Wpisz swój adres e-mail w wyszukiwarkę, w cudzysłowie. Jeśli pojawi się w starym wpisie na forum, dawnym CV, liście członków klubu albo na stronie kontaktowej jakiegoś pobocznego projektu, niemal na pewno zebrały go też automatyczne scrapery. Te programy przeczesują sieć w poszukiwaniu wszystkiego, co wygląda jak nazwa@domena, a tworzone przez nie listy są latami sprzedawane, wymieniane i zasypywane wiadomościami.
Krótka odpowiedź na pytanie, jak ukryć e-mail przed botami spamowymi: publikuj główny adres jak najrzadziej, na własnej stronie zasłoń każdy adres formularzem kontaktowym, w miejscach publicznych podawaj adres, który możesz filtrować albo wymienić, a do jednorazowych rejestracji używaj tymczasowej skrzynki. Nic z tego nie sprawi, że adres stanie się niewidzialny. Jeśli człowiek może go przeczytać, uparty program zwykle też. Te kroki zmniejszają jednak liczbę list, na które trafia twój adres, i ograniczają szkody do adresu, który możesz stracić.
Jak scrapery i boty spamowe znajdują adresy e-mail
Większość zbierania adresów jest tania i automatyczna. Bot pobiera strony, szuka wzorca @ z domeną i zapisuje wszystko, co pasuje. Inne adresy pochodzą ze źródeł, które w ogóle nie wymagają przeszukiwania sieci. Gdy wiesz, które źródło cię wystawiło, wiesz też, które rozwiązanie pomoże.
| Źródło | Jak trafia tam adres | Co możesz zrobić |
|---|---|---|
| Twoja własna strona | Link mailto: albo adres w stopce lub na stronie kontaktowej | Użyć formularza kontaktowego albo adresu funkcyjnego, który da się filtrować |
| Fora, komentarze i opinie | Podpisy, odpowiedzi typu „napisz do mnie na”, publiczne pola profilu | Edytować stare wpisy, ukryć pole w profilu, używać osobnego adresu |
| Dane rejestracyjne domen | Dane kontaktowe w WHOIS lub RDAP domeny, którą posiadasz | Sprawdzić ustawienia prywatności u rejestratora |
| Publiczne profile i kod | Opisy w mediach społecznościowych, strony autorów, metadane commitów Git | Usunąć adres, używać adresu no-reply do commitów |
| Dokumenty | PDF-y, CV, prezentacje i arkusze opublikowane w sieci | Usunąć lub podmienić pliki, nad którymi masz kontrolę |
| Wycieki danych | Serwis, z którego korzystałeś, stracił bazę użytkowników | Nie zapobiegniesz temu, więc ogranicz, jaki adres dostaje każdy serwis |
| Zgadywanie | Popularne nazwy jak info@ czy anna@ sprawdzane w znanych domenach | Filtrowanie i odrzucanie nieznanych odbiorców we własnej domenie |
Rejestry domen wymagają komentarza, bo wiele osób zakłada, że wciąż są w pełni publiczne. Odkąd w 2018 roku zaczęło obowiązywać RODO, większość dużych rejestratorów ukrywa osobowe dane kontaktowe w publicznych wynikach WHOIS, a wielu oferuje darmową usługę prywatności. Zasady nadal różnią się jednak w zależności od rejestratora i domeny krajowej, a dane firm i organizacji często są pokazywane w całości. Sprawdź raz swoją domenę, żeby zobaczyć, co faktycznie widać.
Wycieki to źródło, które ludzie najczęściej lekceważą. Możesz być ostrożny wszędzie i mimo to trafić na listy spamerów, bo sklep, forum albo aplikacja, z których korzystałeś lata temu, zostały zhakowane. Dlatego porady w dalszej części dotyczą nie tylko tego, gdzie publikujesz adres, ale też tego, jaki adres w ogóle podajesz.
Ochrona adresu na własnej stronie
Jeśli prowadzisz stronę, bloga albo sklep internetowy, strona kontaktowa to miejsce, w którym boty najłatwiej cię znajdą. Masz tu większą kontrolę niż gdziekolwiek indziej, więc warto zrobić to porządnie.
Formularz kontaktowy zamiast linku mailto
Formularz wysyła wiadomość z twojego serwera, więc adres docelowy nigdy nie pojawia się na stronie. Sprawdzaj dane po stronie serwera, nie tylko w przeglądarce, i kieruj wiadomości na adres, który nigdzie nie jest opublikowany. Formularze przyciągają własny spam i tym zajmują się kolejne sekcje, ale spamer wypełniający formularz nie dopisze twojego adresu do listy, która potem jest odsprzedawana.
