Hãy gõ địa chỉ email của bạn vào công cụ tìm kiếm, đặt trong dấu ngoặc kép. Nếu nó xuất hiện trong một bài đăng diễn đàn cũ, một CV từ nhiều năm trước, danh sách thành viên của một câu lạc bộ hay trang liên hệ của một dự án cá nhân, gần như chắc chắn các công cụ thu thập tự động (scraper) cũng đã lấy được nó. Những chương trình này quét khắp web để tìm mọi thứ có dạng ten@tenmien, và danh sách chúng tạo ra được bán, trao đổi và bị gửi thư rác trong nhiều năm.
Câu trả lời ngắn gọn cho việc ẩn email khỏi bot spam: hạn chế tối đa việc công khai địa chỉ chính, đặt biểu mẫu liên hệ thay cho mọi địa chỉ trên website của bạn, dùng cho nơi công khai một địa chỉ mà bạn có thể lọc hoặc thay thế, và dùng hộp thư tạm thời cho những lần đăng ký chỉ dùng một lần. Không cách nào trong số này làm địa chỉ trở nên vô hình. Nếu con người đọc được, một chương trình đủ kiên trì thường cũng đọc được. Điều các bước này làm được là giảm số danh sách chứa địa chỉ của bạn, và giới hạn thiệt hại ở một địa chỉ mà bạn có thể chấp nhận mất.
Scraper và bot spam tìm địa chỉ email như thế nào
Phần lớn việc thu thập địa chỉ đều rẻ và tự động. Bot tải trang về, tìm mẫu ký tự @ theo sau là tên miền rồi lưu lại mọi thứ khớp. Những địa chỉ khác đến từ các nguồn hoàn toàn không cần quét web. Biết nguồn nào làm lộ địa chỉ của bạn sẽ cho bạn biết giải pháp nào có tác dụng.
| Nguồn | Địa chỉ xuất hiện ở đó thế nào | Bạn có thể làm gì |
|---|---|---|
| Website của chính bạn | Liên kết mailto: hoặc địa chỉ ở chân trang hay trang liên hệ | Dùng biểu mẫu liên hệ, hoặc một địa chỉ chung có thể lọc |
| Diễn đàn, bình luận và đánh giá | Chữ ký, câu trả lời kiểu "gửi email cho tôi tại", trường hồ sơ công khai | Sửa bài cũ, ẩn trường hồ sơ, dùng một địa chỉ riêng |
| Dữ liệu đăng ký tên miền | Thông tin liên hệ trong WHOIS hoặc RDAP của tên miền bạn sở hữu | Kiểm tra cài đặt bảo mật thông tin tại nhà đăng ký |
| Hồ sơ công khai và mã nguồn | Tiểu sử mạng xã hội, trang tác giả, siêu dữ liệu commit Git | Gỡ địa chỉ, dùng địa chỉ no-reply cho commit |
| Tài liệu | PDF, CV, slide và bảng tính đăng lên mạng | Gỡ hoặc thay các tệp bạn quản lý |
| Rò rỉ dữ liệu | Một dịch vụ bạn từng dùng bị mất cơ sở dữ liệu người dùng | Bạn không ngăn được, nên hãy giới hạn địa chỉ mà mỗi dịch vụ nhận |
| Đoán mò | Các tên phổ biến như info@ hay lan@ được thử trên tên miền đã biết | Lọc thư, và từ chối người nhận không tồn tại trên tên miền của bạn |
Dữ liệu tên miền đáng được nói thêm, vì nhiều người nghĩ chúng vẫn hoàn toàn công khai. Kể từ khi GDPR có hiệu lực năm 2018, phần lớn các nhà đăng ký lớn đã ẩn thông tin liên hệ cá nhân trong kết quả WHOIS công khai, và nhiều nơi cung cấp dịch vụ bảo mật miễn phí. Dù vậy, quy định vẫn khác nhau tùy nhà đăng ký và tên miền quốc gia, còn thông tin của tổ chức thường hiển thị đầy đủ. Hãy tra cứu tên miền của bạn một lần để xem thực tế những gì đang hiển thị.
