Como parar spam no e-mail: o que funciona e o que piora

De onde o spam realmente veio

Existem quatro formas de um endereço parar em uma lista, e cada uma deixa uma marca diferente. Saber qual delas foi importa mais do que parece, porque o remédio é diferente em cada caso — e três das quatro não podem ser desfeitas depois do fato, o que é todo o argumento da segunda metade deste guia.

Como ele vazou	Como isso aparece na caixa de entrada	Como confirmar	O que realmente impede isso
Um serviço no qual você se cadastrou sofreu um vazamento	Uma onda de spam sem relação nenhuma, começando semanas depois da notícia, endereçada exatamente à grafia que você usou naquele serviço	Procure o endereço em um índice de vazamentos como o Have I Been Pwned, que cataloga os despejos públicos	Nada, depois do fato. Um despejo é copiado no dia em que aparece. Só um endereço diferente por serviço limita até onde o próximo vazamento alcança
O serviço vendeu o endereço, ou “compartilhou com parceiros”	Ofertas de um setor vizinho ao do serviço em que você se cadastrou, chegando a um dos seus endereços e a nenhum dos outros	Só se esse serviço recebeu um endereço que mais ninguém tem — uma tag com sinal de mais, se ela sobreviveu, ou um endereço separado, se não sobreviveu	Cortar esse endereço específico. Qualquer outra coisa é uma reclamação sem nenhuma prova por trás
Ele foi publicado em algum lugar público	Mensagens para um endereço com o qual você nunca se cadastrou em nada: o que está no seu site, no registro do seu domínio, ou em um commit que você enviou	Procure pelo próprio endereço. Se um navegador consegue encontrá-lo, um crawler que não faz outra coisa o dia inteiro também consegue	Tirar do ar ajuda, mas devagar; as cópias já feitas nunca expiram. Substitua-o por um endereço que você esteja disposto a aposentar
Ninguém vazou — o endereço foi adivinhado	Mensagens para nomes que você nunca usou em um domínio seu: `info@`, `sales@`, `john@`	Leia a parte antes do `@`. Um ataque de diretório testa um dicionário de nomes comuns contra um domínio e guarda tudo o que não retorna como erro	Não usar um endereço adivinhável como o seu público, e nunca tratar uma caixa catch-all como se fosse privada

Três dessas quatro linhas terminam na mesma admissão: depois que um endereço entra em uma lista, ele fica na lista. Não existe autoridade a quem recorrer, não existe um opt-out central que um spammer respeite, e não existe botão nenhum que o recolha de volta. O que você ainda pode mudar é o que entrega a partir de agora — e é por isso que este guia termina onde termina, em vez de terminar com uma lista mais longa de filtros.

O link de cancelar inscrição: quando funciona, e quando só confirma que você existe

Cancelar a inscrição em uma empresa com a qual você realmente se cadastrou funciona, e funciona rápido — porque desde 2024 os grandes provedores de e-mail transformaram isso em condição de entrega, não em cortesia. Um remetente que envia e-mail em massa para Gmail, Yahoo Mail ou Outlook.com precisa oferecer cancelamento em um clique, agir sobre ele em até dois dias, autenticar as próprias mensagens e manter as reclamações abaixo de mais ou menos um terço de um por cento. Um remetente que ignora isso simplesmente para de chegar. Do seu lado da linha, a conformidade se parece com isto:

o cabeçalho de uma mensagem da qual você pode cancelar a inscrição com segurança

From: "Example Shop" <news@example.com>
List-Unsubscribe: <https://example.com/u/8f21c4>,
        <mailto:unsubscribe@example.com?subject=unsub-8f21c4>
List-Unsubscribe-Post: List-Unsubscribe=One-Click
Authentication-Results: mx.example.org;
        spf=pass smtp.mailfrom=mail.example.com;
        dkim=pass header.d=example.com;
        dmarc=pass header.from=example.com

Duas dessas linhas são o mecanismo. List-Unsubscribe declara onde cancelar a inscrição, em um cabeçalho e não no texto da mensagem; List-Unsubscribe-Post diz que o remetente vai aceitar um único POST como a conversa inteira, sem página para carregar e sem formulário para preencher. É essa dupla que o seu aplicativo de e-mail lê para desenhar um link Cancelar inscrição ao lado do nome do remetente — e é um pedido diferente daquele que está no corpo da mensagem.

A mesma intenção, enviada por duas pessoas diferentes. O link impresso na mensagem é buscado por você, a partir de uma URL que carrega o id da mensagem — então a própria busca já informa que esse endereço é lido por um humano. O botão ao lado do nome do remetente é buscado pelo seu provedor, e não revela nada além do fato de que um endereço cancelou a inscrição.

