, dan penyedia yang mau menjaga akun tetap terbuka.
Para pembela mulai dari ujung penerima
Sebelum alamat buang-pakai populer, hampir semua upaya serius ditujukan untuk menghentikan spam begitu ia tiba. Ada empat pendekatan yang menonjol, dan masing-masing masih bertahan dalam bentuk tertentu.
| Pendekatan | Periode | Cara kerja | Kekurangannya |
|---|---|---|---|
| Daftar blokir DNS | Akhir 1990-an: MAPS Realtime Blackhole List (1997), Spamhaus (1998) | Server surat mencari alamat IP yang terhubung di dalam daftar terbitan berisi sumber spam yang diketahui | Pengirim berpindah-pindah jaringan, dan tetangga yang tak bersalah kadang ikut masuk daftar |
| Aturan dan kata kunci | 1990-an | Filter mencocokkan kata dan pola yang mencurigakan | Salah eja dan teks yang disembunyikan di dalam gambar lolos dari filter |
| Penyaringan statistik | Dipopulerkan oleh esai Paul Graham tahun 2002, "A Plan for Spam" | Filter Bayesian belajar dari apa yang ditandai tiap pengguna sebagai spam atau bukan | Sangat efektif, tetapi baru bekerja setelah surat dikirim kepada Anda |
| Tantangan-respons | Sekitar pergantian abad | Pengirim yang tak dikenal harus membuktikan bahwa mereka manusia sebelum surat dikirim | Mengganggu lawan korespondensi yang sungguhan, dan bisa mengirim tantangan ke alamat palsu |
Gagasan kelima menyerang sisi ekonominya secara langsung. Pada 1992, Cynthia Dwork dan Moni Naor mengusulkan agar komputer diwajibkan menyelesaikan teka-teki kecil untuk setiap pesan, harga yang tidak berarti untuk satu email tetapi menghancurkan untuk sepuluh juta. Hashcash karya Adam Back, dari 1997, menawarkan versi praktisnya. Ia tak pernah menjadi syarat mengirim surat, karena akan membutuhkan hampir setiap server di dunia untuk mengadopsinya sekaligus, dan karena penjahat bisa memakai komputer orang lain yang dibajak untuk mengerjakan teka-teki itu. Gagasannya sendiri bertahan di tempat lain. Bitcoin kemudian merujuk Hashcash, dan perhitungan proof of work kecil dipakai sekarang sebagai pemeriksaan bot di halaman web. VookMail memakai satu di peramban pengunjung, jadi gagasan tahun 1992 itu diam-diam berakhir di dalam keturunan dari layanan-layanan yang dibahas artikel ini.
Keyakinan sempat tinggi untuk sementara waktu. Di World Economic Forum pada Januari 2004, Bill Gates banyak dilaporkan meramalkan bahwa spam akan teratasi dalam dua tahun. Penyaringan memang membaik pesat, dan kebanyakan orang kini hanya melihat sebagian kecil dari apa yang dikirim kepada mereka. Tetapi penyaringan punya batas yang tak bisa diperbaiki oleh angka akurasi mana pun: ia baru mulai ketika alamat Anda sudah diketahui, dan alamat yang sudah masuk daftar akan tetap di sana. Celah itulah yang disasar alat-alat di sisi pengguna. Jika pengirim tak pernah memegang alamat asli Anda, tak ada yang perlu disaring.
Alamat buang-pakai yang pertama
Tidak ada satu orang pun yang menemukan email sekali pakai. Beberapa layanan muncul dalam selang beberapa tahun, dan masing-masing memecahkan masalahnya dengan cara berbeda. Perbedaan itu layak dicermati, karena hampir setiap produk sesudahnya hanyalah variasi dari salah satunya.
Spamgourmet: alamat yang menghitung
Spamgourmet, tersedia sejak sekitar tahun 2000, dibangun di atas aturan yang cerdas. Anda mendaftar sekali, lalu mengarang alamat di tempat setiap kali formulir memintanya, dan tiap alamat meneruskan pesan ke kotak masuk asli Anda untuk jumlah pesan tertentu. Beri sebuah situs alamat yang berlaku untuk tiga email, cukup untuk konfirmasi, dan sesudah itu ia akan diam. Tidak ada yang perlu dikelola, dan Anda tak perlu membaca kotak masuk terpisah. Harganya, Anda tetap punya akun, dan kotak surat asli Anda tetap berada di baliknya.