Rò rỉ dữ liệu là nguồn bị đánh giá thấp nhất. Bạn có thể cẩn thận ở mọi nơi mà vẫn rơi vào danh sách spam, chỉ vì một cửa hàng, diễn đàn hay ứng dụng bạn dùng từ nhiều năm trước bị tấn công. Vì vậy, lời khuyên bên dưới không chỉ nói về nơi bạn công khai địa chỉ, mà còn về việc bạn đưa ra địa chỉ nào.
Bảo vệ địa chỉ trên website của chính bạn
Nếu bạn quản lý một website, blog hay cửa hàng trực tuyến, trang liên hệ là nơi bot dễ tìm thấy bạn nhất. Ở đây bạn có nhiều quyền kiểm soát hơn bất cứ đâu, nên rất đáng để làm cho đúng.
Dùng biểu mẫu liên hệ thay cho liên kết mailto
Biểu mẫu gửi tin nhắn từ máy chủ của bạn, nên địa chỉ nhận không bao giờ xuất hiện trên trang. Hãy kiểm tra dữ liệu nhập ở phía máy chủ, không chỉ trên trình duyệt, và chuyển tin nhắn đến một địa chỉ không được ghi ở bất kỳ đâu. Biểu mẫu cũng thu hút spam riêng, các phần tiếp theo sẽ xử lý chuyện đó, nhưng kẻ gửi spam qua biểu mẫu không thể đưa địa chỉ của bạn vào một danh sách để bán lại.
Che giấu địa chỉ: mỗi mẹo thực sự chặn được gì
Nếu buộc phải hiển thị địa chỉ, có nhiều cách làm cho việc thu thập khó hơn. Mức hiệu quả của chúng rất khác nhau, và cách nào cũng có cái giá mà khách truy cập thật phải trả.
| Cách làm | Chặn được | Không chặn được | Cái giá |
|---|---|---|---|
| Viết "ten a còng tenmien chấm com" | Những bot đơn giản nhất chỉ dò mẫu | Scraper tìm các cách viết phổ biến của "a còng" và "chấm" | Khách phải gõ lại địa chỉ |
| Thực thể ký tự HTML | Bot đọc mã nguồn mà không giải mã | Mọi trình phân tích có giải mã HTML, tức là hầu hết | Gần như không có |
| Ghép địa chỉ bằng JavaScript | Trình thu thập không chạy script | Trình duyệt không giao diện (headless) hiển thị trang như người thật | Không hoạt động với khách đã chặn script |
| Hiển thị địa chỉ dưới dạng ảnh | Scraper dựa trên văn bản | Công nghệ nhận dạng chữ, vừa rẻ vừa chính xác | Trình đọc màn hình không đọc được, và không ai sao chép được |
| Tính năng che giấu của CDN | Nhiều scraper phổ biến, bạn không phải làm gì thêm | Bot chạy được script giải mã | Tùy vào script của nhà cung cấp |
Tóm lại một cách trung thực: che giấu địa chỉ loại bỏ được những bot lười nhất, mà phần lớn việc thu thập vốn rất lười, nên lượng spam giảm. Nhưng nó không bảo vệ được địa chỉ trước kẻ cố ý nhắm vào website của bạn. Hãy coi mọi địa chỉ bạn hiển thị là địa chỉ sớm muộn sẽ bị thu thập, và chọn nó với suy nghĩ đó.
CAPTCHA, bẫy honeypot và giới hạn tần suất gửi
Những công cụ này bảo vệ biểu mẫu, không bảo vệ địa chỉ. CAPTCHA hoặc dịch vụ xác minh chặn được nhiều lượt gửi tự động, dù vẫn có lượt lọt qua và mỗi lần xác minh lại làm người thật hơi phiền. Honeypot là một trường ẩn mà người thật không bao giờ thấy nhưng bot lại điền vào, nhờ đó bạn có thể lặng lẽ loại bỏ những lượt gửi đó. Giới hạn số lần gửi theo địa chỉ IP ngăn một nguồn gửi hàng trăm tin nhắn trong một phút. Kết hợp lại, chúng giữ hộp thư dùng được mà không đòi hỏi nhiều ở khách truy cập. Nếu biểu mẫu đăng ký người dùng vào danh sách thư, hãy dùng xác nhận hai bước (double opt-in) để không ai có thể đăng ký địa chỉ của người lạ.
