Ngày 3 tháng 5 năm 1978, Gary Thuerk, một nhân viên tiếp thị của Digital Equipment Corporation, gửi cùng lúc một thư cho vài trăm người dùng ARPANET, theo đa số cách đếm là 393 người, mời họ đến xem buổi trình diễn các máy tính mới của DEC. Người nhận phàn nàn, và những người vận hành mạng đã khiển trách DEC. Sách kỷ lục Guinness xếp đây là thư rác điện tử lâu đời nhất. Phải mất khoảng hai thập kỷ nữa mới có người đưa ra cho người dùng bình thường một cách đối phó thực tế ngay từ phía đầu dây của họ.
Cách đối phó đó, địa chỉ email dùng một lần, xuất hiện vào khoảng năm 2000. Lúc ấy Spamgourmet đã cung cấp các địa chỉ chuyển tiếp tự hết hạn, và Mailinator theo sau vào năm 2003 với các hộp thư công khai không cần tài khoản. Lịch sử email dùng một lần chính là câu chuyện về lý do những dịch vụ này trở nên cần thiết: một hệ thống thư xây trên lòng tin, một địa chỉ biến thành tên đăng nhập, và chi phí gửi thư gần như bằng không, đến mức bộ lọc và luật pháp chỉ có thể giảm bớt dòng thư rác chứ không chặn được nó. Chính những áp lực đó về sau đã sinh ra các bí danh, và chúng vẫn định hình những gì sắp tới.
Một mạng lưới nơi ai cũng tìm ra được nhau
Thư giữa những người dùng chung một máy tính đã có từ thập niên 1960. Bước ngoặt đáng nói ở đây diễn ra năm 1971, khi kỹ sư Ray Tomlinson gửi thư giữa hai máy trên ARPANET, mạng nghiên cứu do Bộ Quốc phòng Mỹ tài trợ, và chọn ký hiệu @ để tách tên người khỏi tên máy chủ của họ. Đến thời điểm thư của Thuerk, email đã là một trong những thứ được dùng nhiều nhất trên mạng.
Người dùng khi đó là nhà nghiên cứu, kỹ sư và nhân viên chính phủ, và phần lớn họ có thể nhận ra nhau. Thực tế xã hội ấy được đưa thẳng vào thiết kế kỹ thuật. Khi SMTP được công bố thành RFC 821 năm 1982, cùng RFC 822 quy định các phần đầu thư như From, To và Subject, không có điều nào yêu cầu người gửi phải chứng minh bất cứ điều gì. Một lần trao đổi đơn giản hóa giữa hai máy chủ thư trông gần giống bây giờ:
MAIL FROM:<anyone@example.com>RCPT TO:<reader@example.org>DATA
Máy chủ nhận tin lời người gửi khai ra. Trên một mạng mà việc vi phạm quy định có thể xử lý bằng một cuộc gọi cho cấp trên của người đó, đây là thiết kế hợp lý. Nó trở thành gốc rễ của việc giả mạo người gửi, lừa đảo (phishing) và thư hàng loạt ẩn danh khi cuộc gọi ấy không còn khả thi nữa.
Một mảnh ghép thứ hai xuất hiện năm 1986, khi RFC 974 mô tả cách Hệ thống tên miền (DNS) định tuyến thư bằng bản ghi MX. Một tên miền công bố bản ghi chỉ ra các máy chủ nhận thư của nó, và người gửi nào cũng tra được. Đây vẫn là cách mọi hộp thư trên internet nhận thư, và nó dẫn đến một hệ quả quan trọng về sau trong câu chuyện này: ai kiểm soát một tên miền thì có thể chỉ thư của nó đến bất cứ đâu và nhận thư cho mọi cái tên ở tên miền đó mà không cần tạo trước một tài khoản nào.
1994: thư hàng loạt đến với công chúng
Thư của Thuerk còn là chuyện lạ trong một thời gian dài, vì ARPANET cấm dùng cho thương mại và có rất ít người để gửi tới. Đầu thập niên 1990, từ "spam" đã lưu hành trong các cộng đồng trực tuyến, mượn từ một tiểu phẩm hài trong đó từ này được lặp đi lặp lại cho đến khi át hết mọi cuộc trò chuyện khác.
Sự việc cho thấy điều sắp đến xảy ra vào ngày 12 tháng 4 năm 1994. Hai luật sư nhập cư ở Arizona, Laurence Canter và Martha Siegel, đăng quảng cáo dịch vụ hỗ trợ xổ số thẻ xanh lên hàng nghìn nhóm thảo luận Usenet. Người dùng Usenet phản ứng dữ dội, và khi cặp đôi này thử lại vào cuối năm, một lập trình viên đã viết chương trình tự động hủy các bài đăng. Hai người sau đó còn xuất bản một cuốn sách về kiếm tiền trên mạng, nên cơn giận dữ chưa chấm dứt được tranh cãi.
Câu chuyện nhỏ này đã chứa sẵn khuôn mẫu của ba mươi năm sau. Người gửi nhận ra việc tiếp cận một lượng khán giả khổng lồ gần như không tốn gì. Người nhận đáp trả bằng áp lực cộng đồng, rồi bằng phần mềm. Người gửi đổi chiêu. Còn mỗi độc giả riêng lẻ hoàn toàn không có tiếng nói cho đến khi xuất hiện một công cụ đứng về phía họ.