Mailinator: kotak masuk tanpa pemilik
Mailinator milik Paul Tyma, dimulai pada 2003 sebagai proyek sampingan, membuang semua yang bisa dibuang. Nama pengguna apa pun di domainnya berfungsi tanpa perlu dibuat dulu. Untuk membaca surat, Anda mengetik nama yang sama di situs web. Tidak ada akun, tidak ada kata sandi, tidak ada penerusan, dan pesan lama dibersihkan secara otomatis.
Rancangan ini memanfaatkan poin tentang catatan MX di atas. Karena pemilik domain menentukan cara suratnya ditangani, server bisa menerima surat untuk setiap nama yang mungkin dan memperlakukan tiap nama tak lebih dari label pada setumpuk surat. Tyma belakangan bercerita bahwa ia menjaga biayanya tetap murah dengan menyimpan surat sebagian besar di memori. Layanan ini cepat dikenal: Joel Spolsky sudah menulis tentangnya di blognya dalam hitungan bulan setelah peluncuran. Sifatnya yang terbuka juga menetapkan batas yang masih berlaku bagi jenis layanan ini. Kotak masuk tanpa kata sandi bisa dibaca siapa pun yang mengetik namanya, jadi ia cocok untuk surat yang tidak penting, dan hanya itu.
Kotak masuk berjangka waktu
Pada pertengahan 2000-an, layanan seperti Guerrilla Mail dan 10 Minute Mail membuat gagasan lain menjadi akrab: situs membuatkan alamat acak untuk Anda saat halaman dimuat, dan alamat itu kedaluwarsa menurut jam yang singkat. Nama acak sulit ditebak, yang meredakan kelemahan privasi pada kotak masuk publik bersama, dan penghitung waktu yang terlihat memberi tahu pengguna dengan tepat untuk apa alamat itu dipakai.
Dari ketiga rancangan ini, beberapa prinsip mengakar. Akun menggagalkan tujuannya bila Anda harus menyerahkan data untuk melindungi data, sehingga layanan yang paling dikenal tidak meminta apa pun. Alamat harus langsung berfungsi begitu muncul. Surat harus hilang sendiri, agar sedikit yang tersimpan. Dan sebagian besar layanan berfokus pada penerimaan, yang memang dibutuhkan pengguna dan yang hampir tak berguna bagi pengirim spam.
Situs web menjawab dengan daftar blokir
Pemilik situs memandang alamat buang-pakai secara berbeda. Tim pemasaran sudah membayar untuk sebuah pendaftaran yang tak akan pernah bisa lagi dikirimi surat. Sebuah platform tak punya cara menghubungi pengguna soal masalah keamanan atau penagihan. Layanan dengan paket gratis atau aturan komunitas satu akun per orang kehilangan salah satu dari sedikit tanda bahwa aturan itu ditaati.
Tanggapan yang umum adalah pemeriksaan domain: saat pendaftaran, bagian setelah @ dibandingkan dengan daftar domain sekali pakai yang diketahui. Daftar komunitas untuk domain-domain itu diterbitkan secara terbuka, dan layanan validasi komersial menawarkan pemeriksaan yang sama lewat API. Daftar itu bertambah panjang dari tahun ke tahun seiring bertambahnya layanan dan domain.
Mudah saja menceritakannya sebagai pertandingan dengan pemenang dan pecundang, tetapi cara pandang itu tidak menguntungkan siapa pun. Situs yang memutuskan tidak menerima alamat sekali pakai sedang mengambil keputusan tentang layanannya sendiri, dan tanggapan yang tepat atas penolakan adalah memakai alamat permanen atau alias di sana. Alamat buang-pakai punya tempatnya sendiri pada kelompok situs yang sangat besar yang tidak butuh hubungan jangka panjang dengan Anda, dan di tempat yang ketentuannya mengizinkan.