Giữ địa chỉ chính tránh xa các trang công khai
Địa chỉ chính là địa chỉ gắn với ngân hàng, dịch vụ công, công việc và những người bạn quen biết. Cách bảo vệ tốt nhất rất đơn giản: nó không nên xuất hiện ở bất kỳ nơi nào trình thu thập có thể tới. Hãy rà soát một lần những nơi thường gặp:
- Hồ sơ mạng xã hội và nghề nghiệp. Gỡ địa chỉ khỏi phần tiểu sử, và nếu nền tảng cho phép, đặt trường liên hệ chỉ hiển thị với các kết nối của bạn.
- Diễn đàn và tài khoản cũ. Sửa chữ ký và bài viết cũ có chứa địa chỉ. Đóng những tài khoản bạn không còn dùng.
- Kho mã nguồn. GitHub và các nền tảng tương tự cho phép dùng địa chỉ no-reply riêng tư cho commit. Commit mới sẽ không hiển thị địa chỉ thật nữa, nhưng commit cũ vẫn giữ những gì đã ghi.
- Tài liệu. Một CV hay tờ giới thiệu đăng dưới dạng PDF chỉ là văn bản thuần với trình thu thập. Thay các tệp bạn quản lý bằng phiên bản dùng biểu mẫu liên hệ hoặc địa chỉ riêng.
- Danh bạ và danh sách thành viên. Đề nghị câu lạc bộ, trường học và hiệp hội gỡ địa chỉ hoặc chỉ cho thành viên xem danh sách.
Gỡ địa chỉ không xóa nó khỏi những danh sách đã tồn tại, và bộ nhớ đệm của công cụ tìm kiếm cũng như kho lưu trữ web có thể còn giữ bản sao một thời gian. Nhưng việc này ngăn scraper mới nhặt được nó, và về lâu dài điều đó có ý nghĩa.
Dùng một địa chỉ riêng cho nơi công khai
Một số địa chỉ buộc phải công khai: địa chỉ liên hệ của người làm tự do, địa chỉ hỗ trợ của cửa hàng, địa chỉ in trên tờ rơi. Giải pháp là tách địa chỉ đó khỏi địa chỉ cá nhân. Một địa chỉ chung như contact@yourdomain.example, hoặc một hộp thư thứ hai ở nhà cung cấp miễn phí, có thể lọc mạnh tay và thay thế khi vượt tầm kiểm soát, mà không ảnh hưởng đến ngân hàng hay bạn bè của bạn.
Với việc đăng ký tài khoản, bí danh email (alias) còn đi xa hơn. Dịch vụ bí danh cho bạn một địa chỉ chuyển tiếp riêng cho từng website, nên website không bao giờ thấy địa chỉ thật, và bạn có thể tắt bất kỳ bí danh nào bắt đầu nhận thư rác. Ví dụ có tính năng Ẩn Địa chỉ Email của Apple cho người dùng iCloud+, Firefox Relay, SimpleLogin và DuckDuckGo Email Protection. Địa chỉ có dấu cộng như yourname+cuahang@gmail.com giúp truy ra spam đến từ đâu, nhưng không che giấu gì cả, vì ai cũng có thể xóa phần đuôi. Chúng tôi so sánh các lựa chọn này trong hướng dẫn về email tạm thời và bí danh email, còn bài viết về chiến lược email cá nhân chỉ cách phân chia địa chỉ theo mức độ tin cậy.