Webmail miễn phí biến địa chỉ thành tên đăng nhập
Hotmail ra mắt ngày 4 tháng 7 năm 1996, và Yahoo Mail năm 1997. Cả hai cho phép bất kỳ ai tạo địa chỉ trong vài phút và đọc thư từ trình duyệt nào cũng được. Chỉ vài năm sau, số tài khoản webmail miễn phí lên đến hàng chục triệu, và địa chỉ email không còn là thứ bạn nhận từ trường đại học hay chủ lao động nữa.
Ba điều tiếp theo xảy ra, và chúng củng cố lẫn nhau. Các trang web bắt đầu dùng địa chỉ email làm tên người dùng, đồng thời làm kênh xác nhận tài khoản và đặt lại mật khẩu, khiến nó trở thành một phần danh tính chứ không chỉ là cách để liên lạc với ai đó. Địa chỉ trở thành hàng hóa, bị phần mềm thu thập quét từ trang web, diễn đàn và nhóm tin để tìm bất cứ thứ gì có dạng địa chỉ, rồi bán sỉ theo danh sách. Và vì gửi một triệu thư tốn quá ít, tỉ lệ phản hồi quá thấp so với quảng cáo qua bưu điện vẫn đủ sinh lời.
Người ta xoay xở bằng nhiều cách. Có người viết địa chỉ công khai dưới dạng "name at example dot com" để phần mềm thu thập bỏ sót. Nhiều người mở một tài khoản miễn phí thứ hai chỉ để đăng ký, ít khi kiểm tra và để nó đầy thư rác. Thói quen thứ hai đó mới là tổ tiên thật sự của email dùng một lần. Nó có đủ mọi ý tưởng trừ việc tự động hóa: một địa chỉ chỉ có nhiệm vụ hứng chịu sự lộ diện, tách khỏi hộp thư quan trọng. Điểm yếu của nó là khâu duy trì, vì cần đăng ký, cần nhớ mật khẩu và cần một nhà cung cấp chịu giữ tài khoản mở.
Những người phòng thủ bắt đầu từ phía nhận thư
Trước khi địa chỉ dùng xong bỏ trở nên phổ biến, gần như toàn bộ nỗ lực nghiêm túc đều dành cho việc chặn thư rác ngay khi nó đến. Có bốn cách tiếp cận nổi bật, và cách nào cũng còn tồn tại dưới một dạng nào đó.
| Cách tiếp cận | Thời kỳ | Cách hoạt động | Hạn chế |
|---|---|---|---|
| Danh sách chặn DNS | Cuối thập niên 1990: MAPS Realtime Blackhole List (1997), Spamhaus (1998) | Máy chủ thư tra địa chỉ IP đang kết nối trong một danh sách công khai các nguồn thư rác đã biết | Người gửi chuyển qua lại giữa các mạng, và những "hàng xóm" vô tội đôi khi bị đưa vào danh sách |
| Quy tắc và từ khóa | Thập niên 1990 | Bộ lọc đối chiếu các từ và mẫu đáng ngờ | Lỗi chính tả và chữ giấu trong ảnh lọt qua được |
| Lọc thống kê | Được phổ biến nhờ bài luận "A Plan for Spam" của Paul Graham năm 2002 | Bộ lọc Bayes học từ những gì mỗi người dùng đánh dấu là thư rác hoặc không | Rất hiệu quả, nhưng chỉ ra tay sau khi thư đã được gửi đến bạn |
| Thách thức - phản hồi | Khoảng giao thời thế kỷ | Người gửi lạ phải chứng minh mình là con người trước khi thư được chuyển | Làm phiền người liên lạc thật, và có thể gửi thách thức tới địa chỉ bị giả mạo |
Ý tưởng thứ năm nhắm thẳng vào bài toán kinh tế. Năm 1992, Cynthia Dwork và Moni Naor đề xuất bắt máy tính giải một câu đố nhỏ cho mỗi thư, cái giá không đáng kể với một email nhưng phá sản với mười triệu email. Hashcash của Adam Back, từ năm 1997, đưa ra một phiên bản thực tế. Nó không bao giờ trở thành điều kiện để gửi thư, vì cần gần như mọi máy chủ trên thế giới cùng áp dụng một lúc, và vì tội phạm có thể dùng máy tính bị chiếm quyền của người khác để giải đố. Dù vậy ý tưởng vẫn sống ở nơi khác. Bitcoin sau này trích dẫn Hashcash, và các phép tính proof of work nhỏ ngày nay được dùng để kiểm tra bot trên trang web. VookMail dùng một phép như vậy ngay trong trình duyệt của khách truy cập, nên ý tưởng năm 1992 lặng lẽ đến nằm trong hậu duệ của chính những dịch vụ mà bài viết này nói đến.
Sự tự tin dâng cao trong một thời gian. Tại Diễn đàn Kinh tế Thế giới tháng 1 năm 2004, Bill Gates được nhiều nguồn tin cho là đã dự đoán thư rác sẽ được giải quyết trong vòng hai năm. Bộ lọc quả thật cải thiện rất nhiều, và hầu hết mọi người nay chỉ thấy một phần nhỏ những gì được gửi cho họ. Nhưng bộ lọc có một giới hạn mà không con số chính xác nào sửa được: nó chỉ bắt đầu khi địa chỉ của bạn đã bị biết, và một địa chỉ đã lọt vào danh sách thì ở đó mãi. Khoảng trống ấy là thứ các công cụ phía người dùng nhắm tới. Nếu người gửi chưa bao giờ có địa chỉ thật của bạn thì chẳng có gì để lọc.
