Scrivi il tuo indirizzo email in un motore di ricerca, tra virgolette. Se compare in un vecchio post di un forum, in un curriculum di anni fa, nell'elenco soci di un'associazione o nella pagina contatti di un progetto personale, quasi certamente l'hanno raccolto anche gli scraper automatici. Questi programmi scandagliano il web cercando tutto ciò che ha la forma di nome@dominio, e le liste che ne ricavano vengono vendute, scambiate e bersagliate di messaggi per anni.
La risposta breve su come nascondere l'email ai bot dello spam: pubblica il tuo indirizzo principale il meno possibile, metti un modulo di contatto davanti a qualsiasi indirizzo sul tuo sito, dai ai luoghi pubblici un indirizzo che puoi filtrare o sostituire e usa una casella temporanea per le iscrizioni di una volta sola. Niente di tutto questo rende invisibile un indirizzo. Se una persona può leggerlo, di solito può farlo anche un programma ostinato. Questi passi però riducono il numero di liste in cui finisce il tuo indirizzo e limitano il danno a un indirizzo che puoi permetterti di perdere.
Come scraper e bot dello spam trovano gli indirizzi email
Gran parte della raccolta è automatica e costa pochissimo. Un bot scarica le pagine, cerca lo schema di una @ seguita da un dominio e salva tutto ciò che corrisponde. Altri indirizzi arrivano da fonti che non richiedono alcuna scansione. Sapere quale fonte ti ha esposto ti dice quale rimedio servirà.
| Fonte | Come ci finisce l'indirizzo | Cosa puoi fare |
|---|---|---|
| Il tuo sito web | Un link mailto: o un indirizzo nel footer o nella pagina contatti | Usare un modulo di contatto o un indirizzo generico da filtrare |
| Forum, commenti e recensioni | Firme, risposte tipo «scrivimi a», campi pubblici del profilo | Modificare i vecchi post, nascondere il campo del profilo, usare un altro indirizzo |
| Dati di registrazione dei domini | Recapiti nel WHOIS o nel RDAP di un dominio di tua proprietà | Controllare l'opzione privacy del tuo registrar |
| Profili pubblici e codice | Bio sui social, pagine autore, metadati dei commit Git | Togliere l'indirizzo, usare un indirizzo no-reply per i commit |
| Documenti | PDF, curriculum, presentazioni e fogli di calcolo pubblicati online | Togliere o sostituire i file che controlli |
| Violazioni di dati | Un servizio che usavi ha perso il database degli utenti | Non puoi impedirlo, quindi limita quale indirizzo riceve ogni servizio |
| Tentativi a caso | Nomi comuni come info@ o anna@ provati su domini noti | Filtri e, sul tuo dominio, rifiuto dei destinatari sconosciuti |
I dati dei domini meritano una precisazione, perché molti pensano che siano ancora del tutto pubblici. Da quando il GDPR è diventato applicabile nel 2018, la maggior parte dei grandi registrar nasconde i recapiti personali nei risultati WHOIS pubblici, e molti offrono un servizio di privacy gratuito. Le regole però cambiano a seconda del registrar e del dominio nazionale, e le organizzazioni spesso compaiono per intero. Controlla una volta il tuo dominio per vedere cosa viene mostrato davvero.
Le violazioni di dati sono la fonte più sottovalutata. Puoi stare attento ovunque e finire comunque nelle liste di spam perché un negozio, un forum o un'app che usavi anni fa è stato violato. Per questo i consigli più avanti non riguardano solo dove pubblichi il tuo indirizzo, ma anche quale indirizzo consegni.
Proteggere un indirizzo sul tuo sito
Se gestisci un sito, un blog o un negozio online, la pagina contatti è il posto in cui è più probabile che i bot ti trovino. Qui hai più controllo che altrove, quindi conviene fare le cose per bene.
Un modulo di contatto al posto di un link mailto
Un modulo invia il messaggio dal tuo server, quindi l'indirizzo di destinazione non compare mai nella pagina. Convalida i dati sul server, non solo nel browser, e fai arrivare il messaggio a un indirizzo che non è pubblicato da nessuna parte. I moduli attirano il loro spam, e di questo si occupano le sezioni successive, ma chi fa spam tramite un modulo non può aggiungere il tuo indirizzo a una lista che poi viene rivenduta.
