3 Mayıs 1978'de Digital Equipment Corporation'da pazarlamacı olan Gary Thuerk, ARPANET kullanıcılarından birkaç yüzüne aynı anda tek bir ileti gönderdi; çoğu kaynağa göre 393 kişiydi. İleti, DEC'in yeni bilgisayarlarının tanıtımına davet ediyordu. Alıcılar şikâyet etti, ağı yöneten kişiler de DEC'i uyardı. Guinness Dünya Rekorları bunu bilinen en eski elektronik spam olarak kaydeder. Sıradan insanlara kendi uçlarında işe yarar bir cevap sunulması ise yaklaşık yirmi yıl sürdü.
Bu cevap, yani tek kullanımlık e-posta adresi, 2000 civarında ortaya çıktı. O sırada Spamgourmet kendiliğinden süresi dolan yönlendirme adresleri sunuyordu, 2003'te Mailinator da hesap gerektirmeyen herkese açık gelen kutularıyla geldi. Tek kullanımlık e-postanın tarihi, bu hizmetlerin neden gerekli hale geldiğinin hikâyesidir: güvene dayalı bir posta sistemi, giriş bilgisine dönüşen bir adres ve gönderme maliyetinin sıfıra o kadar yakın olması ki filtreler ile yasalar akışı ancak azaltabildi. Aynı baskılar sonradan takma adları (alias) da doğurdu ve bugün de bundan sonrasını biçimlendiriyor.
Herkesin bulunabildiği bir ağ
Tek bir ortak bilgisayarı kullananlar arasındaki iletiler 1960'larda da vardı. Burada önemli olan adım 1971'de atıldı: mühendis Ray Tomlinson, ABD Savunma Bakanlığı'nın finanse ettiği araştırma ağı ARPANET üzerinde iki makine arasında ileti gönderdi ve kişinin adını sunucunun adından ayırmak için @ işaretini seçti. Thuerk'in iletisi gönderildiğinde e-posta, ağın en çok kullanılan şeylerinden biriydi.
Kullanıcılar araştırmacılar, mühendisler ve devlet çalışanlarıydı ve çoğu birbirini tanıyabiliyordu. Bu toplumsal gerçek mühendisliğe de işlenmişti. SMTP 1982'de RFC 821 olarak yayımlandığında, From, To ve Subject gibi başlıkları tanımlayan RFC 822 ile birlikte, hiçbir yerde göndericiden bir şeyi kanıtlaması istenmiyordu. İki posta sunucusu arasındaki basitleştirilmiş bir konuşma bugünkü gibiydi:
MAIL FROM:<anyone@example.com>RCPT TO:<reader@example.org>DATA
Alıcı sunucu göndericinin söylediğine olduğu gibi inanıyordu. Kötüye kullanım politikasının birinin müdürüne telefon edilerek uygulanabildiği bir ağda bu makul bir tasarımdı. O telefon artık mümkün olmayınca sahte göndericilerin, kimlik avının (phishing) ve anonim toplu postanın kökü haline geldi.
İkinci parça 1986'da geldi: RFC 974, Alan Adı Sistemi'nin (DNS) postayı MX kayıtlarıyla nasıl yönlendireceğini tarif etti. Bir alan adı, kendi postasını kabul eden sunucuları gösteren bir kayıt yayımlar ve her gönderici bunu sorgulayabilir. İnternetteki her posta kutusu bugün de iletileri böyle alır ve bunun, hikâyenin ilerleyen yerinde önem kazanan bir sonucu vardır: bir alan adını denetleyen kişi, postayı istediği yere yönlendirebilir ve o alan adındaki herhangi bir ad için, önce tek bir hesap açmadan ileti kabul edebilir.
1994: Toplu ileti geniş kitlelere ulaşıyor
Thuerk'in iletisi uzun süre bir tuhaflık olarak kaldı, çünkü ARPANET ticari kullanımı yasaklıyordu ve ulaşılacak kişi de azdı. 1990'ların başında "spam" sözcüğü çevrimiçi topluluklarda dolaşıyordu; bu sözcük, bir komedi skecinden ödünç alınmıştı. Skeçte sözcük o kadar çok tekrarlanır ki diğer bütün konuşmaları bastırır.
Gelecekte ne olacağını gösteren olay 12 Nisan 1994'te yaşandı. Arizona'dan iki göçmenlik avukatı, Laurence Canter ve Martha Siegel, yeşil kart çekilişi için yardım reklamını binlerce Usenet tartışma grubuna gönderdi. Usenet kullanıcıları öfkeyle karşılık verdi; çift yılın ilerleyen aylarında yeniden denediğinde bir programcı bu gönderileri otomatik olarak iptal eden bir program yazdı. Çift sonradan internetten para kazanmaya dair bir kitap da yayımladı, yani bu öfke tartışmayı pek de bitirmedi.
Bu küçük tarih, sonraki otuz yılın kalıbını şimdiden içinde taşıyor. Gönderici, kocaman bir kitleye ulaşmanın neredeyse hiçbir şeye mal olmadığını fark eder. Alıcı tarafındakiler önce topluluk baskısıyla, sonra yazılımla karşılık verir. Gönderici taktik değiştirir. Her bir okuyucunun ise, kendi tarafında çalışan bir araç ortaya çıkana kadar hiçbir söz hakkı yoktur.