Zaciemnianie: co naprawdę zatrzymuje każda sztuczka
Jeśli musisz pokazać adres, możesz utrudnić jego zebranie. Skuteczność tych metod bardzo się różni i każda ma swój koszt dla prawdziwych odwiedzających.
| Metoda | Zatrzymuje | Nie zatrzymuje | Koszt |
|---|---|---|---|
| Zapis „nazwa małpa domena kropka com” | Najprostsze boty szukające wzorca | Scrapery znające typowe zapisy „małpy” i „kropki” | Odwiedzający musi przepisać adres |
| Encje znaków HTML | Boty czytające kod źródłowy bez dekodowania | Każdy parser, który dekoduje HTML, czyli większość | Prawie żaden |
| Składanie adresu w JavaScripcie | Roboty, które nie uruchamiają skryptów | Przeglądarki headless, które wyświetlają stronę jak człowiek | Nie działa u osób z zablokowanymi skryptami |
| Adres jako obrazek | Scrapery czytające tekst | Rozpoznawanie tekstu, które jest tanie i dokładne | Czytniki ekranu go nie odczytają i nikt go nie skopiuje |
| Funkcja zaciemniania w CDN | Wiele popularnych scraperów, bez pracy z twojej strony | Boty, które uruchamiają skrypt dekodujący | Zależy od skryptu dostawcy |
Uczciwe podsumowanie: zaciemnianie odsiewa najbardziej leniwe boty, a duża część zbierania adresów jest leniwa, więc ilość spada. Nie chroni jednak adresu przed kimś, kto celowo bierze na cel twoją stronę. Traktuj każdy wyświetlany adres jak taki, który prędzej czy później zostanie zebrany, i dobieraj go z tą myślą.
CAPTCHA, honeypoty i limity wysyłki
Te narzędzia chronią formularz, a nie adres. CAPTCHA lub usługa weryfikacji blokuje wiele automatycznych zgłoszeń, choć część się przedostaje, a każda weryfikacja trochę irytuje prawdziwych ludzi. Honeypot to ukryte pole, którego człowiek nigdy nie widzi, a boty je wypełniają, więc takie zgłoszenia można po cichu odrzucać. Limit zgłoszeń na adres IP sprawia, że jedno źródło nie wyśle setek wiadomości w minutę. Razem utrzymują skrzynkę w używalnym stanie bez większych wymagań wobec odwiedzających. Jeśli formularz zapisuje ludzi na listę mailingową, stosuj podwójne potwierdzenie (double opt-in), żeby nikt nie mógł zapisać cudzego adresu.
Trzymaj główny adres z dala od publicznych stron
Twój główny adres to ten powiązany z bankiem, urzędami, pracą i znajomymi. Najlepsza ochrona jest prosta: nie powinien pojawiać się nigdzie, dokąd dociera robot indeksujący. Przejrzyj raz typowe miejsca:
- Profile społecznościowe i zawodowe. Usuń adres z opisów, a tam, gdzie platforma na to pozwala, ustaw pole kontaktowe jako widoczne tylko dla kontaktów.
- Fora i stare konta. Edytuj podpisy i stare wpisy, w których się pojawia. Zamknij konta, których już nie używasz.
- Repozytoria kodu. GitHub i podobne platformy pozwalają używać prywatnego adresu no-reply w commitach. Nowe commity przestają pokazywać prawdziwy adres, ale stare zachowują to, co zapisały.
- Dokumenty. CV albo broszura opublikowana jako PDF to dla robota zwykły tekst. Podmień pliki, nad którymi masz kontrolę, na wersje z formularzem kontaktowym albo osobnym adresem.
- Katalogi i listy członków. Poproś kluby, szkoły i stowarzyszenia o usunięcie adresu albo ograniczenie listy do członków.
Usunięcie adresu nie wymaże go z list, które już istnieją, a pamięć podręczna wyszukiwarek i archiwa internetowe mogą przez jakiś czas przechowywać kopie. Powstrzymuje jednak nowe scrapery przed jego zebraniem, a to z czasem ma znaczenie.
