Кілька років тому я зареєструвався на безкоштовну пробну версію інструмента для керування проєктами. Я вказав свою справжню адресу — ту, яку справді перевіряю щодня. Пробний період минув нормально. Продукт я зрештою не купив. Але протягом сімдесяти двох годин сталося дещо несподіване: моя скринька почала заповнюватися розсилками, «спеціальними пропозиціями» та рекламними листами від компаній, з якими я ніколи в житті не мав справи. До кінця тижня я відписався від чотирьох різних розсилок, на які свідомо ніколи не підписувався.
Цей досвід мені запам’ятався. Я не давав своєї адреси тим компаніям. Я дав її одній компанії, а та тихенько передала її далі — продала, поділилася з «партнерами» або включила в якийсь обмін даними з афіліатами, захований у правилах користування, яких ніхто не читає. Це абсолютно буденна практика, і більшість людей не знає, що з ними це відбувається.
Відтоді я повністю змінив підхід. Тепер для всього, що не потребує справді моєї адреси, я автоматично беру тимчасову пошту. Це займає близько трьох секунд і стало для мене таким же природним, як приватне вікно браузера. Ось чому, на мою думку, вам варто робити так само.
Невидима економіка email-адрес
Більшість людей не здогадується, що навколо email-адрес побудовано цілу індустрію. Коли ви даєте свою адресу, щоб зареєструватися в сервісі, вона не просто тихо лежить у базі даних, чекаючи, щоб іноді надіслати вам новини. Часто вона стає товаром. Брокери маркетингових даних платять реальні гроші за перевірені, активні списки адрес. Сервіси продають доступ до своєї бази користувачів. Вони обмінюються адресами з «надійними партнерами». А ті партнери — зі своїми партнерами.
За даними Statista, спам становить значну частку всього світового поштового трафіку — йдеться про мільярди повідомлень щодня. Це не відбувається випадково. Це відбувається тому, що адреси збирають, агрегують і перерозподіляють у величезних промислових масштабах. Ваша адреса, як і моя, — частина цього ланцюжка постачання, погоджувалися ми на це чи ні.
А ще є витоки. Перевірте свою адресу на Have I Been Pwned — безцінному сервісі сповіщень про витоки від Troy Hunt, — і, найімовірніше, ви знайдете її принаймні в одній злитій базі. Такі витоки стаються в компаніях, яким ви довірили свої дані: магазинах, форумах, застосунках, SaaS-інструментах. Щойно ваша адреса потрапляє в дамп витоку, вона починає обертатися й роками опиняється в списках для спаму, фішингу та credential stuffing — тож варто заздалегідь добре розуміти, що насправді робити, коли це сталося.
Ви не підписувалися на три зайві розсилки. Ви не давали згоди на перепродаж своєї адреси. Ви не просили потрапити в дамп витоку. Але саме це й сталося, бо всі ми роздаємо свою справжню адресу кожному, хто попросить, не замислюючись, куди вона піде далі.
Що таке тимчасова пошта насправді (і чим вона не є)
Розвію поширену хибну думку: тимчасова адреса — це справжня, повністю робоча скринька. Справжня доставка через SMTP. Листи справді надходять. Ви можете отримувати повідомлення від будь-якого відправника, клікати посилання в них і отримувати все, що надсилає вам сервіс. Це не фальшива адреса, яка тихо губить листи, — це справжня скринька, яка працює точнісінько як ваш Gmail чи Outlook, тільки не прив’язана до вашої особи й зникає через 7 днів.
Уявіть, що ви платите в магазині готівкою. Готівка — цілком легітимний, звичайний спосіб оплати. Ви не робите нічого поганого чи підозрілого — просто вирішуєте не залишати слідів для покупки, яка цього не потребує. Тимчасова пошта — та сама ідея, застосована до реєстрацій. Це приватність у найбуденнішому сенсі слова.
Чим вона не є: способом зробити щось по-справжньому анонімно, інструментом для шахрайства чи методом обійти автентифікацію в сервісах, із якими ви маєте підтримувати тривалі стосунки. Це просто одноразова скринька для ситуацій, коли одноразова скринька — розумний інструмент.