Ücretsiz web postası adresi bir giriş bilgisine çevirdi
Hotmail 4 Temmuz 1996'da, Yahoo Mail ise 1997'de kullanıma açıldı. İkisi de herkesin dakikalar içinde adres açmasına ve ona herhangi bir tarayıcıdan ulaşmasına izin veriyordu. Birkaç yıl içinde ücretsiz web postası hesapları on milyonlarla ölçülür oldu ve adres artık bir üniversiteden ya da işverenden alınan bir şey olmaktan çıktı.
Ardından üç şey oldu ve birbirini pekiştirdi. Web siteleri e-posta adresini kullanıcı adı olarak ve hesapları onaylamanın ile parolaları sıfırlamanın kanalı olarak kullanmaya başladı; bu da adresi birine ulaşma yolu olmaktan çıkarıp kimliğin bir parçası yaptı. Adresler bir meta haline geldi: web sayfalarını, forumları ve haber gruplarını adrese benzeyen her şey için tarayan toplama yazılımlarıyla derleniyor ve listeler halinde toptan satılıyordu. Üstelik bir milyon ileti göndermek çok ucuz olduğundan, posta yoluyla reklam için fazlasıyla düşük kalacak bir yanıt oranı bile kâr getirebiliyordu.
İnsanlar çareyi kendileri buldu. Bazıları, tarayıcı yazılımı kaçırsın diye adreslerini herkese açık yerde "ad at example nokta com" biçiminde yazdı. Birçoğu yalnızca kayıtlar için ikinci bir ücretsiz hesap açtı, nadiren baktı ve çöple dolmasına izin verdi. Tek kullanımlık e-postanın asıl atası bu ikinci alışkanlıktır. Otomasyon dışında her fikir yerindeydi: tek işi maruz kalmayı üstlenmek olan, önemli posta kutusundan uzak tutulan bir adres. Zayıf yanı bakımıydı; kayıt, hatırlanacak bir parola ve hesabı açık tutmaya razı bir sağlayıcı gerektiriyordu.
Savunma, alıcı uçtan başladı
Tek kullanımlık adresler yaygınlaşmadan önce ciddi çabanın neredeyse tamamı spam'i daha gelir gelmez durdurmaya harcandı. Dört yaklaşım öne çıkıyor ve her biri bir biçimde hâlâ yaşıyor.
| Yaklaşım | Dönem | Nasıl çalışıyordu | Nerede yetersiz kaldı |
|---|---|---|---|
| DNS kara listeleri | 1990'ların sonu: MAPS Realtime Blackhole List (1997), Spamhaus (1998) | Posta sunucuları, bağlanan IP adresini bilinen spam kaynaklarının yayımlanmış listesinde arıyordu | Göndericiler ağlar arasında yer değiştirdi, masum komşular da zaman zaman listeye girdi |
| Kurallar ve anahtar sözcükler | 1990'lar | Filtreler şüpheli sözcükleri ve kalıpları eşleştiriyordu | Yazım hataları ve görsellerin içine gizlenen metin bunları geçebiliyordu |
| İstatistiksel filtreleme | Paul Graham'ın 2002 tarihli "A Plan for Spam" yazısıyla yaygınlaştı | Bayes tabanlı bir filtre, her kullanıcının spam olarak işaretlediği ve işaretlemediği iletilerden öğreniyordu | Çok etkili, ama ancak posta size gönderildikten sonra devreye giriyor |
| Meydan okuma-yanıt | Yüzyılın dönümü civarı | Bilinmeyen göndericilerin, teslimattan önce insan olduklarını kanıtlaması gerekiyordu | Gerçek muhataplarını rahatsız ediyordu ve sahte adreslere meydan okuma iletileri gönderebiliyordu |
Beşinci bir fikir doğrudan ekonomiye saldırdı. 1992'de Cynthia Dwork ile Moni Naor, bilgisayarın her ileti için küçük bir bulmaca çözmesini önerdi; bu bedel tek bir e-posta için ihmal edilebilir, on milyon e-posta için yıkıcıydı. Adam Back'in 1997 tarihli Hashcash'i bunun uygulanabilir bir sürümünü sundu. Posta göndermenin koşulu olmadı, çünkü neredeyse dünyadaki her sunucunun aynı anda benimsemesi gerekecekti; ayrıca suçlular bulmacalar için ele geçirdikleri başkalarının bilgisayarlarını kullanabilirdi. Yine de fikir başka yerlerde yaşadı. Bitcoin sonradan Hashcash'e atıf yaptı ve küçük iş kanıtı (proof of work) hesaplamaları bugün web sayfalarında bot denetimi olarak kullanılıyor. VookMail de ziyaretçinin tarayıcısında bunlardan birini kullanıyor; yani 1992'nin fikri, bu yazının konusu olan hizmetlerin bir torununun içinde sessizce kendine yer buldu.
Bir süre özgüven yüksekti. Ocak 2004'teki Dünya Ekonomik Forumu'nda Bill Gates'in, spam'in iki yıl içinde çözüleceğini öngördüğü yaygın biçimde aktarıldı. Filtreleme gerçekten çok iyileşti ve çoğu insan bugün kendisine gönderilenin yalnızca küçük bir kısmını görüyor. Ama filtrelemenin hiçbir doğruluk oranının gideremeyeceği bir sınırı var: adresiniz zaten bilindikten sonra başlar ve listeye giren adres listede kalır. Kullanıcı tarafındaki araçlar işte bu boşluğa yöneldi. Gönderici gerçek adresinizi hiç görmediyse, filtrelenecek bir şey de kalmaz.