Những địa chỉ dùng xong bỏ đầu tiên
Không một cá nhân nào phát minh ra email dùng một lần. Vài dịch vụ xuất hiện cách nhau chỉ vài năm, và mỗi dịch vụ giải quyết vấn đề theo cách riêng. Những khác biệt này đáng xem xét, vì hầu như mọi sản phẩm từ đó đến nay đều là biến thể của một trong số chúng.
Spamgourmet: địa chỉ biết đếm
Spamgourmet, có từ khoảng năm 2000, được xây trên một quy tắc gọn gàng. Bạn đăng ký một lần, rồi tự nghĩ ra địa chỉ ngay tại chỗ mỗi khi biểu mẫu đòi một địa chỉ, và mỗi địa chỉ chuyển tiếp về hộp thư thật của bạn trong một số thư nhất định. Đưa cho một trang web địa chỉ dùng được cho ba email, đủ cho một thư xác nhận, và sau đó nó im bặt. Không cần quản lý gì, và bạn không phải đọc thêm một hộp thư riêng. Cái giá là bạn vẫn có một tài khoản, và hộp thư thật của bạn vẫn nằm sau nó.
Mailinator: hộp thư không ai sở hữu
Mailinator của Paul Tyma, khởi đầu năm 2003 như một dự án phụ, bỏ đi mọi thứ có thể bỏ. Tên người dùng nào ở tên miền của nó cũng dùng được mà không cần tạo trước. Để đọc thư, bạn gõ cùng cái tên đó trên trang web. Không có tài khoản, không có mật khẩu, không chuyển tiếp, và thư cũ được dọn đi tự động.
Thiết kế này khai thác điểm về bản ghi MX ở trên. Vì chủ sở hữu tên miền quyết định cách xử lý thư của nó, máy chủ có thể nhận thư cho mọi cái tên có thể có và coi mỗi cái tên chỉ là một nhãn trên một đống thư. Tyma sau này kể đã giữ chi phí thấp bằng cách lưu thư chủ yếu trong bộ nhớ. Dịch vụ được chú ý rất nhanh: Joel Spolsky đã viết về nó trên blog chỉ vài tháng sau khi ra mắt. Tính mở của nó cũng đặt ra một giới hạn vẫn còn đúng với loại dịch vụ này. Một hộp thư không mật khẩu có thể bị bất kỳ ai gõ tên của nó đọc được, nên nó chỉ hợp với thư không quan trọng và không gì khác.
Hộp thư có giờ hết hạn
Đến giữa thập niên 2000, các dịch vụ như Guerrilla Mail và 10 Minute Mail đã làm quen mọi người với một ý tưởng khác: trang web tạo cho bạn một địa chỉ ngẫu nhiên ngay khi trang tải, và địa chỉ hết hạn theo một đồng hồ ngắn. Tên ngẫu nhiên khó đoán, giúp giảm bớt điểm yếu về quyền riêng tư của hộp thư công khai dùng chung, và bộ đếm giờ hiển thị cho người dùng biết chính xác thứ này dùng để làm gì.
Qua ba thiết kế này, một số nguyên tắc dần định hình. Tài khoản làm hỏng mục đích nếu bạn phải giao dữ liệu để bảo vệ dữ liệu, nên các dịch vụ nổi tiếng nhất không đòi hỏi gì. Địa chỉ phải dùng được ngay khi nó xuất hiện. Thư phải tự biến mất, để lưu trữ càng ít càng tốt. Và hầu hết dịch vụ chỉ tập trung vào việc nhận thư, đúng thứ người dùng thật sự cần và cũng ít có ích cho kẻ gửi thư rác.
Các trang web đáp trả bằng danh sách chặn
Chủ một trang web nhìn địa chỉ dùng xong bỏ theo cách khác. Một nhóm tiếp thị đã trả tiền cho một lượt đăng ký mà họ không bao giờ gửi thư lại được. Một nền tảng không có cách nào liên hệ người dùng về vấn đề bảo mật hay thanh toán. Một dịch vụ có gói miễn phí hoặc quy định cộng đồng "mỗi người một tài khoản" đã mất đi một trong số ít dấu hiệu cho thấy quy định đó được tuân thủ.
Phản ứng phổ biến là kiểm tra tên miền: lúc đăng ký, đối chiếu phần sau ký hiệu @ với danh sách các tên miền dùng một lần đã biết. Các danh sách tên miền này được cộng đồng công bố mở, và các dịch vụ xác thực thương mại cung cấp cùng phép kiểm tra qua API. Qua nhiều năm các danh sách đã dài ra cùng với số lượng dịch vụ và tên miền.
Rất dễ kể chuyện này như một cuộc đấu có kẻ thắng người thua, nhưng cách nhìn đó chẳng giúp ích cho ai. Một trang web quyết định không nhận địa chỉ dùng một lần là đang quyết định về dịch vụ của chính họ, và cách đáp lại đúng với việc bị từ chối là dùng địa chỉ cố định hoặc một bí danh ở đó. Địa chỉ dùng xong bỏ có chỗ đứng phù hợp ở nhóm rất lớn các trang web không cần mối quan hệ lâu dài với bạn, và khi điều khoản của họ cho phép.
