Digite seu endereço de e-mail em um buscador, entre aspas. Se ele aparecer em um post antigo de fórum, em um currículo de anos atrás, na lista de membros de um clube ou na página de contato de um projeto pessoal, é quase certo que scrapers automáticos também o coletaram. Esses programas varrem a web atrás de qualquer coisa com o formato nome@dominio, e as listas que eles montam são vendidas, trocadas e bombardeadas com mensagens durante anos.
A resposta curta para esconder seu e-mail de robôs de spam: publique seu endereço principal o mínimo possível, coloque um formulário de contato na frente de qualquer endereço no seu próprio site, dê aos espaços públicos um endereço que você possa filtrar ou trocar e use uma caixa temporária para cadastros de uma vez só. Nada disso deixa um endereço invisível. Se uma pessoa consegue ler, um programa insistente geralmente também consegue. O que esses passos fazem é reduzir o número de listas em que seu endereço vai parar e limitar o estrago a um endereço que você pode perder.
Como scrapers e robôs de spam encontram endereços de e-mail
Quase toda a coleta é automática e barata. Um robô baixa páginas, procura o padrão de um @ seguido de um domínio e guarda tudo o que combina. Outros endereços vêm de fontes que nem exigem varredura. Saber qual fonte expôs você mostra qual solução vai funcionar.
| Fonte | Como o endereço chega lá | O que você pode fazer |
|---|---|---|
| Seu próprio site | Um link mailto: ou um endereço no rodapé ou na página de contato | Usar um formulário de contato ou um endereço genérico que você possa filtrar |
| Fóruns, comentários e avaliações | Assinaturas, respostas do tipo "me escreva em", campos públicos do perfil | Editar posts antigos, ocultar o campo do perfil, usar outro endereço |
| Dados de registro de domínio | Contatos no WHOIS ou no RDAP de um domínio seu | Verificar a opção de privacidade do seu registrador |
| Perfis públicos e código | Bios em redes sociais, páginas de autor, metadados de commits do Git | Remover o endereço, usar um endereço no-reply para commits |
| Documentos | PDFs, currículos, apresentações e planilhas publicados na internet | Remover ou substituir os arquivos que você controla |
| Vazamentos de dados | Um serviço que você usou perdeu o banco de dados de usuários | Você não consegue impedir, então limite qual endereço cada serviço recebe |
| Adivinhação | Nomes comuns como info@ ou ana@ testados em domínios conhecidos | Filtros e, no seu próprio domínio, recusa de destinatários desconhecidos |
Os registros de domínio merecem um comentário, porque muita gente acha que eles continuam totalmente públicos. Desde que o GDPR entrou em vigor na Europa em 2018, a maioria dos grandes registradores oculta dados pessoais de contato nas consultas WHOIS públicas, e muitos oferecem um serviço de privacidade gratuito. As regras ainda variam conforme o registrador e o domínio de país, e organizações costumam aparecer por completo. Consulte seu próprio domínio uma vez para ver o que de fato aparece.
Os vazamentos são a fonte mais subestimada. Você pode tomar cuidado em todo lugar e mesmo assim cair em listas de spam porque uma loja, um fórum ou um app que você usou anos atrás foi invadido. É por isso que as dicas mais abaixo não tratam só de onde você publica seu endereço, mas também de qual endereço você entrega.
Como proteger um endereço no seu próprio site
Se você tem um site, blog ou loja virtual, a página de contato é o lugar mais provável para os robôs encontrarem você. Ali você tem mais controle do que em qualquer outro lugar, então vale a pena fazer direito.
Use um formulário de contato em vez de um link mailto
Um formulário envia a mensagem a partir do seu servidor, então o endereço de destino nunca aparece na página. Valide os dados no servidor, não só no navegador, e envie a mensagem para um endereço que não esteja publicado em lugar nenhum. Formulários atraem o próprio spam, e as próximas seções tratam disso, mas quem manda spam por formulário não consegue colocar seu endereço em uma lista que depois é revendida.
Ofuscação: o que cada truque realmente bloqueia
Se você precisa mesmo mostrar um endereço, há formas de dificultar a coleta. A eficácia varia muito, e todas têm um custo para os visitantes reais.
| Método | Bloqueia | Não bloqueia | Custo |
|---|---|---|---|
| Escrever "nome arroba dominio ponto com" | Os robôs mais simples que procuram padrões | Scrapers que buscam as formas comuns de escrever "arroba" e "ponto" | O visitante precisa redigitar o endereço |
| Entidades de caracteres HTML | Robôs que leem o código-fonte sem decodificar | Qualquer parser que decodifica HTML, ou seja, quase todos | Quase nenhum |
| Montar o endereço com JavaScript | Rastreadores que não executam scripts | Navegadores headless que exibem a página como uma pessoa veria | Não funciona para quem bloqueia scripts |
| Mostrar o endereço como imagem | Scrapers baseados em texto | Reconhecimento de texto, que é barato e preciso | Leitores de tela não conseguem ler, e ninguém consegue copiar |
| O recurso de ofuscação de uma CDN | Muitos scrapers comuns, sem trabalho da sua parte | Robôs que executam o script de decodificação | Depende do script do provedor |
O resumo honesto: a ofuscação elimina os robôs mais preguiçosos, e boa parte da coleta é preguiçosa, então o volume cai. Ela não protege um endereço de alguém que mira o seu site de propósito. Trate qualquer endereço que você exibe como um endereço que cedo ou tarde será coletado, e escolha-o pensando nisso.