İlk atılabilir adresler
Tek kullanımlık e-postayı tek bir kişi icat etmedi. Birkaç hizmet birkaç yıl arayla ortaya çıktı ve her biri sorunu farklı çözdü. Farklara bakmak değerli, çünkü o zamandan beri çıkan hemen her ürün bunlardan birinin varyasyonu oldu.
Spamgourmet: sayan adres
2000 civarında kullanıma giren Spamgourmet, zarif bir kurala dayanıyordu. Bir kez kayıt olup, bir form adres istediğinde anında adres uydurabiliyordunuz; her adres, belirli sayıda ileti için gerçek gelen kutunuza yönlendiriyordu. Bir siteye üç e-postalık geçerli bir adres verirseniz, bu onay için yeterliydi ve sonrasında sessizleşiyordu. Yönetilecek bir şey yoktu ve ayrı bir gelen kutusunu okumak da gerekmiyordu. Bedeli, hâlâ bir hesabınızın olması ve gerçek posta kutunuzun onun arkasında durmasıydı.
Mailinator: kimsenin olmayan gelen kutusu
Paul Tyma'nın 2003'te yan proje olarak başlattığı Mailinator, kaldırılabilecek her şeyi kaldırdı. Alan adındaki her kullanıcı adı önceden oluşturulmadan çalışıyordu. Postayı okumak için aynı adı web sitesine yazmanız yetiyordu. Hesap, parola ve yönlendirme yoktu; eski iletiler de otomatik olarak temizleniyordu.
Bu tasarım, yukarıda anlatılan MX kaydı noktasından yararlanıyor. Bir alan adının sahibi postasının nasıl işleneceğine karar verdiği için sunucu, olası her ad için posta kabul edebiliyor ve her adı bir yığının üzerindeki etiketten ibaret sayabiliyordu. Tyma sonradan, postayı büyük oranda bellekte tutarak maliyeti düşük tuttuğunu anlattı. Hızla fark edildi: Joel Spolsky, çıkışından birkaç ay sonra blogunda bundan söz ediyordu. Açık yapısı, bu tür hizmetler için hâlâ geçerli bir sınır da koydu. Parolası olmayan bir gelen kutusunu, adını yazan herkes okuyabilir; bu yüzden yalnızca önemi olmayan posta için uygundur, başka hiçbir şey için değil.
Süreli gelen kutuları
2000'lerin ortasına gelindiğinde Guerrilla Mail ve 10 Minute Mail gibi hizmetler bir başka fikri tanıdık hale getirmişti: site, sayfa yüklenirken sizin için rastgele bir adres oluşturuyor ve adres kısa bir süre sonra sona eriyordu. Rastgele bir adı tahmin etmek zordur; bu da herkese açık ortak bir gelen kutusunun gizlilik zayıflığını hafifletti. Görünen sayaç ise kullanıcıya bu şeyin ne işe yaradığını tam olarak söylüyordu.
Bu üç tasarımda küçük bir ilkeler kümesi yerleşti. Verinizi korumak için veri teslim etmeniz gerekiyorsa hesap amacı boşa çıkarır; bu yüzden en bilinen hizmetler hiç hesap istemedi. Adres göründüğü anda çalışmalıydı. Posta kendiliğinden kaybolmalıydı ki az şey saklansın. Çoğu hizmet de yalnızca almaya odaklandı; kullanıcıların asıl ihtiyacı buydu ve spam gönderenler için pek işe yaramıyordu.
Web siteleri kara listelerle karşılık verdi
Bir site sahibi atılabilir adrese farklı bakar. Bir pazarlama ekibi, bir daha asla posta gönderemeyeceği bir kayıt için para ödemiştir. Bir platformun, güvenlik ya da fatura sorunu için kullanıcıya ulaşmanın yolu yoktur. Ücretsiz katmanı olan ya da topluluk kuralı kişi başına bir hesap olan bir hizmet, kuralın işlediğini gösteren az sayıdaki işaretten birini kaybetmiştir.
Yaygın karşılık bir alan adı denetimi oldu: kayıt sırasında @ işaretinden sonraki kısım, bilinen tek kullanımlık alan adlarının listesiyle karşılaştırılır. Bu alan adlarının topluluk listeleri herkese açık yayımlanıyor, ticari doğrulama hizmetleri de aynı denetimi bir API üzerinden sunuyor. Listeler yıllar içinde hizmetlerin ve alan adlarının sayısıyla birlikte büyüdü.
Bunu kazananları olan bir yarış gibi anlatmak kolay olurdu, ama bu çerçeve kimseye yarar sağlamaz. Bir sitenin tek kullanımlık adresleri kabul etmemesi, kendi hizmetiyle ilgili bir karardır ve reddedilince doğru karşılık orada kalıcı bir adres ya da takma ad kullanmaktır. Tek kullanımlık adreslerin yeri, sizinle kalıcı bir ilişkiye ihtiyacı olmayan çok geniş site grubudur ve bu, ancak koşulları izin verdiği yerlerde geçerlidir.