2004: dấu cộng đến với đại chúng
Gmail ra mắt ngày 1 tháng 4 năm 2004 với một gigabyte dung lượng trong khi đối thủ chỉ cho một phần nhỏ so với con số đó. Dung lượng là tiêu điểm, nhưng dịch vụ này cũng khiến hai thói quen về địa chỉ trở nên phổ biến. Dấu chấm trong tên người dùng bị bỏ qua, và mọi thứ sau dấu cộng bị bỏ qua khi chuyển thư, nên name+shop@gmail.com đến được name@gmail.com.
Ý tưởng này có trước Gmail, và các máy chủ thư đã hỗ trợ nó nhiều năm. Dạng chuẩn của nó đến sau, trong RFC 5233 năm 2008, định nghĩa một phần mở rộng địa chỉ phụ cho ngôn ngữ lọc thư Sieve. Tuy nhiên với đa số mọi người, Gmail là nơi họ gặp nó lần đầu. Nó cho phép bạn gắn nhãn từng trang web, lọc theo nhãn, và biết bản sao địa chỉ của bạn ở công ty nào đã lọt vào danh sách thư rác.
Điều nó không làm là giấu bất cứ thứ gì. Xóa nhãn đi là địa chỉ thật nằm ngay đó, và một số biểu mẫu đăng ký còn từ chối dấu cộng một cách sai lầm. Vì vậy nó trở thành công cụ tổ chức, và sức hút của nó cho thấy nhu cầu thật sự về mỗi mối quan hệ một địa chỉ. Các bí danh chuyển tiếp sẽ đáp ứng nhu cầu đó đúng nghĩa một thập kỷ sau.
Sửa phía người gửi: 2006 đến 2024
Trong khi người dùng áp dụng công cụ riêng, ngành bắt đầu bổ sung những kiểm tra danh tính mà SMTP đã bỏ sót. Việc này mất một thời gian rất dài, vì mỗi lớp đều phải hoạt động cùng hệ thống hiện có mà không làm nó hỏng.
| Tiêu chuẩn | Trả lời câu hỏi | Đặc tả |
|---|---|---|
| SPF | Máy chủ này có được gửi thư cho tên miền này không? | RFC 4408 (2006), được thay bằng RFC 7208 (2014) |
| DKIM | Tên miền này có ký thư không, và thư có bị thay đổi kể từ đó không? | RFC 4871 (2007), được thay bằng RFC 6376 (2011). Nó hợp nhất DomainKeys của Yahoo với Identified Internet Mail của Cisco |
| DMARC | Tên miền From hiển thị có khớp với một kiểm tra đã đạt không, và nếu không thì nên làm gì? | Một nhóm ngành công bố năm 2012, RFC 7489 (2015) |
| Hủy đăng ký một lần bấm | Nhà cung cấp hộp thư có thể xóa người đọc khỏi danh sách chỉ bằng một thao tác không? | RFC 8058 (2017), dựa trên tiêu đề List-Unsubscribe của RFC 2369 (1998) |
| BIMI | Một tên miền có DMARC nghiêm ngặt có thể hiển thị logo đã xác minh không? | Do một nhóm làm việc trong ngành phát triển và được nhiều nhà cung cấp lớn áp dụng trong thập niên 2020 |
Suốt nhiều năm, các chuẩn này trên thực tế vẫn chỉ là tùy chọn. Điều đó thay đổi vào tháng 2 năm 2024, khi Google và Yahoo bắt đầu thực thi quy tắc cho người gửi hàng loạt, của Google áp dụng cho những ai gửi hơn 5.000 thư mỗi ngày đến địa chỉ Gmail. Những người gửi này giờ cần SPF, DKIM và DMARC, hủy đăng ký một lần bấm cho thư tiếp thị, và tỉ lệ khiếu nại thư rác thấp. Bốn mươi hai năm sau RFC 821, các nhà vận hành hộp thư lớn nhất về thực chất đã biến danh tính người gửi thành điều kiện để tiếp cận người dùng của họ ở quy mô lớn.
Xác thực cải thiện lòng tin về nguồn gốc của một thư. Nó không nói gì về việc địa chỉ của bạn đã lan rộng đến đâu. Một email tiếp thị không mong muốn vẫn có thể vượt qua mọi kiểm tra hoàn hảo, và một tên tội phạm cũng có thể đăng ký tên miền rồi xác thực nó. Vì vậy công việc này và địa chỉ dùng một lần giải quyết các phần khác nhau của cùng một vấn đề, và cái nào cũng không làm cái kia trở nên vô nghĩa.
Các nhà làm luật đã làm gì
Luật pháp đến theo từng đợt, và mỗi nơi tiếp cận khác nhau. Phần tóm tắt ở đây chỉ là thông tin chung, và quy định khác nhau theo từng quốc gia và thay đổi theo thời gian.
- Chỉ thị ePrivacy của EU năm 2002 đặt ra quy tắc cho truyền thông điện tử, gồm cả sự đồng ý đối với email tiếp thị, và mỗi nước thành viên triển khai riêng.
- Đạo luật CAN-SPAM của Mỹ có hiệu lực từ tháng 1 năm 2004. Luật yêu cầu tiêu đề chính xác, địa chỉ bưu điện hợp lệ và cách từ chối nhận thư hoạt động được, và không yêu cầu sự đồng ý trước khi gửi thư đầu tiên.
- Luật chống thư rác của Canada, CASL, có hiệu lực năm 2014 với mô hình dựa trên sự đồng ý chặt chẽ hơn.