| Lựa chọn | Ẩn địa chỉ thật | Tồn tại bao lâu | Phù hợp nhất cho |
|---|---|---|---|
| Địa chỉ chính | Không | Nhiều năm | Ngân hàng, công việc, dịch vụ công, người quen |
| Địa chỉ dấu cộng | Không | Bằng thời gian tồn tại của hộp thư | Tìm ra website nào làm lộ hoặc bán địa chỉ |
| Hộp thư phụ hoặc địa chỉ chung | Có, nếu không có gì liên kết nó với bạn | Nhiều năm | Thông tin liên hệ công khai, cửa hàng bạn sẽ mua lại |
| Bí danh email | Có | Đến khi bạn tắt | Tài khoản bạn giữ nhưng không hoàn toàn tin tưởng |
| Hộp thư tạm thời | Có | Khoảng 24 giờ | Đăng ký và tải xuống một lần |
Dùng hộp thư tạm thời cho đăng ký một lần
Rất nhiều spam bắt đầu từ một lần đăng ký mà bạn không bao giờ cần lại: một tài liệu miễn phí, một chủ đề diễn đàn muốn đọc một lần, một cổng Wi-Fi, một tài khoản thử nghiệm. Với những trường hợp này, một địa chỉ temp mail giữ địa chỉ thật của bạn hoàn toàn nằm ngoài cơ sở dữ liệu của website. Nếu sau này website đó bị tấn công hoặc bán danh sách, spam sẽ được gửi đến một địa chỉ không còn tồn tại.
VookMail hoạt động mà không cần tài khoản. Mở trang web là đã có sẵn một địa chỉ. Sao chép bằng nút Sao chép, hoặc bấm Mới để tự chọn tên người dùng và một trong hơn 30 tên miền. Hộp thư kiểm tra thư mới vài giây một lần, nên liên kết xác nhận hiện ra mà không cần tải lại trang. Khi xong việc, nút Xóa sẽ gỡ địa chỉ. Nếu không, thư sẽ bị xóa sau khoảng 24 giờ. Nếu muốn biết chi tiết loại địa chỉ email dùng một lần này hoạt động thế nào, trang đó có giải thích.
Những giới hạn là một phần của việc dùng đúng cách. Hộp thư tạm thời chỉ mở được trên trình duyệt đã tạo ra nó, và thư không được mã hóa đầu cuối, nên đây không phải nơi dành cho thông tin cá nhân. Đừng bao giờ dùng nó cho tài khoản bạn cần giữ lâu dài, vì email đặt lại mật khẩu sẽ không còn nơi để đến. Một số website không chấp nhận địa chỉ dùng một lần, đó là quyết định của họ, và khi đó bí danh hoặc địa chỉ phụ là lựa chọn đúng. Không được dùng địa chỉ tạm thời để nhận dùng thử miễn phí nhiều lần hay các ưu đãi chỉ dành cho một người, và điều khoản và điều kiện của chúng tôi cấm việc này. Hướng dẫn về đăng ký mà không cần email thật của chúng tôi nêu rõ tình huống nào phù hợp.
Kiểm tra xem địa chỉ của bạn đã bị lộ chưa
Have I Been Pwned là dịch vụ miễn phí hoạt động lâu năm, cho biết một địa chỉ có nằm trong dữ liệu của các vụ rò rỉ đã biết hay không. Kết quả cho thấy dịch vụ nào đã làm mất địa chỉ đó và đại khái những gì khác bị lấy đi, chẳng hạn mật khẩu hay số điện thoại. Nếu có mật khẩu bị lộ, hãy đổi nó ở mọi nơi bạn đã dùng và bật xác thực hai yếu tố. Hướng dẫn về cần làm gì sau khi rò rỉ dữ liệu của chúng tôi trình bày từng bước.
Hãy cẩn thận với những trang lạ kiểu "kiểm tra xem email của bạn có bị lộ không". Gõ địa chỉ vào một biểu mẫu không rõ nguồn gốc là thêm một cách trao nó cho một danh sách nào đó. Hãy dùng các dịch vụ có lịch sử công khai lâu năm, hoặc cảnh báo rò rỉ có sẵn trong trình quản lý mật khẩu hay trình duyệt của bạn.
Làm gì nếu địa chỉ của bạn đã bị thu thập
Không có cách nào rút địa chỉ khỏi những danh sách đã có nó. Nhưng bạn có thể làm cho các danh sách đó kém giá trị hơn và ngăn danh sách mới hình thành.
- Đừng trả lời và đừng bấm vào liên kết. Trả lời, kể cả chỉ để yêu cầu dừng, sẽ xác nhận có người thật đọc địa chỉ này. Không bấm vào liên kết trong thư từ người gửi bạn không biết.