2004: tanda plus sampai ke khalayak luas
Gmail meluncur pada 1 April 2004 dengan penyimpanan satu gigabyte, sementara pesaingnya menawarkan sebagian kecil dari itu. Penyimpanan jadi berita utamanya, tetapi layanan ini juga membuat dua kebiasaan pengalamatan dikenal luas. Titik dalam nama pengguna diabaikan, dan apa pun setelah tanda plus diabaikan saat pengiriman, sehingga name+shop@gmail.com sampai ke name@gmail.com.
Gagasan itu lebih tua daripada Gmail, dan server surat sudah mendukungnya bertahun-tahun. Bentuk bakunya datang belakangan, dalam RFC 5233 tahun 2008, yang mendefinisikan ekstensi subalamat untuk bahasa penyaringan surat Sieve. Namun bagi kebanyakan orang, Gmail adalah tempat mereka pertama kali bertemu dengannya. Dengan ini Anda bisa memberi label pada tiap situs, menyaring berdasarkan label, dan melihat salinan alamat milik perusahaan mana yang berakhir di daftar spam.
Yang tidak dilakukannya adalah menyembunyikan apa pun. Hapus labelnya dan alamat asli terpampang di sana, dan beberapa formulir pendaftaran keliru menolak tanda plus. Jadi ia menjadi alat pengorganisasian, dan daya tariknya menunjukkan adanya keinginan nyata untuk satu alamat per hubungan. Alias penerusan baru memenuhi keinginan itu dengan layak satu dekade kemudian.
Membenahi sisi pengirim: 2006 hingga 2024
Sementara pengguna mengadopsi alat mereka sendiri, industri mulai menambahkan pemeriksaan identitas yang dulu dilewatkan SMTP. Ini memakan waktu yang sangat lama, karena setiap lapisan harus bekerja berdampingan dengan sistem yang ada tanpa merusaknya.
| Standar | Pertanyaan yang dijawab | Spesifikasi |
|---|---|---|
| SPF | Bolehkah server ini mengirim atas nama domain ini? | RFC 4408 (2006), digantikan RFC 7208 (2014) |
| DKIM | Apakah domain ini menandatangani pesan, dan apakah pesan berubah sejak itu? | RFC 4871 (2007), digantikan RFC 6376 (2011). Standar ini menggabungkan DomainKeys milik Yahoo dengan Identified Internet Mail milik Cisco |
| DMARC | Apakah domain From yang terlihat selaras dengan pemeriksaan yang lolos, dan apa yang harus terjadi bila tidak? | Diterbitkan oleh kelompok industri pada 2012, RFC 7489 (2015) |
| Berhenti berlangganan satu klik | Bisakah penyedia kotak surat menghapus seorang pembaca dengan satu tindakan? | RFC 8058 (2017), berdasarkan header List-Unsubscribe dari RFC 2369 (1998) |
| BIMI | Bisakah domain dengan DMARC ketat menampilkan logo yang terverifikasi? | Dikembangkan oleh kelompok kerja industri dan diadopsi beberapa penyedia besar pada 2020-an |
Selama bertahun-tahun, semuanya tetap bersifat opsional dalam praktik. Itu berubah pada Februari 2024, ketika Google dan Yahoo mulai menerapkan aturan untuk pengirim massal, dengan aturan Google berlaku bagi mereka yang mengirim lebih dari 5.000 pesan per hari ke alamat Gmail. Para pengirim itu kini membutuhkan SPF, DKIM, dan DMARC, berhenti berlangganan satu klik pada surat pemasaran, serta tingkat keluhan spam yang rendah. Empat puluh dua tahun setelah RFC 821, operator kotak surat terbesar pada dasarnya telah menjadikan identitas pengirim syarat untuk menjangkau penggunanya dalam skala besar.
Autentikasi meningkatkan kepercayaan pada asal sebuah pesan. Ia tidak menyampaikan apa pun tentang seberapa luas alamat Anda telah menyebar. Email pemasaran yang tidak diinginkan bisa lolos semua pemeriksaan dengan sempurna, dan penjahat bisa mendaftarkan domain lalu mengautentikasinya juga. Jadi upaya ini dan alamat sekali pakai menyelesaikan bagian yang berbeda dari masalah yang sama, dan tak satu pun membuat yang lain sia-sia.