W miejscach publicznych podawaj osobny adres
Niektóre adresy muszą być publiczne: adres kontaktowy freelancera, adres obsługi klienta sklepu, adres wydrukowany na ulotce. Rozwiązaniem jest oddzielenie go od adresu prywatnego. Adres funkcyjny w rodzaju contact@yourdomain.example albo druga skrzynka u darmowego dostawcy da się mocno filtrować i wymienić, gdy sytuacja wymknie się spod kontroli, bez ruszania banku czy znajomych.
Przy rejestracjach alias e-mail idzie o krok dalej. Usługi aliasów dają ci osobny adres przekierowujący dla każdej strony, więc strona nigdy nie widzi twojego prawdziwego adresu, a każdy alias, na który zaczyna przychodzić śmieciowa poczta, możesz wyłączyć. Przykłady to Ukryj mój adres e-mail od Apple dla subskrybentów iCloud+, Firefox Relay, SimpleLogin i DuckDuckGo Email Protection. Adresy z plusem, takie jak yourname+sklep@gmail.com, pomagają ustalić, skąd przyszedł spam, ale niczego nie ukrywają, bo każdy może usunąć dopisek. Porównujemy te opcje w poradniku o tymczasowej poczcie i aliasach e-mail, a artykuł o osobistej strategii e-mailowej pokazuje, jak podzielić adresy według poziomu zaufania.
| Opcja | Ukrywa prawdziwy adres | Jak długo działa | Najlepsza do |
|---|---|---|---|
| Główny adres | Nie | Latami | Bank, praca, urzędy, znajomi |
| Adres z plusem | Nie | Tak długo jak skrzynka | Ustalenia, która strona go zgubiła lub sprzedała |
| Druga skrzynka lub adres funkcyjny | Tak, jeśli nic go z tobą nie łączy | Latami | Publiczne dane kontaktowe, sklepy, do których wracasz |
| Alias e-mail | Tak | Dopóki go nie wyłączysz | Konta, które zostawiasz, ale którym nie ufasz w pełni |
| Tymczasowa skrzynka | Tak | Około 24 godzin | Jednorazowe rejestracje i pobrania |
Tymczasowa skrzynka do jednorazowych rejestracji
Duża część spamu zaczyna się od jednej rejestracji, która nigdy więcej nie była potrzebna: darmowy poradnik, wątek na forum do przeczytania raz, portal Wi-Fi, konto testowe. W takich sytuacjach adres temp mail całkowicie trzyma twój prawdziwy adres poza bazą danych strony. Jeśli ta strona zostanie później zhakowana albo sprzeda swoją listę, spam trafi na adres, który już nie istnieje.
VookMail działa bez zakładania konta. Otwórz stronę, a adres już na ciebie czeka. Skopiuj go przyciskiem Kopiuj albo naciśnij Nowy, aby wybrać własną nazwę użytkownika i jedną z ponad 30 domen. Skrzynka sprawdza pocztę co kilka sekund, więc link potwierdzający pojawi się bez przeładowania strony. Gdy skończysz, Usuń kasuje adres. W przeciwnym razie wiadomości są usuwane po około 24 godzinach. Jeśli chcesz dokładnie wiedzieć, jak działa taki jednorazowy adres e-mail, wyjaśnia to tamta strona.
Ograniczenia są częścią rozsądnego korzystania. Tymczasowa skrzynka otwiera się tylko w przeglądarce, w której ją utworzono, a wiadomości nie są szyfrowane end-to-end, więc to nie miejsce na nic osobistego. Nigdy nie używaj jej do konta, które musisz zachować, bo resety hasła nie miałyby dokąd trafić. Niektóre strony nie akceptują adresów jednorazowych, to ich decyzja, i wtedy właściwym wyborem jest alias albo drugi adres. Tymczasowego adresu nie wolno używać do wielokrotnego zdobywania darmowych okresów próbnych ani ofert przeznaczonych dla jednej osoby, a nasz regulamin tego zabrania. Nasz poradnik o rejestracji bez prawdziwego adresu e-mail omawia, które sytuacje pasują.
Sprawdź, czy twój adres już wyciekł
Have I Been Pwned to działający od lat darmowy serwis, który sprawdza, czy adres występuje w danych ze znanych wycieków. Wynik pokazuje, które serwisy go utraciły i mniej więcej co jeszcze wyciekło, na przykład hasła lub numery telefonów. Jeśli było wśród nich hasło, zmień je wszędzie, gdzie go używałeś, i włącz uwierzytelnianie dwuskładnikowe. Nasz poradnik o tym, co zrobić po wycieku danych, opisuje to krok po kroku.