2004: Artı işareti kitlelere ulaşıyor
Gmail 1 Nisan 2004'te, rakiplerin sunduğunun küçük bir kesrine karşılık bir gigabaytlık depolamayla kullanıma girdi. Manşet depolamaydı, ama hizmet iki adresleme alışkanlığını da yaygın hale getirdi. Kullanıcı adındaki noktalar yok sayılır ve artı işaretinden sonrası teslimat için yok sayılır; yani name+shop@gmail.com adresi name@gmail.com adresine ulaşır.
Fikir Gmail'den eskiydi ve posta sunucuları yıllardır bunu destekliyordu. Standart biçimi daha sonra, Sieve posta filtreleme dili için bir alt adres uzantısı tanımlayan 2008 tarihli RFC 5233 ile geldi. Yine de çoğu insan onunla ilk kez Gmail'de karşılaştı. Her siteyi etiketlemenize, etikete göre filtre kurmanıza ve adresinizin hangi şirketteki kopyasının bir spam listesine düştüğünü görmenize imkân veriyordu.
Yapmadığı şey, hiçbir şeyi gizlemesiydi. Etiketi silin, gerçek adres hemen orada duruyor; bazı kayıt formları da artı işaretini yanlışlıkla reddediyordu. Bu yüzden bir düzen aracı olarak kaldı ve cazibesi, her ilişki için ayrı bir adres isteyen gerçek bir ihtiyacı gösterdi. Yönlendirmeli takma adlar bu ihtiyaca ancak on yıl sonra düzgün cevap verecekti.
Gönderici tarafını düzeltmek: 2006-2024
Kullanıcılar kendi araçlarını benimserken sektör, SMTP'nin eksik bıraktığı kimlik denetimlerini eklemeye başladı. Bu, şaşırtıcı derecede uzun sürdü, çünkü her katmanın mevcut sistemi bozmadan onunla birlikte çalışması gerekiyordu.
| Standart | Neyi yanıtlıyor | Belirtim |
|---|---|---|
| SPF | Bu sunucu bu alan adı adına gönderebilir mi? | RFC 4408 (2006), yerine RFC 7208 (2014) |
| DKIM | Bu alan adı iletiyi imzaladı mı ve ileti o zamandan beri değişti mi? | RFC 4871 (2007), yerine RFC 6376 (2011). Yahoo'nun DomainKeys'i ile Cisco'nun Identified Internet Mail'ini birleştirdi |
| DMARC | Görünen From alan adı, geçen bir denetimle örtüşüyor mu ve örtüşmüyorsa ne olmalı? | 2012'de bir sektör grubu tarafından yayımlandı, RFC 7489 (2015) |
| Tek tıkla abonelikten çıkma | Posta kutusu sağlayıcısı bir okuyucuyu tek işlemle çıkarabilir mi? | RFC 8058 (2017), 1998 tarihli RFC 2369'daki List-Unsubscribe başlığına dayanır |
| BIMI | Sıkı DMARC uygulayan bir alan adı doğrulanmış bir logo gösterebilir mi? | Bir sektör çalışma grubu geliştirdi, 2020'lerde birkaç büyük sağlayıcı benimsedi |
Yıllarca bunlar uygulamada isteğe bağlı kaldı. Bu, Şubat 2024'te Google ile Yahoo toplu göndericiler için kuralları uygulamaya başladığında değişti; Google'ınkiler Gmail adreslerine günde 5.000'den fazla ileti gönderenler için geçerliydi. Bu göndericilerin artık SPF, DKIM ve DMARC'a, pazarlama postasında tek tıkla abonelikten çıkmaya ve düşük bir spam şikâyeti oranına ihtiyacı var. RFC 821'den kırk iki yıl sonra, en büyük posta kutusu işletmecileri, geniş ölçekte kullanıcılarına ulaşmanın koşulu olarak gönderici kimliğini fiilen zorunlu kılmış oldu.
Kimlik doğrulama, bir iletinin nereden geldiğine duyulan güveni artırır. Adresinizin ne kadar yayıldığı hakkında hiçbir şey söylemez. İstenmeyen bir pazarlama e-postası her denetimi kusursuzca geçebilir ve bir suçlu da bir alan adı kaydedip onu doğrulatabilir. Dolayısıyla bu çalışma ile tek kullanımlık adresler, aynı sorunun farklı kısımlarını çözer ve hiçbiri ötekini gereksiz kılmadı.
Yasa koyucular ne yaptı
Yasalar dalgalar halinde geldi ve yaklaşımları farklıdır. Buradaki özet genel bilgi niteliğindedir; kurallar ülkeye göre değişir ve zamanla değişir.
- AB'nin 2002 tarihli e-Gizlilik Direktifi, pazarlama e-postaları için rıza dahil elektronik iletişime kurallar getirdi; her üye devlet bunu ayrı ayrı uyguladı.
- ABD'nin CAN-SPAM Yasası Ocak 2004'te yürürlüğe girdi. Doğru başlıkları, geçerli bir posta adresini ve çalışan bir vazgeçme seçeneğini zorunlu kılar; ilk iletiden önce rıza istemez.
- Kanada'nın spam karşıtı mevzuatı CASL, 2014'te rızaya dayalı daha sıkı bir modelle yürürlüğe girdi.