Apa yang dilakukan pembuat undang-undang
Undang-undang datang bergelombang, dan pendekatannya berbeda-beda. Ringkasan di sini adalah informasi umum, dan aturannya berbeda di tiap negara serta berubah dari waktu ke waktu.
- Direktif ePrivacy Uni Eropa tahun 2002 menetapkan aturan komunikasi elektronik, termasuk persetujuan untuk email pemasaran, yang diterapkan sendiri-sendiri oleh tiap negara anggota.
- Undang-Undang CAN-SPAM AS berlaku pada Januari 2004. Undang-undang ini mewajibkan header yang akurat, alamat pos yang sah, dan opsi berhenti yang berfungsi, dan tidak mewajibkan persetujuan sebelum pesan pertama.
- Undang-undang antispam Kanada, CASL, berlaku pada 2014 dengan model berbasis persetujuan yang lebih ketat.
- Peraturan Perlindungan Data Umum Uni Eropa, GDPR, berlaku sejak Mei 2018, membawa prinsip seperti minimalisasi data dan pembatasan tujuan, beserta hak atas data pribadi yang mencakup alamat email.
Undang-undang ini menaikkan standar di kalangan bisnis yang ingin tetap sah. Pengaruhnya jauh lebih kecil terhadap penjahat yang beroperasi lintas batas, dan tak satu pun dapat mencegah pencurian basis data perusahaan, yang kemudian menjadi alasan berikutnya orang peduli pada kotak masuk mereka.
Kebocoran mengubah argumennya
Hingga 2010-an, alasan memakai alamat buang-pakai terutama soal gangguan. Lalu skala pencurian data terungkap ke publik. Kebocoran Adobe terungkap pada 2013, dan pada tahun yang sama di bulan Desember, peneliti keamanan Troy Hunt meluncurkan Have I Been Pwned, yang memungkinkan siapa pun memeriksa alamat terhadap kebocoran yang diketahui. Banyak orang yang mencobanya mendapati alamat utama mereka tercantum beberapa kali. Yahoo kemudian menyatakan bahwa kebocoran 2013 memengaruhi seluruh sekitar tiga miliar akunnya.
Ancamannya berubah karenanya. Alamat Anda tadinya sasaran iklan. Sekarang ia datang bersama konteks: phishing bisa merujuk pada layanan yang benar-benar Anda pakai, dan credential stuffing bisa mencoba pasangan kata sandi yang bocor di situs-situs lain secara otomatis. Setiap layanan yang menyimpan alamat utama Anda menjadi calon sumber serangan di masa depan, seremeh apa pun layanan itu terlihat saat Anda mendaftar.
Logika lama akun kedua mendadak tampak seperti manajemen risiko. Jika situs unduhan sekali pakai mengalami kebocoran dan Anda memberinya alamat sementara, kotak masuk utama Anda tidak ikut bocor. Jika Anda memberinya alias, Anda bisa mematikan alias itu. Semakin sedikit alamat utama Anda beredar, semakin sedikit yang bisa dicuri.
Gambar yang melapor balik
Pemasar sudah lama memakai gambar jarak jauh yang sangat kecil dan tautan yang dipersonalisasi untuk mengetahui siapa membuka apa dan kapan, kadang disertai perkiraan lokasi dan jenis perangkat. Tanggapannya datang pelan-pelan dan dari sisi kotak surat. Banyak program surat menambahkan pengaturan untuk memblokir gambar jarak jauh. Gmail mulai mengambil gambar lewat proksinya sendiri pada akhir 2013, yang menyembunyikan alamat IP pembaca dari pengirim tetapi tetap membiarkan mereka mengetahui bahwa pesan telah dimuat. Pada 2021 Apple memperkenalkan Mail Privacy Protection, yang memuat konten jarak jauh secara privat di latar belakang dan membuat data pembukaan tak lagi bisa diandalkan sebagai sinyal.
Ini pertahanan kecil dibandingkan membatasi siapa yang memegang alamat Anda, tetapi semuanya menuju arah yang sama: orang yang membaca surat yang semestinya menentukan apa yang boleh diketahui pengirim. Kotak masuk sekali pakai mencapai hasil yang sama lewat jalan lain. Surat yang masuk ke alamat yang tak pernah Anda cek lagi hampir tak punya apa-apa untuk dilaporkan, dan sebagian layanan bahkan melangkah lebih jauh dengan membuang gambar pelacaknya.