- Quy định chung về bảo vệ dữ liệu của EU (GDPR) được áp dụng từ tháng 5 năm 2018, mang đến các nguyên tắc như tối thiểu hóa dữ liệu và giới hạn mục đích, cùng các quyền đối với dữ liệu cá nhân, trong đó có địa chỉ email.
Những luật này nâng chuẩn mực ở các doanh nghiệp muốn hoạt động chính danh. Chúng ít tác động hơn nhiều đến tội phạm hoạt động xuyên biên giới, và không luật nào ngăn được việc cơ sở dữ liệu của một công ty bị đánh cắp, thứ đã trở thành lý do tiếp theo khiến mọi người quan tâm đến hộp thư của mình.
Các vụ rò rỉ đã thay đổi cuộc tranh luận
Cho đến thập niên 2010, lý do dùng địa chỉ dùng xong bỏ chủ yếu là sự phiền toái. Rồi quy mô của việc đánh cắp dữ liệu được công khai. Vụ rò rỉ của Adobe bị phát hiện năm 2013, và cũng trong năm đó, vào tháng 12, nhà nghiên cứu bảo mật Troy Hunt ra mắt Have I Been Pwned, cho phép bất kỳ ai kiểm tra một địa chỉ với các vụ rò rỉ đã biết. Nhiều người thử đã thấy địa chỉ chính của mình có tên mấy lần. Yahoo sau đó cho biết vụ rò rỉ năm 2013 đã ảnh hưởng đến toàn bộ khoảng ba tỷ tài khoản của họ.
Mối đe dọa thay đổi theo đó. Địa chỉ của bạn từng là mục tiêu của quảng cáo. Giờ nó đi kèm bối cảnh: lừa đảo (phishing) có thể nhắc đến một dịch vụ bạn thực sự dùng, và credential stuffing có thể thử một cặp tên đăng nhập và mật khẩu bị lộ trên các trang khác một cách tự động. Mỗi dịch vụ giữ địa chỉ chính của bạn đều có thể là nguồn của một cuộc tấn công về sau, bất kể dịch vụ đó trông nhỏ nhặt đến đâu lúc bạn đăng ký.
Logic cũ của tài khoản thứ hai đột nhiên trông giống quản trị rủi ro. Nếu một trang tải về dùng một lần bị xâm nhập và bạn đã đưa cho nó một địa chỉ tạm thời, hộp thư chính của bạn không nằm trong số dữ liệu bị lộ. Nếu bạn đưa một bí danh, bạn có thể tắt bí danh đó. Địa chỉ chính của bạn càng ít đi xa, càng ít thứ để bị đánh cắp.
Hình ảnh báo cáo ngược về người gửi
Từ lâu các nhà tiếp thị đã dùng những ảnh từ xa nhỏ xíu và liên kết cá nhân hóa để biết ai mở gì và khi nào, đôi khi kèm vị trí tương đối và loại thiết bị. Phản ứng đến chậm và từ phía hộp thư. Nhiều chương trình thư thêm cài đặt chặn ảnh từ xa. Gmail bắt đầu tải ảnh qua proxy riêng vào cuối năm 2013, giúp giấu địa chỉ IP của người đọc khỏi người gửi nhưng vẫn để họ biết thư đã được tải. Năm 2021, Apple giới thiệu Mail Privacy Protection, tải nội dung từ xa một cách riêng tư ở chế độ nền và khiến dữ liệu mở thư trở nên không đáng tin làm tín hiệu.
Đây là những biện pháp phòng thủ nhỏ so với việc hạn chế ai có địa chỉ của bạn, nhưng chúng chỉ cùng một hướng: người đọc thư nên quyết định người gửi được biết gì. Hộp thư dùng một lần đạt cùng kết quả bằng đường khác. Thư gửi đến một địa chỉ bạn không bao giờ kiểm tra lại thì chẳng có mấy để báo cáo, và một số dịch vụ còn đi xa hơn và gỡ bỏ ảnh theo dõi.
Bí danh đi vào hệ điều hành
Các dịch vụ bí danh chuyển tiếp tồn tại nhiều năm như sản phẩm ngách. Người dùng có các địa chỉ cố định trông ngẫu nhiên, chuyển thư đến một hộp thư thật, và mỗi địa chỉ có thể tắt riêng. Cuối thập niên 2010 đưa ý tưởng này vào dòng chính, liên tiếp nhau:
- Apple giới thiệu địa chỉ chuyển tiếp trong Sign in with Apple năm 2019.
- Mozilla bắt đầu thử nghiệm Firefox Relay, ban đầu gọi là Firefox Private Relay, năm 2020.
- Apple mở rộng ý tưởng thành Hide My Email trong iCloud+ năm 2021.
- DuckDuckGo mở bản beta bảo vệ email năm 2021, với các địa chỉ chuyển tiếp riêng tư.
- Proton mua dịch vụ bí danh SimpleLogin năm 2022, và các nhà cung cấp thư chú trọng quyền riêng tư nói chung đã tích hợp bí danh vào sản phẩm của họ.