- AB'nin Genel Veri Koruma Tüzüğü Mayıs 2018'den itibaren uygulandı; veri minimizasyonu ve amaçla sınırlılık gibi ilkeleri, e-posta adreslerini de kapsayan kişisel veriler üzerindeki haklarla birlikte getirdi.
Bu yasalar, meşru kalmak isteyen işletmelerin çıtasını yükseltti. Sınır ötesinde çalışan suçlular üzerindeki etkisi çok daha azdı ve hiçbiri bir şirketin veri tabanının çalınmasını engelleyemezdi; bu da insanların gelen kutularını önemsemesinin bir sonraki nedeni oldu.
Veri ihlalleri tartışmayı değiştirdi
2010'lara kadar atılabilir adres lehindeki gerekçe esas olarak can sıkıntısıyla ilgiliydi. Sonra veri hırsızlığının boyutu kamuoyunun gündemine geldi. Adobe'nin ihlali 2013'te ortaya çıktı ve aynı yılın Aralık ayında güvenlik araştırmacısı Troy Hunt, herkesin bir adresi bilinen ihlallere karşı sorgulamasını sağlayan Have I Been Pwned'u başlattı. Denemiş birçok kişi ana adresinin birkaç kez listelendiğini gördü. Yahoo sonradan 2013'teki bir ihlalin yaklaşık üç milyar hesabın tamamını etkilediğini açıkladı.
Bunun sonucunda tehdit değişti. Adresiniz bir zamanlar reklamın hedefiydi. Artık yanında bağlam da geliyordu: kimlik avı gerçekten kullandığınız bir hizmete atıfta bulunabiliyor, kimlik bilgisi doldurma (credential stuffing) saldırıları sızdırılmış bir parola çiftini otomatik olarak başka sitelerde deneyebiliyordu. Ana adresinizi tutan her hizmet, kayıt olurken ne kadar önemsiz görünürse görünsün, gelecekteki bir saldırının olası kaynağı haline geldi.
İkinci hesabın eski mantığı birdenbire risk yönetimi gibi görünmeye başladı. Tek seferlik bir indirme sitesi ihlale uğrar ve ona geçici bir adres verdiyseniz, ana gelen kutunuz sızıntının içinde değildir. Ona bir takma ad verdiyseniz, o takma adı kapatabilirsiniz. Ana adresiniz ne kadar az yayılırsa, çalınacak o kadar az şey olur.
Haber veren görsel
Pazarlamacılar çok önceden, kimin neyi ne zaman açtığını, bazen yaklaşık konum ve cihaz türüyle birlikte öğrenmek için küçük uzak görselleri ve kişiselleştirilmiş bağlantıları kullanıyordu. Karşılık yavaş ve posta kutusu tarafından geldi. Birçok posta programı uzak görselleri engelleyen ayarlar ekledi. Gmail 2013'ün sonlarında görselleri kendi vekil sunucusu üzerinden getirmeye başladı; bu, okuyucuların IP adreslerini göndericilerden gizledi ama iletinin yüklendiğini öğrenmelerine yine de izin verdi. 2021'de Apple, uzak içeriği arka planda gizlice yükleyen ve açılma verisini güvenilmez bir sinyale dönüştüren Mail Gizlilik Koruması'nı (Mail Privacy Protection) tanıttı.
Bunlar, adresinize kimin sahip olduğunu sınırlamaya kıyasla küçük savunmalardır, ama aynı yönü gösterir: iletiyi okuyan kişi, göndericinin ne öğreneceğine karar vermelidir. Tek kullanımlık gelen kutuları aynı sonuca başka bir yoldan ulaşır. Bir daha bakmayacağınız bir adrese giden postanın bildirecek pek bir şeyi yoktur ve bazı hizmetler daha da ileri gidip izleme görsellerini ayıklar.
Takma adlar işletim sistemine taşınıyor
Yönlendirmeli takma ad hizmetleri yıllarca niş ürünler olarak var oldu. Kullanıcı, gerçek bir posta kutusuna teslim eden kalıcı, rastgele görünümlü adresler alıyordu ve her biri tek başına devre dışı bırakılabiliyordu. 2010'ların sonu fikri art arda ana akıma taşıdı:
- Apple, 2019'da Apple ile Giriş'in (Sign in with Apple) bir parçası olarak aktarma adreslerini tanıttı.
- Mozilla, önce Firefox Private Relay adıyla anılan Firefox Relay'i 2020'de denemeye başladı.
- Apple fikri 2021'de iCloud+ içinde E-postamı Gizle (Hide My Email) olarak genişletti.
- DuckDuckGo, 2021'de özel yönlendirme adreslerini içeren e-posta koruması betasını açtı.
- Proton, 2022'de SimpleLogin takma ad hizmetini satın aldı ve gizlilik odaklı posta sağlayıcıları takma adı ürünlerine daha genel olarak yerleştirdi.