Offuscamento: cosa ferma davvero ogni trucco
Se devi per forza mostrare un indirizzo, ci sono modi per renderlo più difficile da raccogliere. L'efficacia varia molto, e ognuno ha un costo per i visitatori veri.
| Metodo | Ferma | Non ferma | Costo |
|---|---|---|---|
| Scrivere «nome chiocciola dominio punto com» | I bot più semplici che cercano schemi | Gli scraper che riconoscono i modi comuni di scrivere «chiocciola» e «punto» | I visitatori devono riscrivere l'indirizzo |
| Entità di caratteri HTML | I bot che leggono il sorgente senza decodificarlo | Qualsiasi parser che decodifica l'HTML, cioè quasi tutti | Quasi nessuno |
| Comporre l'indirizzo con JavaScript | I crawler che non eseguono script | I browser headless che mostrano la pagina come farebbe una persona | Non funziona per chi blocca gli script |
| Mostrare l'indirizzo come immagine | Gli scraper basati sul testo | Il riconoscimento del testo, economico e preciso | Gli screen reader non lo leggono e nessuno può copiarlo |
| La funzione di offuscamento di una CDN | Molti scraper comuni, senza lavoro da parte tua | I bot che eseguono lo script di decodifica | Dipende dallo script del fornitore |
Il riassunto onesto: l'offuscamento elimina i bot più pigri, e buona parte della raccolta è pigra, quindi il volume cala. Non protegge un indirizzo da chi prende di mira il tuo sito di proposito. Considera ogni indirizzo che mostri come un indirizzo che prima o poi verrà raccolto, e sceglilo di conseguenza.
CAPTCHA, honeypot e limiti di invio
Questi strumenti proteggono il modulo, non l'indirizzo. Un CAPTCHA o un servizio di verifica blocca molti invii automatici, anche se alcuni passano e ogni verifica infastidisce un po' le persone vere. Un honeypot è un campo nascosto che le persone non vedono mai e che i bot compilano, così puoi scartare quegli invii in silenzio. Limitare gli invii per indirizzo IP impedisce a una sola fonte di mandare centinaia di messaggi in un minuto. Insieme mantengono la casella utilizzabile senza chiedere troppo ai visitatori. Se il modulo iscrive le persone a una mailing list, usa il double opt-in, così nessuno può iscrivere l'indirizzo di uno sconosciuto.
Tieni il tuo indirizzo principale fuori dalle pagine pubbliche
Il tuo indirizzo principale è quello collegato alla banca, alla pubblica amministrazione, al lavoro e alle persone che conosci. La protezione migliore è semplice: non dovrebbe comparire da nessuna parte dove un crawler può arrivare. Controlla una volta i posti più comuni:
- Profili social e professionali. Togli l'indirizzo dalle bio e, dove la piattaforma lo consente, rendi il campo contatto visibile solo ai tuoi collegamenti.
- Forum e vecchi account. Modifica firme e vecchi post che lo contengono. Chiudi gli account che non usi più.
- Repository di codice. GitHub e piattaforme simili permettono di usare un indirizzo no-reply privato per i commit. I nuovi commit non mostrano più quello vero, ma i vecchi conservano ciò che hanno registrato.
- Documenti. Un curriculum o una brochure pubblicati in PDF sono testo semplice per un crawler. Sostituisci i file che controlli con versioni che usano un modulo di contatto o un indirizzo separato.
- Elenchi e liste dei soci. Chiedi a club, scuole e associazioni di togliere l'indirizzo o di limitare la lista ai soci.
Togliere un indirizzo non lo cancella dalle liste che esistono già, e le cache dei motori di ricerca e gli archivi web possono conservarne copie per un po'. Impedisce però che nuovi scraper lo raccolgano, e col tempo fa la differenza.
