Введите свой адрес электронной почты в поисковик, в кавычках. Если он всплывает в старом сообщении на форуме, давнем резюме, списке членов клуба или на странице контактов личного проекта, его почти наверняка собрали и автоматические парсеры. Эти программы прочёсывают интернет в поисках всего, что похоже на имя@домен, а составленные ими списки годами продают, обменивают и засыпают письмами.
Короткий ответ на вопрос, как скрыть email от спам-ботов: публикуйте основной адрес как можно реже, на своём сайте ставьте контактную форму вместо любого адреса, в публичных местах указывайте адрес, который можно фильтровать или заменить, а для разовых регистраций используйте временный ящик. Ничто из этого не делает адрес невидимым. Если человек может его прочитать, настойчивая программа обычно тоже может. Но эти шаги сокращают число списков, в которые попадает ваш адрес, и ограничивают ущерб адресом, который не жалко потерять.
Как парсеры и спам-боты находят адреса электронной почты
Большая часть сбора адресов дешёвая и автоматическая. Бот скачивает страницы, ищет шаблон из @ и домена и сохраняет всё, что совпало. Другие адреса берутся из источников, где вообще не нужно ничего обходить. Понимая, какой источник вас выдал, вы понимаете и то, какое решение поможет.
| Источник | Как туда попадает адрес | Что можно сделать |
|---|---|---|
| Ваш собственный сайт | Ссылка mailto: или адрес в подвале либо на странице контактов | Использовать контактную форму или служебный адрес, который можно фильтровать |
| Форумы, комментарии и отзывы | Подписи, ответы вроде «пишите мне на», открытые поля профиля | Отредактировать старые сообщения, скрыть поле в профиле, завести отдельный адрес |
| Регистрационные данные доменов | Контакты в WHOIS или RDAP для вашего домена | Проверить настройку приватности у регистратора |
| Публичные профили и код | Описания в соцсетях, страницы авторов, метаданные коммитов Git | Убрать адрес, использовать no-reply адрес для коммитов |
| Документы | PDF, резюме, презентации и таблицы, выложенные в сеть | Удалить или заменить файлы, которыми вы управляете |
| Утечки данных | Сервис, которым вы пользовались, потерял базу пользователей | Предотвратить это вы не можете, поэтому ограничьте, какой адрес получает каждый сервис |
| Подбор | Распространённые имена вроде info@ или anna@ перебираются на известных доменах | Фильтрация и отклонение неизвестных получателей на своём домене |
О данных доменов стоит сказать отдельно, потому что многие считают их по-прежнему полностью открытыми. С тех пор как в 2018 году начал действовать GDPR, большинство крупных регистраторов скрывают личные контактные данные в публичных ответах WHOIS, а многие предлагают бесплатную услугу приватности. При этом правила различаются у разных регистраторов и национальных доменных зон, а данные организаций часто показываются полностью. Один раз проверьте свой домен, чтобы увидеть, что на самом деле отображается.
Утечки — источник, который недооценивают сильнее всего. Можно быть осторожным везде и всё равно оказаться в спам-списках, потому что взломали магазин, форум или приложение, которым вы пользовались несколько лет назад. Поэтому советы ниже касаются не только того, где вы публикуете адрес, но и того, какой адрес вы вообще отдаёте.
Как защитить адрес на своём сайте
Если у вас есть сайт, блог или интернет-магазин, страница контактов — самое вероятное место, где боты вас найдут. Здесь у вас больше контроля, чем где-либо ещё, так что сделать всё стоит как следует.
Контактная форма вместо ссылки mailto
Форма отправляет сообщение с вашего сервера, поэтому адрес получателя никогда не появляется на странице. Проверяйте ввод на сервере, а не только в браузере, и направляйте сообщения на адрес, который нигде не опубликован. Формы притягивают собственный спам, и о нём речь в следующих разделах, но спамер, заполняющий форму, не сможет добавить ваш адрес в список, который потом перепродают.
Маскировка: что на самом деле останавливает каждый приём
Если показать адрес всё-таки нужно, есть способы усложнить его сбор. Пользы от них очень разное количество, и у каждого есть цена для настоящих посетителей.
| Способ | Останавливает | Не останавливает | Цена |
|---|---|---|---|
| Написать «имя собака домен точка com» | Самых простых ботов, ищущих шаблон | Парсеры, которые знают типичные написания «собаки» и «точки» | Посетителю приходится перепечатывать адрес |
| HTML-сущности символов | Ботов, читающих исходный код без декодирования | Любой парсер, декодирующий HTML, то есть большинство | Почти никакой |
| Сборка адреса на JavaScript | Поисковых роботов, не выполняющих скрипты | Безголовые браузеры, которые отображают страницу так же, как человек | Не работает у посетителей с отключёнными скриптами |
| Адрес в виде картинки | Текстовые парсеры | Распознавание текста, дешёвое и точное | Экранные чтецы не могут его прочитать, а скопировать его нельзя |
| Функция маскировки в CDN | Многие распространённые парсеры, без усилий с вашей стороны | Ботов, которые выполняют скрипт декодирования | Зависит от скрипта провайдера |
Честный итог: маскировка отсеивает самых ленивых ботов, а значительная часть сбора как раз ленивая, так что объём снижается. Но от того, кто целенаправленно нацелился на ваш сайт, она адрес не защитит. Считайте любой показанный адрес таким, который рано или поздно соберут, и выбирайте его с учётом этого.