CAPTCHA, honeypots e limite de envios
Essas ferramentas protegem o formulário, não o endereço. Um CAPTCHA ou serviço de verificação bloqueia muitos envios automáticos, embora alguns passem e cada verificação incomode um pouco as pessoas de verdade. Um honeypot é um campo oculto que as pessoas nunca veem e que os robôs preenchem, assim você descarta esses envios em silêncio. Limitar envios por endereço IP impede que uma única fonte mande centenas de mensagens em um minuto. Juntas, essas medidas mantêm sua caixa utilizável sem exigir muito dos visitantes. Se o formulário inscreve pessoas em uma lista de e-mails, use confirmação dupla (double opt-in) para que ninguém consiga inscrever o endereço de um desconhecido.
Mantenha seu endereço principal fora de páginas públicas
Seu endereço principal é o ligado ao banco, aos serviços do governo, ao trabalho e às pessoas que você conhece. A melhor proteção para ele é simples: ele não deveria aparecer em nenhum lugar que um rastreador alcance. Revise uma vez os lugares de sempre:
- Perfis sociais e profissionais. Tire o endereço das bios e, quando a plataforma permitir, deixe o campo de contato visível só para suas conexões.
- Fóruns e contas antigas. Edite assinaturas e posts antigos que o contenham. Encerre contas que você não usa mais.
- Repositórios de código. O GitHub e plataformas parecidas permitem usar um endereço no-reply privado nos commits. Os novos commits deixam de mostrar o endereço real, mas os antigos mantêm o que registraram.
- Documentos. Um currículo ou folheto publicado em PDF é texto puro para um rastreador. Troque os arquivos que você controla por versões com formulário de contato ou endereço separado.
- Diretórios e listas de membros. Peça a clubes, escolas e associações que removam o endereço ou restrinjam a lista aos membros.
Remover um endereço não o apaga das listas que já existem, e caches de buscadores e arquivos da web podem guardar cópias por um tempo. Mas isso impede que novos scrapers o peguem, e com o tempo faz diferença.
Dê um endereço separado aos espaços públicos
Alguns endereços precisam ser públicos: o contato de um profissional autônomo, o suporte de uma loja, o endereço impresso em um panfleto. A saída é separar esse endereço do seu endereço pessoal. Um endereço genérico como contact@yourdomain.example, ou uma segunda caixa em um provedor gratuito, pode ser filtrado com rigor e substituído se sair do controle, sem mexer no banco nem nos amigos.
Para cadastros, um alias de e-mail vai além. Serviços de alias dão a você um endereço de encaminhamento diferente para cada site, então o site nunca vê o seu endereço real e você pode desativar qualquer alias que comece a receber lixo. Alguns exemplos são o Ocultar Meu E-mail da Apple para assinantes do iCloud+, Firefox Relay, SimpleLogin e DuckDuckGo Email Protection. Endereços com sinal de mais, como yourname+loja@gmail.com, ajudam a descobrir de onde veio o spam, mas não escondem nada, porque qualquer um pode apagar a etiqueta. Comparamos essas opções no nosso guia sobre e-mail temporário e alias de e-mail, e nosso artigo sobre como montar uma estratégia pessoal de e-mail mostra como dividir endereços por nível de confiança.
| Opção | Esconde seu endereço real | Quanto tempo dura | Melhor para |
|---|---|---|---|
| Endereço principal | Não | Anos | Banco, trabalho, governo, pessoas que você conhece |
| Endereço com sinal de mais | Não | O mesmo que sua caixa | Descobrir qual site vazou ou vendeu o endereço |
| Caixa secundária ou endereço genérico | Sim, se nada o ligar a você | Anos | Contatos públicos, lojas onde você volta a comprar |
| Alias de e-mail | Sim | Até você desativar | Contas que você mantém, mas em que não confia totalmente |
| Caixa temporária | Sim | Cerca de 24 horas | Cadastros e downloads de uma vez só |
Use uma caixa temporária para cadastros de uma vez só
Boa parte do spam começa com um único cadastro de que você nunca mais precisou: um guia grátis, um tópico de fórum que você queria ler uma vez, um portal de Wi-Fi, uma conta de teste. Nesses casos, um endereço de temp mail deixa seu endereço real totalmente fora do banco de dados do site. Se depois esse site for invadido ou vender a lista, o spam vai para um endereço que não existe mais.
O VookMail funciona sem conta. Abra o site e já haverá um endereço pronto. Copie com o botão Copiar, ou toque em Novo para escolher seu próprio nome de usuário e um entre mais de 30 domínios. A caixa verifica novas mensagens a cada poucos segundos, então um link de confirmação aparece sem recarregar a página. Quando terminar, Excluir remove o endereço. Caso contrário, as mensagens são apagadas em cerca de 24 horas. Se quiser entender em detalhe como funciona esse tipo de endereço de e-mail descartável, aquela página explica.