Dai ai luoghi pubblici un indirizzo separato
Alcuni indirizzi devono essere pubblici: quello di contatto di una libera professionista, quello di assistenza di un negozio, quello stampato su un volantino. La soluzione è tenerlo distinto da quello privato. Un indirizzo generico come contact@yourdomain.example, o una seconda casella presso un provider gratuito, si può filtrare con decisione e sostituire se sfugge di mano, senza toccare la banca o gli amici.
Per le iscrizioni, un alias email va oltre. I servizi di alias ti danno un indirizzo di inoltro diverso per ogni sito, così il sito non vede mai quello vero e puoi disattivare qualsiasi alias che inizia a ricevere spazzatura. Tra gli esempi ci sono Nascondi la mia email di Apple per gli abbonati iCloud+, Firefox Relay, SimpleLogin e DuckDuckGo Email Protection. Gli indirizzi con il più, come yourname+negozio@gmail.com, servono a capire da dove arriva lo spam, ma non nascondono nulla, perché chiunque può cancellare l'etichetta. Confrontiamo queste opzioni nella nostra guida su email temporanea e alias email, e il nostro articolo su come costruire una strategia email personale spiega come dividere gli indirizzi per livello di fiducia.
| Opzione | Nasconde il tuo indirizzo vero | Quanto dura | Ideale per |
|---|---|---|---|
| Indirizzo principale | No | Anni | Banca, lavoro, pubblica amministrazione, persone che conosci |
| Indirizzo con il più | No | Quanto la tua casella | Capire quale sito l'ha perso o venduto |
| Casella secondaria o indirizzo generico | Sì, se niente lo collega a te | Anni | Recapiti pubblici, negozi in cui torni a comprare |
| Alias email | Sì | Finché non lo disattivi | Account che tieni ma di cui non ti fidi del tutto |
| Casella temporanea | Sì | Circa 24 ore | Iscrizioni e download di una volta sola |
Una casella temporanea per le iscrizioni di una volta sola
Buona parte dello spam nasce da una singola iscrizione che non ti è più servita: una guida gratuita, una discussione di un forum da leggere una volta, un portale Wi-Fi, un account di prova. In questi casi un indirizzo di temp mail tiene il tuo indirizzo vero completamente fuori dal database del sito. Se quel sito viene violato o vende la sua lista, lo spam va a un indirizzo che non esiste più.
VookMail funziona senza account. Apri il sito e trovi già un indirizzo pronto. Copialo con il pulsante Copia, oppure premi Nuovo per scegliere un nome utente e uno tra oltre 30 domini. La casella controlla la posta ogni pochi secondi, quindi un link di conferma compare senza ricaricare la pagina. Quando hai finito, Elimina cancella l'indirizzo. Altrimenti i messaggi vengono eliminati entro circa 24 ore. Se vuoi capire nel dettaglio come funziona questo tipo di indirizzo di email usa e getta, quella pagina lo spiega.
I limiti fanno parte di un uso corretto. Una casella temporanea si apre solo nel browser che l'ha creata e i suoi messaggi non sono cifrati end-to-end, quindi non è il posto per nulla di personale. Non usarla mai per un account che devi conservare, perché i reset della password non avrebbero dove arrivare. Alcuni siti non accettano indirizzi usa e getta, è una loro scelta, e in quel caso la soluzione giusta è un alias o un indirizzo secondario. Un indirizzo temporaneo non va usato per ottenere più volte prove gratuite o offerte pensate per una sola persona, e i nostri termini e condizioni lo vietano. La nostra guida per iscriversi senza la propria email vera spiega quali situazioni sono adatte.
Controlla se il tuo indirizzo è già esposto
Have I Been Pwned è un servizio gratuito attivo da molti anni che ti dice se un indirizzo compare nei dati di violazioni note. Il risultato mostra quali servizi l'hanno perso e, a grandi linee, cos'altro è stato sottratto, come password o numeri di telefono. Se c'era una password, cambiala ovunque l'hai usata e attiva l'autenticazione a due fattori. La nostra guida su cosa fare dopo una violazione dei dati lo spiega passo per passo.