CAPTCHA, ловушки-приманки и лимиты отправки
Эти средства защищают форму, а не адрес. CAPTCHA или сервис проверки блокирует многие автоматические отправки, хотя часть всё равно проходит, а каждая проверка немного раздражает живых людей. Приманка (honeypot) — это скрытое поле, которое человек никогда не видит, а бот заполняет, так что такие отправки можно тихо отбрасывать. Ограничение по IP-адресу не даёт одному источнику отправлять сотни сообщений в минуту. Вместе они держат ящик в рабочем состоянии и почти ничего не требуют от посетителей. Если форма подписывает людей на рассылку, используйте двойное подтверждение (double opt-in), чтобы никто не мог подписать чужой адрес.
Держите основной адрес подальше от публичных страниц
Основной адрес связан с банком, госуслугами, работой и знакомыми людьми. Лучшая защита для него проста: он не должен появляться нигде, куда может добраться поисковый робот. Один раз пройдитесь по типичным местам:
- Социальные и профессиональные профили. Уберите адрес из описаний и, если платформа позволяет, сделайте поле контактов видимым только для ваших контактов.
- Форумы и старые аккаунты. Отредактируйте подписи и старые сообщения, где он упоминается. Закройте аккаунты, которыми больше не пользуетесь.
- Репозитории кода. GitHub и похожие платформы позволяют использовать приватный no-reply адрес для коммитов. Новые коммиты перестанут показывать настоящий адрес, но старые сохранят то, что в них записано.
- Документы. Резюме или буклет, выложенные в PDF, для поискового робота — обычный текст. Замените файлы, которыми управляете, версиями с контактной формой или отдельным адресом.
- Справочники и списки участников. Попросите клубы, учебные заведения и объединения убрать адрес или открыть список только для участников.
Удаление адреса не стирает его из уже существующих списков, а кэш поисковиков и веб-архивы могут какое-то время хранить копии. Зато новые парсеры его больше не подберут, и со временем это заметно.
Дайте публичным местам отдельный адрес
Некоторые адреса обязаны быть публичными: контактный адрес фрилансера, адрес поддержки магазина, адрес на листовке. Решение — отделить такой адрес от личного. Служебный адрес вроде contact@yourdomain.example или второй ящик у бесплатного провайдера можно жёстко фильтровать и заменить, если ситуация выйдет из-под контроля, не затрагивая банк и друзей.
Для регистраций почтовый алиас идёт ещё дальше. Сервисы алиасов выдают отдельный адрес пересылки для каждого сайта, так что сайт никогда не видит ваш настоящий адрес, а любой алиас, на который начал приходить мусор, можно отключить. Примеры: функция «Скрыть e-mail» от Apple для подписчиков iCloud+, Firefox Relay, SimpleLogin и DuckDuckGo Email Protection. Адреса с плюсом, например yourname+shop@gmail.com, помогают понять, откуда пришёл спам, но ничего не скрывают: метку может удалить кто угодно. Мы сравниваем эти варианты в руководстве о временной почте и почтовых алиасах, а статья о личной стратегии работы с почтой показывает, как распределить адреса по уровню доверия.
| Вариант | Скрывает настоящий адрес | Сколько живёт | Лучше всего для |
|---|---|---|---|
| Основной адрес | Нет | Годами | Банк, работа, госуслуги, знакомые |
| Адрес с плюсом | Нет | Столько же, сколько ящик | Выяснить, какой сайт его слил или продал |
| Второй ящик или служебный адрес | Да, если ничто не связывает его с вами | Годами | Публичные контакты, магазины, где вы покупаете снова |
| Почтовый алиас | Да | Пока вы его не отключите | Аккаунты, которые вы оставляете, но которым не вполне доверяете |
| Временный ящик | Да | Около 24 часов | Разовые регистрации и загрузки |
Временный ящик для разовых регистраций
Значительная часть спама начинается с одной регистрации, которая больше никогда не понадобилась: бесплатное руководство, тема на форуме, которую хотелось прочитать один раз, страница входа в Wi-Fi, тестовый аккаунт. В таких случаях адрес временной почты полностью держит ваш настоящий адрес вне базы данных сайта. Если потом этот сайт взломают или он продаст свой список, спам пойдёт на адрес, которого больше нет.
VookMail работает без регистрации. Откройте сайт, и адрес уже готов. Скопируйте его кнопкой Копировать или нажмите Новый, чтобы выбрать своё имя пользователя и один из более чем 30 доменов. Ящик проверяет почту каждые несколько секунд, поэтому ссылка подтверждения появится без перезагрузки страницы. Когда закончите, кнопка Удалить уберёт адрес. Иначе сообщения удаляются примерно через 24 часа. Если хотите подробно разобраться, как работает такой одноразовый email, об этом рассказано на той странице.