Коли варто користуватися тимчасовою поштою
У мене склалося досить чітке правило, коли брати тимчасову адресу. Усе зводиться до одного запитання: чи очікую я, що через пів року мені доведеться відновлювати доступ до цього акаунта? Якщо так — беру справжню пошту. Якщо ні — тимчасову адресу. Ось ситуації, у яких відповідь майже завжди «ні» — докладніше про це в статті про п’ять конкретних ситуацій, коли тимчасова пошта — розумний вибір:
- Оцінка нових програм чи SaaS-інструментів. Перш ніж обрати будь-який інструмент, я хочу його справді спробувати. Але більшість SaaS-продуктів вимагають email, перш ніж показати щось корисне. На пробний період я використовую тимчасову адресу. Отримую доступ до продукту, вивчаю його й формую думку. Якщо вирішую, що справді хочу користуватися ним довго, тоді й реєструюся як слід зі справжньою поштою. Якщо ні — не залишаю жодного сліду.
- Тестування для розробників і QA. Якщо ви створюєте продукт, у якому є будь-які листи — підтвердження реєстрації, скидання пароля, онбординг, — ви тестуватимете ці сценарії десятки чи сотні разів під час розробки. Тимчасова адреса щоразу дає вам чисту справжню скриньку. Вставляєте її у форму, реєструєтеся, бачите, як лист надходить у реальному часі, клікаєте посилання й переконуєтеся, що все працює. Відкрийте другу вкладку — і у вас друга, повністю незалежна скринька для тестування паралельних сценаріїв. Це справді один із найкращих відомих мені трюків для продуктивності розробника.
- Реєстрація на вебінари та онлайн-події. Більшість онлайн-подій вимагають email, щоб надіслати посилання для підключення. Це нормально — а от маркетингові листи після цього часто ні. Тимчасова адреса дає вам посилання без чотиритижневої серії листів-нагадувань.
- Портали документації та доступ до API для розробників. Напрочуд багато сайтів документації, SDK та інструментів для розробників вимагають реєстрації для доступу до матеріалів. Тимчасова адреса дає змогу отримати потрібне, не створюючи акаунта, який засипатиме вас листами наступні два роки.
- Знайомство з розсилками. Ви чули про якусь розсилку й хочете прочитати один випуск, щоб зрозуміти, чи варто на неї підписуватися. Використайте тимчасову адресу. Сподобається — підпишіться зі справжньою поштою. Ні — у вашій справжній скриньці нічого не з’явиться.
- Wi-Fi-портали та реєстрації на заходи. Готельні мережі, Wi-Fi на конференціях, лаунжі в аеропортах — усі хочуть email. Тимчасова адреса тут підходить ідеально.
Коли завжди варто вказувати справжню адресу
Хочу сказати це максимально чітко: є ситуації, коли тимчасова адреса справді створить проблеми, і для них завжди варто використовувати справжню пошту. Банки та фінансові послуги. Державні портали. Медичні заклади. Бронювання подорожей. Будь-яка платна підписка. Ваші основні акаунти в соцмережах. Будь-який сервіс, що надсилає термінові сповіщення безпеки, коди двофакторної автентифікації чи дані для відновлення акаунта.
Ваша справжня адреса — для стосунків, які мають значення. Нагадування про візит до лікаря. Підтвердження авіарейсу. Сповіщення з банку. Скидання пароля, коли ви не можете потрапити в щось важливе. Якщо використати для цього тимчасову адресу, а скринька зникне раніше, ніж вам знадобиться інформація, ви опинитеся в поганій ситуації. Правило просте: якщо важлива безперервність, вказуйте справжню пошту — або, якщо хочете певного розділення без втрати безперервності, постійний аліас замість одноразової скриньки.
Тимчасова пошта — для всього іншого. Для випадкового інструмента, який ви пробуєте. Для одноразового завантаження. Для вебінару, на який ви, можливо, підете. Для гілки на форумі, де хочете написати один раз. Вважайте свою справжню адресу тим, що варто захищати, — бо так і є. Що в меншій кількості місць вона з’являється, то чистішою й керованішою залишається ваша скринька і то менший радіус ураження, якщо якийсь сервіс, яким ви користуєтеся, колись зламають.
Робочий процес справжнього розробника
Покажу сценарій, який я проходив десятки разів. Я створюю SaaS-застосунок. Щойно закінчив реалізовувати підтвердження email для нових користувачів — користувач реєструється, отримує лист із підтвердженням, клікає посилання, і його акаунт стає активним. Перш ніж випускати цю функцію, мені треба переконатися, що вона справді працює від початку до кінця.