Os limites fazem parte do bom uso. Uma caixa temporária só abre no navegador que a criou, e as mensagens não têm criptografia de ponta a ponta, então não é lugar para nada pessoal. Nunca use uma para uma conta que você precisa manter, porque as redefinições de senha não teriam para onde ir. Alguns sites não aceitam endereços descartáveis, a decisão é deles, e nesse caso um alias ou endereço secundário é a escolha certa. Um endereço temporário não deve ser usado para conseguir testes grátis repetidos ou ofertas feitas para uma só pessoa, e nossos termos e condições proíbem isso. Nosso guia sobre como se cadastrar sem seu e-mail real mostra quais situações combinam.
Verifique se seu endereço já está exposto
O Have I Been Pwned é um serviço gratuito que existe há muitos anos e informa se um endereço aparece em dados de vazamentos conhecidos. O resultado mostra quais serviços perderam o endereço e, por alto, o que mais foi levado, como senhas ou números de telefone. Se havia uma senha, troque-a em todo lugar onde você a usou e ative a autenticação em dois fatores. Nosso guia sobre o que fazer depois de um vazamento de dados explica isso passo a passo.
Desconfie de sites desconhecidos do tipo "veja se seu e-mail vazou". Digitar seu endereço em um formulário estranho é mais uma forma de entregá-lo a uma lista. Fique com serviços que têm um longo histórico público ou com os alertas de vazamento do seu gerenciador de senhas ou navegador.
O que fazer se seu endereço já foi coletado
Não há como tirar um endereço das listas que já o têm. Você pode, porém, tornar essas listas menos úteis e evitar que surjam novas.
- Não responda nem clique. Responder, mesmo para pedir que parem, confirma que uma pessoa de verdade lê o endereço. Não clique em links de mensagens de remetentes que você não conhece.
- Denuncie o spam em vez de apagar. As denúncias treinam o filtro do seu provedor, que vê a mesma campanha em milhões de caixas.
- Remova o endereço dos lugares onde o encontrou. Use a busca do início deste artigo e corrija o que você controla.
- Troque o endereço público do seu site por um formulário ou por um novo endereço genérico, e continue filtrando o antigo por um tempo.
- Desative o carregamento automático de imagens de remetentes desconhecidos, para que pixels de rastreamento não confirmem que o endereço está ativo. Nosso artigo sobre pixels de rastreamento em e-mails explica como eles funcionam.
- Leve os próximos cadastros para aliases ou endereços temporários, para que o endereço principal pare de se espalhar.
- Troque o endereço principal só em último caso. Se trocar, mantenha o antigo com encaminhamento por vários meses e migre primeiro as contas importantes.
Para o lado da caixa de entrada, com filtros e cancelamento de inscrição seguro, veja nosso guia sobre como parar de receber spam.
Mitos para deixar de lado
- "Robôs de spam não leem imagens." Reconhecimento de texto é barato. Uma imagem atrasa scrapers simples e dificulta a vida de quem usa leitor de tela.
- "JavaScript esconde meu endereço por completo." Muitos scrapers hoje rodam navegadores completos. Scripts filtram os robôs mais antigos, não todos.
- "Se eu nunca publicar meu endereço, nunca vou receber spam." Vazamentos e adivinhação alcançam endereços que nunca foram publicados.
- "Cancelar a inscrição de um spam me tira da lista." Com remetentes legítimos, costuma funcionar. Com spammers de verdade, um clique pode confirmar que seu endereço está ativo.
Perguntas frequentes
Robôs de spam conseguem ler um endereço exibido como imagem?
Alguns conseguem. Ferramentas de reconhecimento de texto leem imagens nítidas com facilidade e custam pouco. Uma imagem barra scrapers de texto básicos, mas é inacessível a leitores de tela e não pode ser copiada, então um formulário de contato costuma ser a melhor escolha.
Ainda vale a pena escrever "nome arroba dominio ponto com"?
Ajuda um pouco contra os robôs mais simples e dá um pouco de trabalho aos visitantes. Não deveria ser a única proteção de um endereço importante para você.
A privacidade no WHOIS acaba com todo o spam do meu domínio?
Não. Ela tira seus dados pessoais das consultas públicas de domínio, o que elimina uma fonte. Endereços genéricos como info@ continuam recebendo spam por adivinhação, e tudo o que está no seu site ainda pode ser coletado.
Um e-mail temporário protege meu endereço principal?
Em cadastros de uma vez só, sim, porque o site nunca recebe seu endereço principal. Ele não ajuda com endereços que já estão expostos e não serve para contas que você precisa manter.
Consigo tirar meu endereço das listas de spam?
Das listas mantidas por spammers, não. Remetentes legítimos removem você se cancelar a inscrição, e alguns corretores de dados oferecem formulários de exclusão. Para o resto, denunciar e filtrar são as ferramentas realistas. Mais guias estão no blog do VookMail.