Alias pindah ke sistem operasi
Layanan alias penerusan sudah bertahun-tahun ada sebagai produk khusus. Pengguna mendapat alamat permanen yang tampak acak yang mengantarkan ke kotak surat asli, dan masing-masing bisa dinonaktifkan sendiri. Akhir 2010-an membawa gagasan ini ke arus utama, dalam urutan yang cepat:
- Apple memperkenalkan alamat relay sebagai bagian dari Sign in with Apple pada 2019.
- Mozilla mulai menguji Firefox Relay, yang awalnya bernama Firefox Private Relay, pada 2020.
- Apple memperluas gagasan itu sebagai Hide My Email di iCloud+ pada 2021.
- DuckDuckGo membuka beta perlindungan email-nya pada 2021, dengan alamat penerusan privat.
- Proton membeli layanan alias SimpleLogin pada 2022, dan penyedia email berfokus privasi menanamkan fitur alias ke produk mereka secara lebih umum.
Pergeseran ini mudah diremehkan. Selama dua puluh tahun, memiliki alamat terpisah untuk tiap situs adalah kebiasaan orang yang peduli privasi. Begitu ponsel atau peramban menawarkannya langsung di formulir pendaftaran, caranya lebih ringan daripada mengetik alamat sendiri. Alias tidak membuat kotak masuk sementara jadi mubazir, karena alias tetap bertumpu pada akun di suatu tempat, dan akun itu tahu siapa Anda. Cara yang baik untuk melihat hubungan keduanya adalah menaruhnya berdampingan dengan semua yang datang sebelumnya.
| Generasi | Yang ditawarkan | Yang dikorbankan |
|---|---|---|
| Akun gratis kedua (akhir 1990-an) | Tempat permanen yang bisa dipulihkan untuk pendaftaran | Pendaftaran, perawatan, dan masalah spam-nya sendiri yang terus bertambah |
| Menulis alamat dalam bentuk samaran | Perlindungan dari crawler, tanpa alat apa pun | Hanya membantu untuk kiriman publik, tidak pernah untuk pendaftaran |
| Penerus yang menghitung (sekitar 2000) | Pemutusan otomatis setelah beberapa pesan | Perlu akun, dan tetap terhubung ke kotak masuk asli |
| Kotak masuk sementara publik (2003 dan seterusnya) | Tanpa menyerahkan data, tanpa yang perlu dikelola | Umur pendek, bisa dibaca siapa pun yang punya alamatnya, tidak layak untuk akun penting |
| Plus addressing (populer sejak 2004) | Penyaringan mudah dan pelacakan kebocoran | Alamat asli tetap terlihat, dan beberapa formulir menolaknya |
| Layanan alias penerusan (2010-an) | Hubungan jangka panjang dengan sakelar mati | Kepercayaan pada penyedia alias, yang masuk ke rantai pemulihan Anda |
| Alias bawaan (2019 dan seterusnya) | Hampir tanpa usaha, ditawarkan di dalam formulir pendaftaran | Mengikat Anda pada ekosistem satu platform |
Tak satu pun menggantikan yang lain. Masing-masing cocok untuk tingkat kepercayaan dan rentang umur yang berbeda, dan itulah sebabnya strategi email pribadi berlapis beberapa tingkat masih masuk akal.
Seperti apa kotak masuk sementara sekarang
Janji intinya tidak berubah sejak 2003, sedangkan mesin di baliknya sudah banyak berubah. Layanan awal sering menjalankan satu server SMTP yang menerima semuanya dan menyimpannya di balik halaman sederhana. Kini pekerjaannya biasanya dibagi-bagi, dan VookMail adalah salah satu contoh susunan itu. Domain-domainnya, seperti privoxmail.com, veylax.com, dan mailnexio.com, menerbitkan catatan MX yang menunjuk ke penyedia pengiriman surat. Server pengirim mencari catatan itu dan mengantarkan lewat SMTP seperti sejak 1980-an. Penyedia lalu meneruskan setiap pesan ke VookMail lewat HTTPS, sehingga VookMail tidak membuka server suratnya sendiri. Peramban memeriksa surat baru setiap beberapa detik, dan pesan, lampiran, serta alamat dihapus setelah sekitar sehari. Halaman metodologi membahasnya lebih rinci.