Ограничения — часть правильного использования. Временный ящик открывается только в том браузере, где был создан, а его сообщения не защищены сквозным шифрованием, поэтому для личного он не подходит. Никогда не используйте его для аккаунта, который нужно сохранить: письмам для сброса пароля будет некуда приходить. Некоторые сайты не принимают одноразовые адреса, это их решение, и тогда правильный выбор — алиас или второй адрес. Временный адрес нельзя использовать, чтобы снова и снова получать бесплатные пробные периоды или предложения, рассчитанные на одного человека, и наши условия использования это запрещают. Наше руководство о регистрации без настоящего email разбирает, какие ситуации подходят.
Проверьте, не утёк ли уже ваш адрес
Have I Been Pwned — давно работающий бесплатный сервис, который показывает, встречается ли адрес в данных известных утечек. Результат сообщает, какие сервисы его потеряли и что ещё примерно утекло вместе с ним, например пароли или номера телефонов. Если среди данных был пароль, смените его везде, где использовали, и включите двухфакторную аутентификацию. Наше руководство о том, что делать после утечки данных, описывает это по шагам.
Осторожнее с незнакомыми сайтами в духе «проверьте, не утекла ли ваша почта». Ввести адрес в неизвестную форму — ещё один способ подарить его какому-нибудь списку. Пользуйтесь сервисами с долгой публичной историей или оповещениями об утечках, встроенными в менеджер паролей или браузер.
Что делать, если ваш адрес уже собрали
Вытащить адрес из списков, где он уже есть, невозможно. Но можно сделать эти списки менее полезными и не дать появиться новым.
- Не отвечайте и не переходите по ссылкам. Ответ, даже с просьбой прекратить, подтверждает, что адрес читает живой человек. Не нажимайте на ссылки в письмах от незнакомых отправителей.
- Отмечайте спам, а не просто удаляйте. Жалобы обучают фильтр вашего почтового сервиса, который видит одну и ту же рассылку в миллионах ящиков.
- Уберите адрес оттуда, где вы его нашли. Воспользуйтесь поиском из начала статьи и исправьте то, чем управляете.
- Замените публичный адрес на своём сайте формой или новым служебным адресом, а старый ещё какое-то время фильтруйте.
- Отключите автоматическую загрузку изображений от незнакомых отправителей, чтобы пиксели отслеживания не подтверждали, что адрес активен. Наша статья о пикселях отслеживания в письмах объясняет, как они работают.
- Переведите будущие регистрации на алиасы или временные адреса, чтобы основной адрес перестал распространяться.
- Меняйте основной адрес только в крайнем случае. Если всё же решитесь, оставьте старый с пересылкой на несколько месяцев и первыми перенесите важные аккаунты.
Что касается самого ящика, то есть фильтров и безопасной отписки, загляните в наше руководство о том, как остановить спам.
Мифы, от которых стоит отказаться
- «Спам-боты не умеют читать картинки». Распознавание текста стоит дёшево. Картинка замедляет простых парсеров и усложняет жизнь тем, кто пользуется экранным чтецом.
- «JavaScript полностью скрывает мой адрес». Многие парсеры сейчас запускают полноценные браузеры. Скрипты отсеивают старых ботов, но не всех.
- «Если никогда не публиковать адрес, спама не будет». Утечки и подбор добираются и до адресов, которые нигде не публиковались.
- «Отписка от спама убирает меня из списка». С добросовестными отправителями обычно работает. С настоящими спамерами клик может подтвердить, что адрес активен.
Частые вопросы
Могут ли спам-боты прочитать адрес, показанный картинкой?
Некоторые могут. Инструменты распознавания текста легко читают чёткие изображения и стоят недорого. Картинка останавливает простые текстовые парсеры, но недоступна для экранных чтецов и не копируется, поэтому контактная форма обычно лучше.
Есть ли смысл писать «имя собака домен точка com»?
Немного помогает против самых простых ботов и требует от посетителей чуть больше усилий. Для важного адреса это не должно быть единственной защитой.
Останавливает ли приватность WHOIS весь спам на мой домен?
Нет. Она убирает ваши личные данные из публичных запросов по доменам, то есть закрывает один источник. Служебные адреса вроде info@ всё равно получают спам по подбору, а всё, что есть на сайте, по-прежнему можно собрать.
Защитит ли временная почта мой основной адрес?
При разовых регистрациях — да, потому что сайт никогда не получает ваш основной адрес. С уже утёкшими адресами она не поможет и не подходит для аккаунтов, которые нужно сохранить.
Можно ли удалить мой адрес из спам-списков?
Из списков, которыми управляют спамеры, нет. Добросовестные отправители удалят вас после отписки, а некоторые брокеры данных предлагают формы отказа. В остальном реальные инструменты — жалобы и фильтрация. Больше руководств — в блоге VookMail.