Bu değişimi küçümsemek kolaydır. Yirmi yıl boyunca her site için ayrı bir adres kullanmak, gizliliğe önem verenlerin alışkanlığıydı. Bir telefon ya da tarayıcı bunu kayıt formunun içinde sunduğunda, kendi adresinizi yazmaktan daha az çaba gerektirir. Takma adlar geçici gelen kutularını gereksiz kılmaz, çünkü yine bir yerdeki bir hesaba dayanırlar ve o hesap kim olduğunuzu bilir. İkisinin birbiriyle ilişkisini görmenin iyi bir yolu, onları öncekilerin hepsinin yanına koymaktır.
| Kuşak | Ne sundu | Neyden vazgeçti |
|---|---|---|
| İkinci ücretsiz hesap (1990'ların sonu) | Kayıtlar için kalıcı, kurtarılabilir bir yer | Kayıt, bakım ve kendi büyüyen spam sorunu |
| Adresi gizlenmiş biçimde yazmak | Araçsız, tarayıcı yazılımlarına karşı koruma | Yalnızca herkese açık gönderilerde işe yaradı, kayıtlarda hiç |
| Sayan yönlendiriciler (2000 civarı) | Birkaç iletiden sonra otomatik kesinti | Hesap gerekiyordu ve gerçek bir gelen kutusuna bağlı kalıyordu |
| Herkese açık geçici gelen kutuları (2003'ten itibaren) | Veri teslim etmeden, yönetilecek bir şey olmadan | Kısa ömür, adresi bilen herkesçe okunabilirlik, önemli hesaplara uygunsuzluk |
| Artı adresleme (2004'ten itibaren yaygın) | Kolay filtreleme ve sızıntı takibi | Gerçek adres görünür kalıyor, bazı formlar reddediyor |
| Yönlendirmeli takma ad hizmetleri (2010'lar) | Kapatma düğmesi olan kalıcı ilişkiler | Kurtarma zincirinize katılan bir takma ad sağlayıcısına güven |
| Yerleşik takma adlar (2019'dan itibaren) | Neredeyse hiç çaba gerektirmiyor, kayıt formunun içinde sunuluyor | Sizi tek bir platformun ekosistemine bağlıyor |
Hiçbiri ötekilerin yerini almadı. Her biri farklı bir güven düzeyine ve farklı bir ömre uyar; birkaç katmana dayanan bir kişisel e-posta stratejisi bu yüzden hâlâ anlamlıdır.
Geçici bir gelen kutusu bugün nasıl görünüyor
Temel vaat 2003'ten beri aynı, ama arkadaki düzen epey değişti. İlk hizmetler çoğunlukla her şeyi kabul edip basit bir sayfanın arkasında saklayan tek bir SMTP sunucusu çalıştırıyordu. Bugün iş çoğunlukla bölünüyor ve VookMail bu düzenin bir örneği. privoxmail.com, veylax.com ve mailnexio.com gibi alan adları, bir posta teslim sağlayıcısını gösteren MX kayıtları yayımlıyor. Gönderen sunucu bu kaydı sorguluyor ve 1980'lerden beri olduğu gibi SMTP ile teslim ediyor. Sağlayıcı sonra her iletiyi HTTPS üzerinden VookMail'e iletiyor, böylece VookMail kendi posta sunucusunu dışarıya açmıyor. Tarayıcı birkaç saniyede bir yeni posta olup olmadığına bakıyor ve iletiler, ekler ile adresler yaklaşık bir gün sonra siliniyor. Metodoloji sayfası daha fazla ayrıntı veriyor.
Arayüz de ilerledi ve önceki kuşakların derslerini yansıtıyor. Adres, sayfa yüklendiğinde hazır; kayıt da parola da yok, tıpkı Mailinator'ın mümkün olduğunu gösterdiği gibi. Sarı Rastgele düğmesiyle gelen rastgele bir adres, açık gelen kutularının tahmin edilebilirlik zayıflığına cevap veriyor; alternatif ise Yeni'ye basıp bir kullanıcı adı yazmak ve 30'dan fazla alan adı arasından seçmek. Bir adresi bilen ya da tahmin eden biri o gelen kutusunu yine açabilir; bu, bu hizmet ailesinin tamamı için geçerlidir ve rastgele adresin daha güvenli olmasının nedeni budur. VookMail kullanım rehberimiz düğmeleri adım adım anlatıyor, ayrıca Google Play ve Huawei AppGallery üzerinde uygulamalar var.
Bugünün kullanıcısının gördüğü adımlar, 2003'ten gelen birini sandığınızdan daha az şaşırtırdı. İletinin üstünde ayıklanıp gösterilen doğrulama kodları, adresi ikinci bir cihaza taşıyan QR kod, kaldırılmış izleme görselleri: bunlar tek bir fikrin inceltmeleri, yani şimdi ihtiyacınız olanı alıp sonra bırakmak. Yazılım testi de önemli bir kullanım alanı haline geldi; çünkü bir kayıt akışını denetleyen geliştirici tam olarak her test turu için temiz bir gelen kutusu ister.