Diffida dei siti sconosciuti del tipo «controlla se la tua email è trapelata». Scrivere il tuo indirizzo in un modulo che non conosci è un altro modo per regalarlo a una lista. Affidati a servizi con una lunga storia pubblica o agli avvisi di violazione integrati nel tuo gestore di password o nel browser.
Cosa fare se il tuo indirizzo è già stato raccolto
Non c'è modo di togliere un indirizzo dalle liste che già lo contengono. Puoi però rendere quelle liste meno utili ed evitare che se ne formino di nuove.
- Non rispondere e non cliccare. Rispondere, anche solo per chiedere di smettere, conferma che una persona vera legge l'indirizzo. Non cliccare i link nei messaggi di mittenti che non conosci.
- Segnala lo spam invece di cancellarlo. Le segnalazioni addestrano il filtro del tuo provider, che vede la stessa campagna in milioni di caselle.
- Togli l'indirizzo dai posti in cui l'hai trovato. Usa la ricerca dell'inizio di questo articolo e correggi ciò che controlli.
- Sostituisci l'indirizzo pubblico del tuo sito con un modulo o con un nuovo indirizzo generico, e continua a filtrare quello vecchio per un po'.
- Disattiva il caricamento automatico delle immagini dai mittenti sconosciuti, così i pixel di tracciamento non possono confermare che l'indirizzo è attivo. Il nostro articolo sui pixel di tracciamento nelle email spiega come funzionano.
- Sposta le iscrizioni future su alias o indirizzi temporanei, così l'indirizzo principale smette di circolare.
- Cambia l'indirizzo principale solo come ultima risorsa. Se lo fai, tieni quello vecchio con l'inoltro attivo per diversi mesi e sposta prima gli account importanti.
Per la parte che riguarda la casella, con filtri e disiscrizioni sicure, leggi la nostra guida su come fermare le email di spam.
Miti da lasciar perdere
- «I bot dello spam non sanno leggere le immagini». Il riconoscimento del testo costa poco. Un'immagine rallenta gli scraper semplici e complica la vita a chi usa uno screen reader.
- «JavaScript nasconde del tutto il mio indirizzo». Molti scraper oggi usano browser completi. Gli script filtrano i bot più vecchi, non tutti.
- «Se non pubblico mai il mio indirizzo, non riceverò mai spam». Le violazioni di dati e i tentativi a caso raggiungono anche indirizzi mai pubblicati.
- «Disiscriversi dallo spam ti toglie dalla lista». Con i mittenti legittimi di solito funziona. Con gli spammer veri, un clic può confermare che il tuo indirizzo è attivo.
Domande frequenti
I bot dello spam possono leggere un indirizzo mostrato come immagine?
Alcuni sì. Gli strumenti di riconoscimento del testo leggono senza fatica le immagini nitide e costano poco. Un'immagine ferma gli scraper di testo più semplici, ma è inaccessibile agli screen reader e non si può copiare, quindi di solito un modulo di contatto è la scelta migliore.
Vale ancora la pena scrivere «nome chiocciola dominio punto com»?
Aiuta un po' contro i bot più semplici e chiede ai visitatori un piccolo sforzo. Non dovrebbe essere l'unica protezione per un indirizzo a cui tieni.
La privacy WHOIS ferma tutto lo spam verso il mio dominio?
No. Tiene i tuoi dati personali fuori dalle ricerche pubbliche sui domini, e così elimina una fonte. Gli indirizzi generici come info@ ricevono comunque spam tirato a indovinare, e tutto ciò che è sul tuo sito può ancora essere raccolto.
Un'email temporanea protegge il mio indirizzo principale?
Per le iscrizioni di una volta sola sì, perché il sito non riceve mai il tuo indirizzo principale. Non aiuta con gli indirizzi già esposti e non è adatta agli account che devi conservare.
Posso far togliere il mio indirizzo dalle liste di spam?
Non da quelle gestite dagli spammer. I mittenti legittimi ti tolgono se ti disiscrivi, e alcuni data broker offrono moduli di opposizione. Per il resto, segnalare e filtrare sono gli strumenti realistici. Altre guide ti aspettano sul blog di VookMail.