Antarmukanya juga berkembang, dan mencerminkan pelajaran dari generasi sebelumnya. Alamat siap saat halaman dimuat, tanpa pendaftaran dan tanpa kata sandi, seperti yang dibuktikan Mailinator mungkin dilakukan. Alamat acak, dari tombol Acak berwarna kuning, menjawab kelemahan tebak-tebakan pada kotak masuk terbuka; alternatifnya adalah menekan Baru, mengetik nama pengguna, dan memilih dari lebih dari 30 domain. Siapa pun yang tahu atau menebak sebuah alamat tetap bisa membuka kotak masuknya, hal yang masih berlaku bagi seluruh keluarga layanan ini, dan itulah mengapa memilih acak lebih aman. Panduan memakai VookMail kami menjelaskan tombol-tombolnya, dan tersedia aplikasi di Google Play dan Huawei AppGallery.
Langkah-langkah yang dilihat pengguna modern tidak akan terlalu mengejutkan orang dari tahun 2003 seperti yang Anda kira. Kode verifikasi yang diambil dan ditampilkan di atas pesan, kode QR untuk membawa alamat ke perangkat kedua, gambar pelacak yang dibuang: semuanya penyempurnaan dari satu gagasan, yaitu menerima yang Anda butuhkan sekarang lalu melepasnya. Pengujian perangkat lunak juga menjadi penggunaan besar, karena kotak masuk bersih untuk setiap kali uji persis yang diinginkan developer yang memeriksa alur pendaftaran.
Tanggal-tanggal yang perlu dicatat di satu tempat
| Tahun | Peristiwa |
|---|---|
| 1971 | Ray Tomlinson mengirim surat antarmesin dan memakai tanda @ |
| 1978 | Pesan massal Gary Thuerk di ARPANET, biasanya disebut sebagai spam pertama |
| 1982 | SMTP (RFC 821) dan format pesan (RFC 822) diterbitkan |
| 1986 | RFC 974 menjelaskan perutean surat dengan DNS |
| 1992 | Dwork dan Naor mengusulkan teka-teki komputasi untuk melawan surat sampah |
| 1994 | Kiriman Green Card membanjiri Usenet |
| 1996 hingga 1997 | Hotmail dan Yahoo Mail membuka webmail gratis untuk semua orang; daftar blokir DNS pertama yang banyak dipakai dimulai |
| Sekitar 2000 | Spamgourmet menawarkan alamat yang kedaluwarsa sendiri |
| 2002 | "A Plan for Spam" mempopulerkan penyaringan statistik; Direktif ePrivacy Uni Eropa |
| 2003 | Mailinator diluncurkan; CAN-SPAM ditandatangani di Amerika Serikat |
| 2004 | Gmail diluncurkan dan membuat plus addressing dikenal |
| 2013 | Have I Been Pwned diluncurkan; Gmail mulai memproksi gambar |
| 2015 | DMARC diterbitkan sebagai RFC 7489 |
| 2018 | GDPR berlaku di Uni Eropa |
| 2019 hingga 2021 | Sign in with Apple, Firefox Relay, Hide My Email, dan layanan penerusan DuckDuckGo hadir |
| 2022 | Apple, Google, dan Microsoft berkomitmen pada passkey |
| 2024 | Google dan Yahoo mulai menegakkan aturan pengirim massal |
Yang tidak berubah selama lima puluh tahun
Dibaca dari awal sampai akhir, sejarah ini tidak sebervariasi yang disiratkan daftar panjang teknologinya. Mengirim tetap murah, dan selama itu begitu, surat yang tidak diinginkan akan ada, karena ekonomi si pengirim tidak butuh banyak pembaca yang mengiyakan. Undangan demonstrasi Thuerk dan gelombang phishing modern punya kesamaan itu, dan usulan 1992 agar pengirim membayar dengan daya komputasi gagal justru karena harga itu tidak bisa dibebankan kepada semua orang.