- Báo cáo spam thay vì xóa. Báo cáo giúp huấn luyện bộ lọc của nhà cung cấp email, vốn nhìn thấy cùng một chiến dịch trong hàng triệu hộp thư.
- Gỡ địa chỉ khỏi những nơi bạn tìm thấy. Dùng cách tìm kiếm ở đầu bài và sửa những gì bạn quản lý được.
- Thay địa chỉ công khai trên website của bạn bằng biểu mẫu hoặc một địa chỉ chung mới, và tiếp tục lọc địa chỉ cũ thêm một thời gian.
- Tắt tự động tải hình ảnh từ người gửi lạ, để pixel theo dõi không thể xác nhận địa chỉ còn hoạt động. Bài viết về pixel theo dõi trong email của chúng tôi giải thích cách chúng hoạt động.
- Chuyển các lần đăng ký sau sang bí danh hoặc địa chỉ tạm thời, để địa chỉ chính ngừng lan rộng.
- Chỉ đổi địa chỉ chính khi không còn cách nào khác. Nếu đổi, hãy giữ địa chỉ cũ kèm chuyển tiếp trong vài tháng và chuyển các tài khoản quan trọng trước.
Về phía hộp thư, gồm bộ lọc và cách hủy đăng ký an toàn, hãy xem hướng dẫn cách chặn email spam của chúng tôi.
Những ngộ nhận nên bỏ qua
- "Bot spam không đọc được hình ảnh." Nhận dạng chữ rất rẻ. Hình ảnh chỉ làm chậm scraper đơn giản và gây khó cho người dùng trình đọc màn hình.
- "JavaScript ẩn hoàn toàn địa chỉ của tôi." Nhiều scraper ngày nay chạy cả trình duyệt đầy đủ. Script chỉ lọc được các bot cũ, không phải tất cả.
- "Nếu không bao giờ công khai địa chỉ, tôi sẽ không bao giờ nhận spam." Rò rỉ dữ liệu và đoán mò vẫn tìm đến những địa chỉ chưa từng được công khai.
- "Hủy đăng ký thư rác sẽ đưa tôi ra khỏi danh sách." Với người gửi hợp pháp, cách này thường có tác dụng. Với kẻ gửi spam thật sự, một cú bấm có thể xác nhận địa chỉ của bạn còn hoạt động.
Câu hỏi thường gặp
Bot spam có đọc được địa chỉ email hiển thị dưới dạng ảnh không?
Một số có. Công cụ nhận dạng chữ đọc ảnh rõ nét rất dễ dàng và chi phí thấp. Ảnh chặn được scraper văn bản đơn giản, nhưng trình đọc màn hình không truy cập được và không sao chép được, nên biểu mẫu liên hệ thường là lựa chọn tốt hơn.
Viết "ten a còng tenmien chấm com" có còn đáng không?
Nó giúp một chút trước những bot đơn giản nhất và khiến khách truy cập tốn thêm chút công sức. Không nên coi đó là lớp bảo vệ duy nhất cho một địa chỉ quan trọng.
Bảo mật WHOIS có chặn mọi spam gửi đến tên miền của tôi không?
Không. Nó giữ thông tin cá nhân của bạn ngoài các tra cứu tên miền công khai, tức là đóng được một nguồn. Các địa chỉ chung như info@ vẫn nhận spam do đoán mò, và mọi thứ trên website của bạn vẫn có thể bị thu thập.
Email tạm thời có bảo vệ được địa chỉ chính của tôi không?
Với các lần đăng ký một lần thì có, vì website không bao giờ nhận được địa chỉ chính của bạn. Nó không giúp được với những địa chỉ đã bị lộ, và không phù hợp cho tài khoản bạn cần giữ.
Tôi có thể yêu cầu gỡ địa chỉ khỏi danh sách spam không?
Với danh sách do kẻ gửi spam quản lý thì không. Người gửi hợp pháp sẽ gỡ bạn khi bạn hủy đăng ký, và một số công ty môi giới dữ liệu có biểu mẫu từ chối. Với phần còn lại, báo cáo và lọc thư là những công cụ thực tế. Xem thêm các hướng dẫn khác trên blog VookMail.