Bước chuyển này dễ bị đánh giá thấp. Suốt hai mươi năm, dùng một địa chỉ riêng cho mỗi trang web là thói quen của những người quan tâm đến quyền riêng tư. Khi điện thoại hay trình duyệt đưa ra một địa chỉ ngay trong biểu mẫu đăng ký, nó tốn ít công hơn việc gõ địa chỉ của chính bạn. Bí danh không làm hộp thư tạm thời trở nên thừa, vì chúng vẫn dựa vào một tài khoản ở đâu đó, và tài khoản đó biết bạn là ai. Cách hay để thấy hai thứ liên quan thế nào là đặt chúng cạnh mọi thứ có trước.
| Thế hệ | Điều nó mang lại | Điều nó phải đánh đổi |
|---|---|---|
| Tài khoản miễn phí thứ hai (cuối thập niên 1990) | Một nơi cố định, khôi phục được cho việc đăng ký | Đăng ký, duy trì, và vấn đề thư rác ngày một nhiều của chính nó |
| Viết địa chỉ dưới dạng ngụy trang | Chống phần mềm thu thập mà không cần công cụ | Chỉ giúp với bài đăng công khai, không bao giờ giúp với đăng ký |
| Bộ chuyển tiếp có đếm (khoảng năm 2000) | Tự động ngắt sau vài thư | Cần tài khoản, và vẫn gắn với một hộp thư thật |
| Hộp thư tạm thời công khai (từ 2003) | Không giao dữ liệu, không phải quản lý gì | Sống ngắn, ai có địa chỉ cũng đọc được, không phù hợp cho tài khoản quan trọng |
| Địa chỉ cộng (phổ biến từ 2004) | Lọc dễ dàng và truy ra nguồn rò rỉ | Địa chỉ thật vẫn lộ ra, và một số biểu mẫu từ chối nó |
| Dịch vụ bí danh chuyển tiếp (thập niên 2010) | Mối quan hệ lâu dài có công tắc tắt | Phải tin nhà cung cấp bí danh, vốn nằm trong chuỗi khôi phục của bạn |
| Bí danh tích hợp sẵn (từ 2019) | Gần như không tốn công, có ngay trong biểu mẫu đăng ký | Trói bạn vào hệ sinh thái của một nền tảng |
Không thứ nào thay thế được những thứ còn lại. Mỗi thứ phù hợp với một mức tin cậy và một thời gian sống khác nhau, và đó là lý do một chiến lược email cá nhân xây trên nhiều tầng vẫn hợp lý.
Hộp thư tạm thời ngày nay trông ra sao
Lời hứa cốt lõi vẫn như từ năm 2003, trong khi cách vận hành đã thay đổi khá nhiều. Các dịch vụ đầu tiên thường chạy một máy chủ SMTP duy nhất nhận tất cả và lưu sau một trang đơn giản. Ngày nay công việc thường được chia nhỏ, và VookMail là một ví dụ của cách sắp xếp này. Các tên miền của nó, như privoxmail.com, veylax.com và mailnexio.com, công bố bản ghi MX trỏ đến một nhà cung cấp chuyển thư. Máy chủ gửi tra bản ghi đó và chuyển thư qua SMTP như vẫn làm từ thập niên 1980. Nhà cung cấp sau đó chuyển từng thư đến VookMail qua HTTPS, nên VookMail không để lộ máy chủ thư của chính mình. Trình duyệt kiểm tra thư mới cứ vài giây một lần, và thư, tệp đính kèm cùng địa chỉ được xóa sau khoảng một ngày. Trang phương pháp đi vào chi tiết hơn.
Giao diện cũng đã tiến lên, và phản ánh bài học từ các thế hệ trước. Địa chỉ sẵn sàng khi trang tải, không cần đăng ký và không mật khẩu, như Mailinator đã chứng minh là làm được. Một địa chỉ ngẫu nhiên, từ nút Ngẫu nhiên màu vàng, giải quyết điểm yếu dễ bị đoán của các hộp thư mở; cách khác là bấm Mới, gõ tên người dùng và chọn trong hơn 30 tên miền. Ai biết hoặc đoán được một địa chỉ vẫn mở được hộp thư đó, điều vẫn đúng với cả nhóm dịch vụ này, và đó là lý do ngẫu nhiên là lựa chọn an toàn hơn. Hướng dẫn dùng VookMail của chúng tôi đi qua từng nút, và có ứng dụng trên Google Play và Huawei AppGallery.
Các bước người dùng hiện đại thấy sẽ khiến người của năm 2003 ít ngạc nhiên hơn bạn nghĩ. Mã xác minh được tách ra và hiển thị phía trên thư, mã QR để mang địa chỉ sang thiết bị thứ hai, ảnh theo dõi được gỡ bỏ: đây là những cải tiến của một ý tưởng duy nhất, nhận thứ bạn cần ngay lúc này rồi buông nó đi. Kiểm thử phần mềm cũng đã trở thành một cách dùng lớn, vì một hộp thư sạch cho mỗi lần chạy kiểm thử đúng là thứ lập trình viên kiểm tra luồng đăng ký cần.
