Трёхслойная почтовая стратегия для регистраций и меньшей передачи данных

Большинство форм просят один адрес, но адрес, который вы даёте, решает сразу несколько вещей: как долго сервис сможет до вас дотянуться, можно ли связать эту регистрацию с вашими другими аккаунтами и какую часть записи будущая утечка сможет привязать к вам. Практичный подход — не один адрес на всё и не новый адрес на каждый клик. Это три слоя, назначенные до того, как вы начали печатать, плюс привычка урезать остальную часть формы.

Оставьте один восстановимый адрес

Держите постоянный, хорошо защищённый адрес — с уникальным паролем и многофакторной аутентификацией — для отношений, где потеря ящика будет стоить вам доступа, денег или подтверждения личности: банковские и платёжные сервисы, медицина, госуслуги, работа, облачное хранилище и ваша основная социальная идентичность.

«Восстановимый» — ключевое слово. Всё на этом уровне должно уметь дотянуться до вас через годы, потому что сбросы паролей, налоговые документы и переписка по спорам приходят именно на этот адрес. Каждая новая регистрация в этом слое расширяет то, что раскроет утечка, поэтому слой остаётся полезным, только пока остаётся коротким.

Дайте продолжающимся сервисам собственный псевдоним

Аккаунты магазинов, членства, рассылки, которые вы действительно читаете, и подписки относятся к среднему слою. Этим отношениям нужно продолжать до вас доставать — чеки, уведомления о продлении, ответы поддержки, — но для этого им не нужен ваш основной адрес.

Управляемый псевдоним с пересылкой может дать каждому сервису отдельный адрес; отдельный запасной ящик тоже отделяет продолжающиеся регистрации от основной почты, хотя сайты, у которых он один и тот же, видят одинаковый адрес. Если какой-то сервис потом заваливает вас письмами или появляется в утечке, вы знаете, какие отношения пропустили данные, и можете свернуть именно этот псевдоним, не трогая остальные. Сравнение временного ящика и псевдонима объясняет, чем псевдонимы с пересылкой отличаются от одноразовых ящиков и от Gmail +tag, в котором ваш базовый адрес виден открыто.

Используйте временный ящик только для одноразовых задач

Третий слой — для взаимодействий, которые заканчиваются приходом одного письма: ссылка на скачивание, разовое подтверждение, малозначимый код подтверждения для аккаунта, потерять который не жалко. Временный ящик полностью убирает ваши остальные адреса из записей сайта для этого взаимодействия.

TempMail.Best, например, создаёт ящик только для приёма, без регистрации, на 10 минут или 1 час, и ящик перестаёт существовать по сроку независимо от того, пришла ли почта. Это истечение — цена входа: адрес не может восстановить аккаунт, а всё, что сайт пришлёт после дедлайна, не достанется никому. Используйте этот слой только когда потеря адреса действительно ни к чему не ведёт — а если регистрация под это может не подходить, отнесите её в слой псевдонимов.

Одно предостережение стоит держать в голове: одноразовый домен узнаваем. Сайты, ведущие чёрные списки, его заметят, поэтому временный адрес — инструмент приватности для разрешённых малозначимых регистраций, а не способ обойти правила сайта.

Урежьте необязательные поля формы

Другой адрес убирает из записей сайта только одно поле — почту. Вся остальная минимизация делается на остальных полях, а большинство форм просят больше, чем требует сделка.

• Имя: для доставки и оплаты обычно нужно настоящее имя; форуму или вебинару — редко. Если «обязательное» поле имени не выполняет никакой функции, спросите себя, почему оно вообще обязательное.
• Номер телефона: нужен курьерам доставки, напоминаниям о визитах и настоящей двухфакторной настройке; для скачивания или промокода почти никогда. Телефон — идентификатор не менее долгоживущий, чем почта, поэтому относитесь к нему так же.
• Дата рождения: сервису с возрастным ограничением может понадобиться проверка возраста; не считайте, что ему нужна полная дата рождения, если его процесс этого не требует. Точная дата рождения — чувствительные данные в утечке, не тратьте её на купон.
• Физический адрес: необходим для физической доставки; для цифровых товаров — нет. Платёжный адрес законно требуется при оплате, и это случай для долгоживущего слоя, а не повод отказаться от покупки.
• Маркетинговые галочки и согласие «держать в курсе»: если маркетинговое согласие необязательно, оставьте его снятым, если эти письма вам действительно не нужны. Это прямой маршрут от этой формы к промо-рассылкам следующего года.
• Кнопки «Войти через Google/Apple»: вход через соцсеть может поделиться адресом, привязанным к аккаунту, или — в случае ретрансляции Apple — сгенерированным адресом; смотрите, что именно передаёт экран согласия и как вы будете входить потом. Отдельный вход по почте позволяет самому выбрать, к какому слою отнести аккаунт.

Рабочее правило: пропускайте необязательное, ставьте под вопрос обязательное, но бессмысленное, и относитесь к каждому заполненному полю как к данным, которые могут всплыть позже — в утечке или в чужой маркетинговой базе.

Пересматривайте схему при изменении отношений

Слои — не пожизненное назначение. Если вы, возможно, оставите пробный период, начните с постоянного псевдонима, а не одноразового ящика. Если вы уже использовали временный адрес, проверьте, разрешает ли сайт сменить почту, пока ящик ещё активен, — но не рассчитывайте на это: не все аккаунты умеют перепривязывать почту. Магазином, которым вы больше никогда не воспользуетесь, можно оставить его псевдоним или свернуть его.

У разделения адресов есть и честные границы. Оно убирает вашу почту как общий идентификатор, но посещаемые сайты по-прежнему видят ваш IP-адрес, cookies и отпечаток браузера — что ещё может видеть каждый наблюдатель — отдельный вопрос. И если сервис, в котором вы регистрировались, утекает с базой данных, отправленные вами поля окажутся в записи при любом адресе; статья об утечках рассказывает, что делать тогда.

Со стороны TempMail.Best логи обработки почты не записывают адреса получателей, темы, тела писем и учётные данные доступа — это утверждение относится к собственным почтовым логам сервиса, а не к сайтам, где вы регистрируетесь; и истечение ящика удаляет только сам временный ящик, но никогда — данные, уже лежащие в базе другой компании.