Alamat tetap menjadi identitas sejak era webmail, dan identitas yang sangat kuat: siapa pun yang membaca kotak masuk Anda biasanya bisa mengatur ulang kata sandi Anda. Paparan tetap bersifat kumulatif, karena daftar yang dimasuki alamat Anda pada 2009 tidak melupakannya, dan sebagian besar salinan tidak pernah dihapus. Dan setiap generasi pertahanan datang dengan pertukaran yang tidak bisa direkayasa hilang. Semakin mudah sebuah alamat dibuang, semakin buruk ia untuk apa pun yang Anda butuhkan nanti. Belum ada yang berhasil membangun kotak surat yang sekaligus tanpa beban untuk dibuang dan aman untuk dipercaya menyimpan urusan bank Anda.
Ke mana arah privasi kotak masuk
Sejarah lebih pandai menjelaskan daripada meramal, seperti ditunjukkan prakiraan dua tahun Gates, jadi anggaplah uraian berikut sebagai pembacaan tren saat ini tanpa jaminan apa pun.
Satu alamat per situs sebagai standar
Alias kini ditawarkan oleh platform besar dan pengelola kata sandi saat pendaftaran. Jika ini terus menyebar, memberikan alamat yang sama ke setiap situs mungkin akan tampak seperti memakai satu kata sandi untuk semua hal pada hari ini. Batas yang mungkin muncul adalah portabilitas: alias yang terikat pada ekosistem satu perusahaan hanya bertahan selama hubungan Anda dengan perusahaan itu, sehingga orang yang berpindah antarplatform akan harus membereskan beberapa hal.
Passkey dan peran email
Passkey, dibangun di atas standar FIDO dan dipromosikan bersama oleh Apple, Google, dan Microsoft sejak 2022, menggantikan kata sandi dengan kredensial kriptografis yang disimpan di perangkat Anda. Lebih sedikit kata sandi berarti lebih sedikit email atur ulang. Namun sebagian besar layanan masih memakai alamat email sebagai pengenal akun, dan untuk pemberitahuan serta pemulihan saat perangkat hilang. Jadi peran email sebagai saluran keamanan tampaknya hanya akan menyusut perlahan, dan kotak surat utama masih layak dilindungi untuk waktu yang cukup lama.
Filter yang lebih baik, penipuan yang lebih meyakinkan
Pembelajaran mesin terus menyempurnakan deteksi, dan teks buatan mesin terus mempermudah penulisan penipuan yang fasih dan dipersonalisasi dalam bahasa apa pun. Tips lama tentang salah ketik pun kian kehilangan nilainya. Pertanyaan tentang konteks lebih tahan uji: apakah pesan ini memang semestinya masuk ke alamat ini? Orang yang memakai alamat terpisah punya keuntungan di sini, sebab pemberitahuan "bank" yang tiba di alias belanja sudah menjawab pertanyaannya sendiri.
Aturan pengirim yang lebih ketat
Persyaratan 2024 bisa diperketat lagi, dan penyedia besar lainnya bergerak ke arah yang sama. Itu akan membuat pemasaran yang sah lebih mudah ditinggalkan dan surat massal yang tidak sah lebih mudah disaring. Ia tidak akan mengubah ekonomi bagi penjahat yang bersedia menyalahgunakan akun yang dibajak atau layanan yang disusupi, dan sasaran itu menjadi lebih menarik seiring pengiriman langsung yang makin sulit.
Semakin sedikit formulir yang bertanya
Prinsip minimalisasi data dalam hukum privasi mendorong pengumpulan hanya apa yang dibutuhkan suatu tujuan. Seiring waktu, lebih banyak unduhan, pratinjau, dan portal Wi-Fi mungkin berhenti meminta alamat, atau lebih jelas tentang untuk apa alamat itu akan dipakai. Perubahannya lambat, karena daftar surat punya nilai komersial. Selama itu masih berlaku, kotak masuk sementara punya tugas: konten sekali unduh yang dikunci, halaman masuk sebuah tempat, melihat apa yang dikirim situs yang belum dikenal sebelum memercayainya, selalu di tempat yang ketentuan situsnya mengizinkan.