Những mốc thời gian đáng có trong một chỗ
| Năm | Sự kiện |
|---|---|
| 1971 | Ray Tomlinson gửi thư giữa các máy và dùng ký hiệu @ |
| 1978 | Thư hàng loạt của Gary Thuerk trên ARPANET, thường được nhắc đến là thư rác đầu tiên |
| 1982 | SMTP (RFC 821) và định dạng thư (RFC 822) được công bố |
| 1986 | RFC 974 mô tả việc định tuyến thư bằng DNS |
| 1992 | Dwork và Naor đề xuất câu đố tính toán chống thư rác |
| 1994 | Các bài đăng về thẻ xanh ngập Usenet |
| 1996 đến 1997 | Hotmail và Yahoo Mail mở webmail miễn phí cho mọi người; danh sách chặn DNS được dùng rộng rãi đầu tiên ra đời |
| Khoảng 2000 | Spamgourmet cung cấp địa chỉ tự hết hạn |
| 2002 | "A Plan for Spam" phổ biến lọc thống kê; Chỉ thị ePrivacy của EU |
| 2003 | Mailinator ra mắt; CAN-SPAM được ký ở Hoa Kỳ |
| 2004 | Gmail ra mắt và khiến địa chỉ cộng trở nên quen thuộc |
| 2013 | Have I Been Pwned ra mắt; Gmail bắt đầu tải ảnh qua proxy |
| 2015 | DMARC được công bố thành RFC 7489 |
| 2018 | GDPR được áp dụng ở EU |
| 2019 đến 2021 | Sign in with Apple, Firefox Relay, Hide My Email và dịch vụ chuyển tiếp của DuckDuckGo xuất hiện |
| 2022 | Apple, Google và Microsoft cam kết với passkey |
| 2024 | Google và Yahoo bắt đầu thực thi quy tắc cho người gửi hàng loạt |
Điều không đổi suốt năm mươi năm
Đọc từ đầu đến cuối, lịch sử này ít đa dạng hơn so với danh sách dài các công nghệ gợi ý. Việc gửi thư vẫn rẻ, và chừng nào còn vậy thì thư không mong muốn vẫn tồn tại, vì bài toán kinh tế của người gửi không cần nhiều người đọc nói đồng ý. Lời mời dự buổi trình diễn của Thuerk và một đợt lừa đảo hiện đại có điểm chung đó, và đề xuất năm 1992 bắt người gửi trả bằng sức tính toán đã thất bại đúng vì cái giá ấy không thể áp lên tất cả mọi người.
Địa chỉ vẫn là một danh tính từ thời webmail, và là một danh tính đặc biệt quyền lực: ai đọc được hộp thư của bạn thường có thể đặt lại mật khẩu của bạn. Sự lộ diện vẫn tích lũy, vì một danh sách mà địa chỉ của bạn gia nhập năm 2009 sẽ không quên nó, và đa số bản sao không bao giờ bị xóa. Và mỗi thế hệ phòng thủ đều đi kèm một sự đánh đổi không thể loại bỏ bằng kỹ thuật. Địa chỉ càng dễ vứt bỏ thì càng tệ cho bất cứ thứ gì bạn sẽ cần về sau. Chưa ai tạo được một hộp thư vừa dễ vứt đi vừa an toàn để giao phó ngân hàng của bạn.
Quyền riêng tư hộp thư có thể đi về đâu
Lịch sử giỏi giải thích hơn là dự đoán, như lời tiên đoán hai năm của Gates cho thấy, nên hãy coi những gì dưới đây là cách đọc xu hướng hiện nay, không có gì bảo đảm.
Mỗi trang một địa chỉ làm mặc định
Các nền tảng lớn và trình quản lý mật khẩu nay đã cung cấp bí danh khi đăng ký. Nếu điều đó tiếp tục lan rộng, việc đưa cùng một địa chỉ cho mọi trang web có thể trông giống như cách dùng lại một mật khẩu duy nhất trông bây giờ. Giới hạn có lẽ là khả năng mang đi: một bí danh gắn với hệ sinh thái của một công ty chỉ bền bằng mối quan hệ của bạn với công ty đó, nên người chuyển giữa các nền tảng sẽ phải gỡ rối một chút.
Passkey và vai trò của email
Passkey, xây trên các chuẩn FIDO và được Apple, Google và Microsoft cùng thúc đẩy từ năm 2022, thay mật khẩu bằng một thông tin xác thực mật mã lưu trên thiết bị của bạn. Ít mật khẩu hơn nghĩa là ít email đặt lại hơn. Tuy vậy, hầu hết dịch vụ vẫn dùng địa chỉ email làm định danh tài khoản, và để thông báo cũng như khôi phục khi mất thiết bị. Vì thế vai trò kênh bảo mật của email có vẻ sẽ chỉ thu hẹp dần, và hộp thư chính vẫn đáng được bảo vệ trong một thời gian nữa.
Bộ lọc tốt hơn, lừa đảo thuyết phục hơn
Học máy tiếp tục cải thiện khả năng phát hiện, và văn bản do máy tạo ra tiếp tục giúp việc viết những vụ lừa đảo trôi chảy, cá nhân hóa bằng mọi ngôn ngữ dễ dàng hơn. Mẹo cũ về lỗi chính tả vì thế đang mất giá trị. Các câu hỏi về ngữ cảnh đứng vững hơn: thư này có thuộc về địa chỉ này không? Người dùng các địa chỉ riêng biệt có lợi thế ở đây, vì một thông báo từ "ngân hàng" đến một bí danh mua sắm tự nó đã trả lời câu hỏi.
Quy tắc dành cho người gửi chặt hơn
Các yêu cầu năm 2024 có thể còn siết thêm, và những nhà cung cấp lớn khác đã đi cùng hướng. Điều đó sẽ giúp rời bỏ tiếp thị hợp pháp dễ hơn và lọc thư hàng loạt bất hợp pháp dễ hơn. Nó sẽ không thay đổi bài toán kinh tế của tội phạm sẵn sàng lạm dụng tài khoản bị chiếm quyền hoặc dịch vụ bị xâm nhập, và những thứ đó đã trở nên hấp dẫn hơn khi việc gửi trực tiếp khó đi.
