登録用メールアドレスの3層計画：データ共有を減らす

ほとんどのフォームが求めるのはアドレス1つですが、渡すアドレスの選択は一度にいくつものことを決めます。そのサービスがどれくらい長くあなたに連絡できるか。この登録があなたの他のアカウントと結びつけられるか。将来の漏洩で、記録のどれだけがあなたにつながるか。実践的な方法は「全部に同じアドレス」でも「クリックごとに新しいアドレス」でもありません。入力する前に3層へ割り当てることと、フォームの残りの項目を削る習慣です。

復旧できるアドレスを1つ確保する

長く使える、十分に保護されたアドレス——固有のパスワードと多要素認証つき——を1つ用意し、受信箱を失うとアクセス・お金・身分証明を失う関係専用にします。銀行と決済、医療、行政サービス、仕事、クラウドストレージ、主要なソーシャルアカウントです。

大事なのは「復旧できる」という条件です。この層にあるものはすべて、何年先でもあなたに届けられなければなりません。パスワード再設定、税務書類、請求争いのやり取りはすべてそのアドレスに届きます。この層に登録が増えるたびに、そこで漏洩が起きたときの被害が増えるので、この層は短く保ってこそ役に立ちます。

継続するサービスには専用のエイリアスを

ショッピングアカウント、会員制サービス、実際に読んでいるニュースレター、サブスクは中間層です。これらの関係はあなたに届き続ける必要があります——レシート、更新通知、サポートの返信——が、メインアドレスを共有する必要はありません。

管理型の転送エイリアスなら、サービスごとに別々のアドレスを渡せます。セカンダリ受信箱を使う方法でも、継続する登録をメインの受信箱から分けられますが、同じ受信箱を使うサイト同士には同じアドレスが見えます。あるサービスが後から大量にメールを送ってきたり、漏洩リストに載ったりしたとき、どの関係が漏れたか分かり、他に触れずそのエイリアスだけを引退させられます。一時受信箱とエイリアスの比較では、転送エイリアスが使い捨て受信箱や、ベースアドレスが見えてしまうGmail +tagとどう違うかを説明しています。

一時受信箱は使い捨てのタスク専用

3層目は、1通届けば終わるやり取りのためのものです。ダウンロードリンク、一回きりの確認、失っても惜しくないアカウントの低リスクな確認コードなどです。一時受信箱を使えば、そのやり取りではあなたの他のアドレスがサイトの記録に一切残りません。

たとえばTempMail.Bestなら、登録不要の受信専用受信箱を作成し、10分または1時間で消えます。メールが届いても届かなくても、期限が来れば受信箱は存在しなくなります。その期限切れが利用の代償です。アカウントを復旧できず、期限後にサイトが送るものは誰にも届きません。この層を使うのは、アドレスを失っても本当に影響がないときだけ。迷ったらエイリアス層に入れてください。

心に留めておきたい注意が1つあります。使い捨てドメインは見分けがつきます。ブロックリストを運用しているサイトには気づかれるので、使い捨てアドレスは「許可された低リスクの登録」のためのプライバシー手段であって、サイトのルールを抜けるための道具ではありません。

フォームの任意項目を削る

アドレスを変えても、サイトが記録する項目から外れるのはメールアドレスだけです。データ最小化が本領を発揮するのは残りの項目で、ほとんどのフォームは取引に必要な以上を聞いてきます。

• 氏名： 配送や請求には実名が必要なことが多いですが、フォーラムやウェビナーには滅多に要りません。「必須」の氏名欄に機能上の意味がないなら、そもそもなぜ必須なのかを疑ってください。
• 電話番号： 宅配、予約リマインダー、本物の二要素認証には必要ですが、ダウンロードや割引コードには滅多に要りません。電話番号はメールアドレスと同じくらい長生きする識別子なので、同じ扱いで考えます。
• 生年月日： 年齢制限サービスには年齢確認が必要かもしれませんが、手続き上必要とされない限り、生年月日のすべてが必須と決めつけないこと。正確な生年月日は漏洩時に敏感なデータです。クーポンと引き換えに渡すものではありません。
• 住所： 物理配送には必要ですが、デジタル商品には要りません。支払い時に請求先住所が求められるのは正当で、その場合はスキップではなく長期層の出番です。
• マーケティングのチェックボックスと「最新情報を受け取る」同意： マーケティングへの同意が任意なら、本当に欲しい場合を除いてチェックを入れないこと。このフォームから来年の宣伝メールへの直通ルートです。
• 「Googleでログイン」「Appleでログイン」ボタン： ソーシャルログインは、アカウントに紐づくアドレスを共有することがあり、Appleのリレー選択肢では生成アドレスが共有されます。同意画面で実際に何が共有されるか、今後どうログインするかを確認してください。別途メールでログインするなら、そのアカウントをどの層に置くか自分で決められます。

使える目安は、任意なら飛ばす、必須でも意味がなければ疑う、入力した項目はすべて将来漏洩か他人のマーケティングリストに出る可能性があるものとして扱う、です。

関係が変わったら計画を見直す

層への割り当ては永久ではありません。トライアルを続けるかもしれないなら、使い捨て受信箱ではなく長期エイリアスから始めます。すでに使い捨てアドレスで登録してしまったなら、受信箱が生きているうちにメールアドレスの変更が認められるか確認します。ただし当てにしないこと——メールの再紐付けができないアカウントもあります。二度と使わないショップはエイリアスのまま残しても、そのエイリアスを引退させても構いません。

アドレスの分離には正直な限界もあります。共通の識別子としてのメールアドレスは外せますが、訪問先のサイトにはIPアドレス、Cookie、ブラウザフィンガープリントが見えています。各観察者に何が見えるかは別の問題です。また、登録したサービスがデータベースを漏洩した場合、どのアドレスを使っていようと送信した項目は記録に残ります。そのときの対処は漏洩対応の記事で扱っています。

TempMail.Best側の話としては、メール処理ログは受信者アドレス、件名、本文、アクセス用の認証情報を記録しません。ただしこの記述が適用されるのはこのサービス自身のメールログだけで、登録先のサイトには及びません。そして受信箱の期限切れが削除するのは一時的なメールボックスだけであり、すでに他社のデータベースにあるデータは消えません。