Bir arada görmeye değer tarihler
| Yıl | Olay |
|---|---|
| 1971 | Ray Tomlinson makineler arasında posta gönderiyor ve @ işaretini benimsiyor |
| 1978 | Gary Thuerk'in ARPANET'teki toplu iletisi; genellikle ilk spam olarak anılır |
| 1982 | SMTP (RFC 821) ve ileti biçimi (RFC 822) yayımlanıyor |
| 1986 | RFC 974, DNS ile posta yönlendirmeyi tarif ediyor |
| 1992 | Dwork ve Naor, çöp postaya karşı hesaplama bulmacaları öneriyor |
| 1994 | Green Card gönderileri Usenet'i dolduruyor |
| 1996-1997 | Hotmail ve Yahoo Mail ücretsiz web postasını herkese açıyor; yaygın kullanılan ilk DNS kara listesi başlıyor |
| 2000 civarı | Spamgourmet kendiliğinden süresi dolan adresler sunuyor |
| 2002 | "A Plan for Spam" istatistiksel filtrelemeyi yaygınlaştırıyor; AB'nin e-Gizlilik Direktifi |
| 2003 | Mailinator kullanıma giriyor; ABD'de CAN-SPAM imzalanıyor |
| 2004 | Gmail kullanıma giriyor ve artı adreslemeyi tanıdık hale getiriyor |
| 2013 | Have I Been Pwned başlıyor; Gmail görselleri vekil sunucudan geçirmeye başlıyor |
| 2015 | DMARC, RFC 7489 olarak yayımlanıyor |
| 2018 | GDPR AB'de uygulanmaya başlıyor |
| 2019-2021 | Apple ile Giriş, Firefox Relay, Hide My Email ve DuckDuckGo'nun yönlendirme hizmeti geliyor |
| 2022 | Apple, Google ve Microsoft geçiş anahtarlarına (passkey) bağlılık veriyor |
| 2024 | Google ve Yahoo toplu gönderici kurallarını uygulamaya başlıyor |
Elli yıldır değişmeyenler
Baştan sona okunduğunda bu tarih, uzun teknoloji listesinin düşündürdüğünden daha az çeşitlilik içeriyor. Göndermek ucuz kaldı ve ucuz kaldığı sürece istenmeyen posta var olacak, çünkü göndericinin ekonomisi çok sayıda okuyucunun evet demesini gerektirmiyor. Thuerk'in tanıtım daveti ile günümüzün bir kimlik avı kampanyasının ortak noktası bu; göndericilerin işlem gücüyle ödeme yapmasını öneren 1992 teklifi de tam olarak bu bedelin herkese dayatılamaması yüzünden başarısız oldu.
Adres, web postası çağından beri bir kimlik olarak kaldı ve alışılmadık derecede güçlü bir kimlik: gelen kutunuzu okuyan kişi çoğunlukla parolalarınızı sıfırlayabilir. Maruz kalma birikimli kaldı, çünkü adresinizin 2009'da katıldığı bir liste onu unutmaz ve kopyaların çoğu hiçbir zaman silinmez. Her savunma kuşağı da mühendislikle ortadan kaldırılamayan bir ödünle geldi. Bir adres ne kadar kolay atılırsa, sonradan isteyeceğiniz her şey için o kadar kötüdür. Atması zahmetsiz ve bankanızı emanet etmeye güvenli bir posta kutusu yapmayı kimse başaramadı.
Gelen kutusu gizliliği nereye gidiyor
Tarih, öngörmekten çok açıklamakta iyidir; Gates'in iki yıllık tahmini bunu gösteriyor. Bu yüzden aşağıdakileri, hiçbir garantisi olmayan, mevcut eğilimlerin bir okuması olarak değerlendirin.
Varsayılan olarak her site için bir adres
Takma adlar artık büyük platformlar ve parola yöneticileri tarafından kayıt sırasında sunuluyor. Bu yayılmaya devam ederse, her siteye aynı adresi vermek tıpkı bugün tek bir parolayı yeniden kullanmak gibi görünmeye başlayabilir. Olası sınır taşınabilirlik: tek bir şirketin ekosistemine bağlı bir takma ad, o şirketle ilişkiniz kadar kalıcıdır; bu yüzden platformlar arasında geçen insanların çözmesi gereken bazı düğümler olacak.
Geçiş anahtarları ve e-postanın rolü
FIDO standartlarına dayanan ve 2022'den beri Apple, Google ve Microsoft'un birlikte desteklediği geçiş anahtarları, parolanın yerine cihazlarınızda tutulan şifrelemeye dayalı bir kimlik bilgisi koyar. Daha az parola, daha az sıfırlama e-postası demek. Yine de çoğu hizmet e-posta adresini hesabın tanımlayıcısı olarak ve bir cihaz kaybolduğunda bildirimler ve kurtarma için kullanıyor. Yani e-postanın güvenlik kanalı olarak rolü ancak yavaş yavaş küçülecek gibi görünüyor ve ana posta kutusu bir süre daha korunmaya değer.
Daha iyi filtreler, daha inandırıcı dolandırıcılık
Makine öğrenmesi tespiti geliştirmeye devam ediyor, üretilen metin ise her dilde akıcı, kişiselleştirilmiş dolandırıcılık iletileri yazmayı kolaylaştırıyor. Yazım hatalarıyla ilgili eski ipucu bu yüzden değerini yitiriyor. Bağlam soruları daha iyi dayanıyor: bu ileti bu adrese hiç ait mi? Ayrı adresler kullanan biri burada avantajlıdır, çünkü bir alışveriş takma adına gelen "banka" bildirimi soruyu kendiliğinden yanıtlar.
Daha sıkı gönderici kuralları
2024 gereklilikleri daha da sıkılaşabilir ve diğer büyük sağlayıcılar da aynı yöne gitti. Bu, meşru pazarlama postasından ayrılmayı kolaylaştırır ve meşru olmayan toplu postayı filtrelemeyi de. Ele geçirilmiş hesapları ya da güvenliği ihlal edilmiş hizmetleri kötüye kullanmaya hazır suçlular için ekonomiyi değiştirmez; doğrudan göndermek zorlaştıkça bunlar daha cazip hale geldi.