Uważaj na nieznane strony typu „sprawdź, czy twój e-mail wyciekł”. Wpisanie adresu w nieznany formularz to kolejny sposób, by podarować go jakiejś liście. Trzymaj się serwisów z długą, publiczną historią albo alertów o wyciekach wbudowanych w menedżer haseł lub przeglądarkę.
Co zrobić, jeśli twój adres został już zebrany
Nie da się wycofać adresu z list, które już go mają. Możesz jednak sprawić, że będą mniej przydatne, i nie dopuścić do powstania nowych.
- Nie odpowiadaj i nie klikaj. Odpowiedź, nawet z prośbą o zaprzestanie, potwierdza, że adres czyta prawdziwy człowiek. Nie klikaj linków w wiadomościach od nieznanych nadawców.
- Zgłaszaj spam zamiast go usuwać. Zgłoszenia uczą filtr twojego dostawcy, który widzi tę samą kampanię w milionach skrzynek.
- Usuń adres z miejsc, w których go znalazłeś. Użyj wyszukiwania z początku tego artykułu i popraw to, nad czym masz kontrolę.
- Zastąp publiczny adres na swojej stronie formularzem albo nowym adresem funkcyjnym, a stary jeszcze przez jakiś czas filtruj.
- Wyłącz automatyczne wczytywanie obrazków od nieznanych nadawców, żeby piksele śledzące nie potwierdzały, że adres jest aktywny. Nasz artykuł o pikselach śledzących w e-mailach wyjaśnia, jak działają.
- Przenieś przyszłe rejestracje na aliasy lub adresy tymczasowe, żeby główny adres przestał się rozchodzić.
- Zmieniaj główny adres tylko w ostateczności. Jeśli to zrobisz, zostaw stary z przekierowaniem na kilka miesięcy i najpierw przenieś ważne konta.
Jeśli chodzi o samą skrzynkę, czyli filtry i bezpieczne wypisywanie się, zajrzyj do naszego poradnika o tym, jak zatrzymać spam.
Mity, z którymi warto się pożegnać
- „Boty spamowe nie czytają obrazków”. Rozpoznawanie tekstu jest tanie. Obrazek spowalnia proste scrapery i utrudnia życie osobom korzystającym z czytników ekranu.
- „JavaScript całkowicie ukrywa mój adres”. Wiele scraperów uruchamia dziś pełne przeglądarki. Skrypty odsiewają starsze boty, ale nie wszystkie.
- „Jeśli nigdy nie opublikuję adresu, nigdy nie dostanę spamu”. Wycieki i zgadywanie docierają do adresów, które nigdy nie były publiczne.
- „Wypisanie się ze spamu usuwa mnie z listy”. U uczciwych nadawców zwykle działa. U prawdziwych spamerów kliknięcie może potwierdzić, że adres jest aktywny.
Najczęstsze pytania
Czy boty spamowe potrafią odczytać adres pokazany jako obrazek?
Niektóre tak. Narzędzia do rozpoznawania tekstu bez trudu czytają wyraźne obrazki i są tanie w użyciu. Obrazek zatrzymuje proste scrapery tekstowe, ale jest niedostępny dla czytników ekranu i nie da się go skopiować, więc formularz kontaktowy zwykle jest lepszym wyborem.
Czy zapis „nazwa małpa domena kropka com” wciąż ma sens?
Trochę pomaga przeciw najprostszym botom i wymaga od odwiedzających odrobiny wysiłku. Nie powinien być jedyną ochroną adresu, na którym ci zależy.
Czy prywatność WHOIS zatrzymuje cały spam na moją domenę?
Nie. Usuwa twoje dane osobowe z publicznych wyszukiwań domen, czyli zamyka jedno źródło. Adresy funkcyjne jak info@ nadal dostają spam ze zgadywania, a wszystko, co jest na twojej stronie, wciąż można zebrać.
Czy tymczasowy e-mail chroni mój główny adres?
Przy jednorazowych rejestracjach tak, bo strona nigdy nie dostaje twojego głównego adresu. Nie pomoże przy adresach, które już wyciekły, i nie nadaje się do kont, które musisz zachować.
Czy da się usunąć mój adres z list spamerów?
Z list prowadzonych przez spamerów nie. Uczciwi nadawcy usuną cię po wypisaniu się, a niektórzy brokerzy danych oferują formularze sprzeciwu. W pozostałych przypadkach realnymi narzędziami są zgłaszanie i filtrowanie. Więcej poradników znajdziesz na blogu VookMail.