Batas-batasnya juga tampaknya tidak akan bergeser. Sebagian platform akan terus menolak domain sekali pakai, dan kotak masuk sementara tidak pantas dipakai untuk penipuan, penyalahgunaan, menyiasati blokir, atau hal penting seperti perbankan, layanan pemerintah, atau akun media sosial utama. Syarat dan ketentuan kami menyatakan batas-batas itu dengan jelas.
Yang disarankan catatan sejarah untuk alamat Anda sendiri
Sejarah jarang memberi petunjuk, tetapi beberapa di antaranya bertahan sepanjang waktu. Alamat tidak kembali setelah menyebar, jadi saat untuk melindungi alamat utama adalah sebelum memberikannya, dan ini satu-satunya pertahanan dalam daftar yang bekerja sebelum pesan dikirim. Filter, autentikasi, dan hukum masing-masing membantu dan masing-masing menabrak batasnya, sehingga bergantung pada salah satunya berkali-kali mengecewakan orang. Alat buang-pakai selalu bagus dalam satu hal dan buruk dalam kebalikannya: surat yang Anda butuhkan sekali, berbeda dengan akun yang Anda butuhkan bertahun-tahun. Simpan yang penting di tempat lain, karena penghapusan otomatis adalah sekaligus inti dan sisi paling tajam dari layanan ini.
Pertanyaan yang muncul dari sejarah ini
Apakah pesan Thuerk benar-benar spam pertama?
Itu jawaban yang lazim dan yang dicatat Guinness, sebagian besar karena sifatnya komersial dan reaksinya terdokumentasi. Pesan massal yang lebih awal memang ada di sistem bersama. Tom Van Vleck, yang bekerja pada sistem CTSS milik MIT, pernah menceritakan pesan antiperang yang dikirim ke semua penggunanya pada 1971. Soal "pertama" bergantung pada apakah Anda menghitung pesan nonkomersial, dan pesan dalam satu komputer.
Siapa yang menemukan email sekali pakai?
Tidak ada orang tertentu. Akun webmail kedua sudah menjalankan fungsinya secara informal sebelum ada layanan apa pun, dan Spamgourmet serta Mailinator mengotomatiskan bagian yang berbeda dari gagasan itu. Mailinator sering dianggap menentukan kategori ini karena menghapus pendaftaran sepenuhnya, tetapi klaim itu sebaiknya dibaca sebagai pengaruh, bukan paten atas gagasannya.
Mengapa baru sekitar tahun 2000?
Sebelum webmail gratis, sedikit orang punya alamat yang berarti bagi mereka di luar pekerjaan atau studi, dan situs web belum menuntutnya di setiap kesempatan. Kebutuhannya datang bersama pendaftaran web pada akhir 1990-an. Caranya sendiri sudah tersedia, sebab domain selalu bisa menerima surat untuk nama apa pun.
Mengapa proof of work gagal untuk email tetapi bertahan di tempat lain?
Email membutuhkan hampir setiap server untuk sepakat sebelum cap bisa diwajibkan, dan koordinasi itu tidak pernah terjadi. Sebuah situs web bisa mengadopsi teknik yang sama sendirian, untuk pengunjungnya sendiri, itulah sebabnya ia berfungsi sebagai pemeriksaan bot hari ini.
Apakah autentikasi membuat alamat buang-pakai tak diperlukan lagi?
Tidak, karena keduanya menjawab pertanyaan yang berbeda. SPF, DKIM, dan DMARC menjawab apakah pesan benar-benar berasal dari suatu domain. Alamat sekali pakai menjawab siapa yang memegang alamat Anda sejak awal. Surat bisa lolos semua pemeriksaan dan tetap menjadi surat yang tak pernah Anda inginkan.
Mungkinkah email digantikan?
Aplikasi pesan sudah lama mengambil alih sebagian besar percakapan pribadi, dan nyaris setiap akun daring tetap meminta alamat email. Tidak ada perusahaan yang memilikinya, siapa pun bisa menjalankan server, dan dua pihak mana pun bisa bertukar surat tanpa berbagi platform. Sifat-sifat itu juga menjelaskan mengapa spam begitu sulit diakhiri. Untuk latar belakang terkait, blog VookMail memuat lebih banyak tentang cara kerja alat-alat ini hari ini.