Я відкриваю temp-email.ai у вкладці браузера. Адреса з’являється миттєво — щось на кшталт «[email protected]». Копіюю її одним кліком. Перемикаюся на свій застосунок, іду на сторінку реєстрації, вставляю адресу в поле email і заповнюю форму. Надсилаю. Повертаюся на вкладку temp-email.ai. Приблизно за три секунди надходить лист підтвердження — я бачу тему, відправника й увесь текст листа. Клікаю посилання підтвердження. Мій застосунок позначає акаунт як підтверджений і перенаправляє мене на дашборд. Сценарій працює.
Увесь тест зайняв менше двох хвилин. Моя справжня скринька недоторкана. У моїй базі даних немає тестового акаунта з моєю особистою поштою. А оскільки кожна вкладка temp-email.ai — повністю незалежна скринька, я можу просто зараз відкрити ще п’ять вкладок і протестувати п’ять одночасних реєстрацій, які жодним чином не заважатимуть одна одній. Зі справжньою адресою цього просто не зробиш.
Проблема поверхні атаки
Ось поняття з безпеки, яке безпосередньо стосується приватності пошти: поверхня атаки. Кожен сервіс, що зберігає вашу справжню адресу, — потенційне місце витоку. Що в більшій кількості місць існує ваша адреса, то більше можливостей для того, щоб її злили, продали чи вкрали. Тимчасова адреса для необов’язкових реєстрацій безпосередньо зменшує цю поверхню. Ваша справжня адреса з’являється в меншій кількості баз даних. І менше з них можуть бути зламані й вас підставити.
Electronic Frontier Foundation багато писала про мінімізацію даних як принцип приватності — ідею, що ділитися слід лише мінімумом інформації, потрібної для конкретної взаємодії. Віддавати справжню адресу кожному сервісу, що просить, — повна протилежність мінімізації. Це максимізація даних за замовчуванням, просто тому, що так найпростіше.
Згідно з GDPR та подібними правилами компанії мають збирати лише ті дані, які їм справді потрібні, і захищати те, що зібрали. На практиці ж дотримання цих правил контролюють нерівномірно, а витоки трапляються постійно. Ви не можете контролювати, що компанії роблять із вашими даними, коли вони вже в них. Але ви можете контролювати, як часто взагалі їх роздаєте. Тимчасова пошта — один із практичних способів здійснювати цей контроль.
Поширені хибні уявлення
- «Тимчасова пошта — лише для темних справ». Мабуть, найпоширеніша хибна думка. Найактивніше тимчасовою поштою користуються розробники, які тестують власні застосунки, QA-інженери з регресійними наборами, дослідники приватності та професіонали, які серйозно ставляться до гігієни даних. Одноразова скринька не підозріліша за VPN чи орієнтований на приватність поштовий сервіс на кшталт Proton Mail.
- «Справжні сервіси відхилять тимчасову адресу». Переважна більшість популярних сервісів без проблем приймають тимчасові адреси. Це справжні, коректні адреси, які отримують справжню пошту. Деякі сервіси з дуже високими вимогами до безпеки (наприклад, банки) мають додаткові кроки перевірки, але для тих реєстрацій, де тимчасова адреса доречна, вона працює нормально.
- «Цим складно користуватися». Тут справді нічого вчити. Відкриваєте вкладку, бачите адресу, копіюєте її, вставляєте куди треба. Скринька вже чекає на лист. Не треба створювати акаунт, запам’ятовувати пароль чи щось налаштовувати. Це майже нульове тертя, яке тільки може мати інструмент.
- «Я просто відпишуся від спаму». Відписка іноді працює, але не завжди. Посилання для відписки в легітимних маркетингових листах зазвичай надійні. А в спамі вони часто шкодять — підтверджують, що ваша адреса активна, і можуть принести ще більше спаму. Запобігти легше, ніж прибирати.
З чого почати
Якщо ви ніколи не користувалися тимчасовою поштою, ось найпростіший початок: наступного разу, коли сайт попросить вашу адресу, а ви не впевнені, що колись повернетеся, відкрийте тимчасову пошту в новій вкладці замість того, щоб вводити справжню адресу. От і все. Не треба нічого змінювати в тому, як ви працюєте з наявними акаунтами й сервісами. Просто почніть використовувати тимчасову адресу для нових реєстрацій, де безперервність не важлива.
А якщо хочете зрозуміти, наскільки ви вже вразливі, зайдіть на Have I Been Pwned і перевірте свою справжню адресу. Якщо вона потрапляла в минулі витоки — а в багатьох людей таки потрапляла, — це не привід панікувати, але корисне нагадування, чому варто зменшувати свою вразливість надалі, витрачаючи ці три зайві секунди на тимчасову адресу. Згодом ви самі собі подякуєте.