Hiç sormayan daha çok form
Gizlilik yasasındaki veri minimizasyonu ilkeleri, yalnızca bir amacın gerektirdiğini toplamaya iter. Zamanla daha fazla indirme, önizleme ve Wi-Fi portalı adres sormayı bırakabilir ya da adresin ne için kullanılacağı konusunda daha net olabilir. Buradaki değişim yavaş oldu, çünkü bir posta listesinin ticari değeri var. Bu doğru olduğu sürece geçici gelen kutularının bir işi olacak: tek seferlik kısıtlı içerik, bir mekânın giriş sayfası, tanımadığınız bir sitenin güvenmeden önce neler gönderdiğini görmek; her zaman sitenin koşullarının izin verdiği yerde.
Sınırların da değişmesi olası değil. Bazı platformlar tek kullanımlık alan adlarını reddetmeyi sürdürecek ve geçici bir gelen kutusunun dolandırıcılığın, kötüye kullanımın, bir yasağı aşmanın ya da bankacılık, devlet hizmetleri veya ana sosyal medya hesabı gibi önemli herhangi bir şeyin yakınında işi yok. Kullanım koşullarımız bu sınırları açıkça belirtiyor.
Kayıt, kendi adresiniz için ne öneriyor
Tarih az talimat verir, ama birkaçı baştan sona geçerli kalıyor. Bir adres yayıldıktan sonra geri gelmez; bu yüzden ana adresi korumanın zamanı onu vermeden önce, ve bu, listedeki bir ileti gönderilmeden önce devreye giren tek savunma. Filtreler, kimlik doğrulama ve yasa her biri yardımcı oldu ve her biri bir sınıra çarptı; bu yüzden herhangi birine tek başına güvenmek insanları defalarca hayal kırıklığına uğrattı. Atılabilir araçlar her zaman bir konuda iyi, tersi konuda zayıf oldu: bir kez ihtiyaç duyduğunuz posta ile yıllarca ihtiyaç duyacağınız hesaplar. Önemli olanı başka bir yere kaydedin, çünkü otomatik silme bu hizmetlerin hem amacı hem de en keskin yanıdır.
Bu tarihin akla getirdiği sorular
Thuerk'in iletisi gerçekten ilk spam miydi?
Olağan cevap bu ve Guinness'in kaydettiği de bu; büyük ölçüde ticari olduğu ve tepkinin belgelenmiş olduğu için. Ortak sistemlerde daha eski toplu iletiler vardı. MIT'nin CTSS sisteminde çalışan Tom Van Vleck, 1971'de tüm kullanıcılara gönderilen bir savaş karşıtı iletiyi anlattı. "İlk" olmak, ticari olmayan iletileri ve tek bir bilgisayar içindeki iletileri sayıp saymamanıza bağlı.
Tek kullanımlık e-postayı kim icat etti?
Özel olarak kimse. Herhangi bir hizmet olmadan önce ikinci bir web postası hesabı bu işi gayriresmî olarak görüyordu; Spamgourmet ve Mailinator ise fikrin farklı yarılarını otomatikleştirdi. Mailinator, kaydı tümüyle ortadan kaldırdığı için sıklıkla kategoriyi tanımlamakla anılır, ama bu iddia fikir üzerinde bir patent olarak değil, bir etki olarak okunmalı.
Neden 2000 civarına kadar sürdü?
Ücretsiz web postasına kadar, iş ya da okul dışında önemli bir adresi olan kişi azdı ve web siteleri de henüz her fırsatta adres istemiyordu. İhtiyaç 1990'ların sonunda web kayıtlarıyla geldi. Yöntem zaten mevcuttu, çünkü alan adları her zaman herhangi bir ad için posta kabul edebiliyordu.
İş kanıtı neden e-postada başarısız oldu ama başka yerde yaşadı?
E-postada bir pulun zorunlu kılınabilmesi için neredeyse her sunucunun anlaşması gerekiyordu ve bu koordinasyon hiç gerçekleşmedi. Bir web sitesi aynı tekniği kendi ziyaretçileri için tek başına benimseyebilir; bugün bot denetimi olarak işe yarıyor olmasının nedeni bu.
Kimlik doğrulama tek kullanımlık adresleri gereksiz kıldı mı?
Hayır, çünkü ikisi ayrı sorularla ilgilenir. SPF, DKIM ve DMARC bir iletinin gerçekten bir alan adından gelip gelmediğini ele alır. Tek kullanımlık adres ise adresinizin en baştan kimde olduğunu ele alır. Posta her denetimi geçip yine de hiç istemediğiniz bir posta olabilir.
E-posta hiç değiştirilebilir mi?
Mesajlaşma uygulamaları kişisel konuşmaların çoğunu çoktan devraldı, yine de neredeyse her çevrimiçi hesap bir e-posta adresi istiyor. Hiçbir şirket ona sahip değil, herkes sunucu çalıştırabilir ve herhangi iki taraf aynı platformu paylaşmadan posta alışverişi yapabilir. Bu nitelikler spam'in neden bu kadar zor bitirildiğini de açıklıyor. İlgili arka plan için VookMail blogu bu araçların bugün nasıl çalıştığı hakkında daha fazlasını sunuyor.