Ít biểu mẫu đòi hỏi hơn
Nguyên tắc tối thiểu hóa dữ liệu trong luật quyền riêng tư thúc đẩy việc chỉ thu thập những gì một mục đích cần. Theo thời gian, nhiều lượt tải, bản xem trước và cổng Wi-Fi có thể thôi không hỏi địa chỉ, hoặc nói rõ hơn nó sẽ được dùng vào việc gì. Thay đổi ở đây diễn ra chậm, vì một danh sách gửi thư có giá trị thương mại. Chừng nào điều đó còn đúng, hộp thư tạm thời vẫn có việc để làm: nội dung một lần bị khóa sau biểu mẫu, trang đăng nhập của một địa điểm, xem một trang lạ gửi gì trước khi tin nó, luôn trong phạm vi điều khoản của trang cho phép.
Các ranh giới cũng khó thay đổi. Một số nền tảng sẽ tiếp tục từ chối tên miền dùng một lần, và hộp thư tạm thời không có chỗ gần gian lận, lạm dụng, lách lệnh cấm, hay bất cứ thứ gì quan trọng như ngân hàng, dịch vụ công hay tài khoản mạng xã hội chính. Điều khoản và điều kiện của chúng tôi nêu rõ các giới hạn đó.
Lịch sử gợi ý gì cho địa chỉ của chính bạn
Lịch sử đưa ra ít chỉ dẫn, nhưng vài điều trong đó đúng xuyên suốt. Một địa chỉ không quay lại được sau khi đã lan ra, nên thời điểm bảo vệ địa chỉ chính là trước khi đưa nó cho ai, và đây là biện pháp duy nhất trong danh sách ra tay trước khi thư được gửi. Bộ lọc, xác thực và luật pháp mỗi thứ đều giúp được và mỗi thứ đều chạm giới hạn, nên dựa vào riêng một thứ nào đã nhiều lần làm mọi người thất vọng. Công cụ dùng xong bỏ luôn giỏi một việc và kém ở việc ngược lại: thư bạn cần một lần, so với tài khoản bạn cần nhiều năm. Hãy lưu những gì quan trọng ở nơi khác, vì tự động xóa vừa là mục đích của các dịch vụ này vừa là mặt sắc bén nhất của chúng.
Những câu hỏi lịch sử này gợi ra
Thư của Thuerk có thật sự là thư rác đầu tiên không?
Đó là câu trả lời thông dụng và là cái Guinness ghi nhận, phần lớn vì nó mang tính thương mại và phản ứng với nó được ghi chép lại. Những thư hàng loạt trước đó có tồn tại trên các hệ thống dùng chung. Tom Van Vleck, người từng làm việc trên hệ thống CTSS của MIT, đã mô tả một thông điệp phản chiến gửi cho mọi người dùng của nó năm 1971. "Đầu tiên" phụ thuộc vào việc bạn có tính thư phi thương mại và thư trong một máy tính hay không.
Ai phát minh ra email dùng một lần?
Không ai cụ thể. Một tài khoản webmail thứ hai đã làm việc đó một cách không chính thức trước khi có bất kỳ dịch vụ nào, và Spamgourmet cùng Mailinator tự động hóa hai nửa khác nhau của ý tưởng. Mailinator thường được ghi công là đã định hình thể loại này vì nó bỏ hẳn đăng ký, nhưng nên hiểu đó là sức ảnh hưởng chứ không phải bằng sáng chế cho ý tưởng.
Vì sao phải đến khoảng năm 2000?
Trước webmail miễn phí, ít người có một địa chỉ quan trọng với mình ngoài công việc hay học tập, và các trang web chưa đòi địa chỉ ở mọi bước. Nhu cầu đến cùng với việc đăng ký trên web vào cuối thập niên 1990. Phương pháp thì đã có sẵn, vì tên miền luôn có thể nhận thư cho bất kỳ cái tên nào.
Vì sao proof of work thất bại với email nhưng vẫn sống ở nơi khác?
Email cần gần như mọi máy chủ đồng ý trước khi có thể đòi hỏi một con dấu, và sự phối hợp đó chưa bao giờ xảy ra. Một trang web có thể tự áp dụng cùng kỹ thuật cho khách truy cập của mình, đó là lý do nó hoạt động như phép kiểm tra bot ngày nay.
Xác thực có khiến địa chỉ dùng xong bỏ trở nên không cần thiết không?
Không, vì hai thứ giải quyết những câu hỏi riêng biệt. SPF, DKIM và DMARC giải quyết việc một thư có thật sự đến từ một tên miền hay không. Địa chỉ dùng một lần giải quyết việc ngay từ đầu ai có địa chỉ của bạn. Thư có thể vượt qua mọi kiểm tra mà vẫn là thư bạn không bao giờ muốn nhận.
Email có thể bị thay thế không?
Các ứng dụng nhắn tin đã chiếm phần lớn trò chuyện cá nhân từ lâu, mà gần như mọi tài khoản trực tuyến vẫn đòi địa chỉ email. Không công ty nào sở hữu nó, ai cũng có thể chạy một máy chủ, và hai bên bất kỳ có thể trao đổi thư mà không cần chung một nền tảng. Những đặc điểm đó cũng giải thích vì sao thư rác khó chấm dứt đến vậy. Để tìm hiểu thêm bối cảnh liên quan, blog VookMail có nhiều bài hơn về cách các công cụ này hoạt động ngày nay.