O que transforma uma decisão que parece arriscada em uma com três desfechos possíveis:

Existe um botão de cancelar inscrição ao lado do nome do remetente: Use-o. O seu provedor faz o pedido, o remetente só fica sabendo que um endereço cancelou a inscrição, e tanto o Gmail quanto o Outlook.com registram o clique como um sinal sobre aquele remetente.
Não há botão, mas você tem certeza de que tem uma conta lá: Abra a mensagem com imagens remotas desativadas, confira no cabeçalho se o dmarc=pass nomeia o próprio domínio da marca, e só então use o link. Aqui é a certeza que faz o trabalho, não o link.
Você nunca se cadastrou, ou o cabeçalho não confere: Não clique em nada nela. Denuncie como spam e feche. O link é uma URL de rastreamento, é única para você, e segui-lo é exatamente como uma lista que adivinhou o seu endereço confirma o palpite.

A forma mailto: no mesmo cabeçalho existe com o mesmo propósito e é segura nos mesmos casos — ela envia uma mensagem simples e não usa navegador nenhum. Também é a forma que nada implementou bem em vinte anos, então trate-a como um plano B, não como um plano.

Marcar como spam, bloquear ou excluir: o que o seu provedor aprende com cada um

Quatro controles ficam a um centímetro de distância um do outro em todo aplicativo de e-mail, e fazem quatro coisas sem relação nenhuma entre si. Só um deles deixa o mês que vem mais tranquilo.

Marcar como spam / Denunciar spam: O único que treina alguma coisa. O seu próprio filtro aprende com isso na hora, e a denúncia entra em um grupo com as de todo mundo: um remetente cuja taxa de reclamações passa de mais ou menos um terço de um por cento começa a cair na pasta de spam de pessoas que nunca reclamaram de nada. É o botão mais eficaz desta página.
Bloquear remetente: Uma regra só dentro da sua conta, comparada com um endereço ou domínio que o remetente escolheu e pode trocar em um segundo. Útil contra uma pessoa insistente, inútil contra uma campanha — e é por isso que a mesma oferta volta a chegar de news-2@ na semana seguinte.
Excluir: Não ensina absolutamente nada. A mensagem some e o filtro continua exatamente tão errado quanto estava um instante atrás, então a próxima também vai cair na caixa de entrada. Esse é o erro mais comum deste artigo.
Mover para uma pasta, ou filtrar para longe: Esconde o problema de você e do filtro em um único movimento. Vale a pena para e-mail que você pediu e não quer ver; é ativamente contraproducente como forma de lidar com e-mail que você nunca pediu.
Denunciar phishing: Um fluxo diferente do de spam, tanto no Google quanto na Microsoft, com pessoas e pedidos de remoção do outro lado. Use isso quando uma mensagem está se passando por alguém — um banco, um colega, uma transportadora — em vez de simplesmente vender algo.

Existe um quinto controle, e ele conta tanto quanto o primeiro: tirar uma mensagem de dentro da pasta de spam também é treinamento. Uma newsletter que você resgata ensina ao filtro que aquele remetente é bem-vindo, na sua conta e no conjunto agregado. É por isso que um filtro que você usou honestamente por um ano é melhor do que um que você nunca tocou.

Dez segundos no cabeçalho, antes de decidir qualquer coisa

Tudo o que veio antes gira em torno de uma única pergunta — este remetente é mesmo quem diz ser — e a resposta são três linhas de texto que todo aplicativo de e-mail consegue mostrar. Aqui está a mesma loja de antes, só que não é:

uma mensagem se passando pelo remetente acima

From: "Example Shop" <news@examp1e-shop.net>
Return-Path: <b7f2@mailer-4471.example.net>
Authentication-Results: mx.example.org;
        spf=pass smtp.mailfrom=mailer-4471.example.net;
        dkim=none;
        dmarc=none

Nada ali é uma falsificação no sentido técnico. spf=pass é perfeitamente verdadeiro: o remetente realmente controla mailer-4471.example.net e realmente se autorizou a enviar a partir dele. O que falta é qualquer afirmação sobre example.com, cujo nome está na linha de exibição e cuja marca a mensagem está vestindo. Quatro coisas para observar, nesta ordem:

O endereço, não o nome. Example Shop é texto livre que um remetente digita. A parte entre colchetes angulares é a alegação real — e aqui ela diz examp1e-shop.net, com um dígito no lugar de uma letra.
dmarc=, e de qual domínio ele fala. dmarc=pass header.from=example.com significa que o próprio domínio da marca respondeu por esta mensagem. dmarc=none significa que ninguém respondeu. Um pass em um domínio diferente daquele em From: só prova que um estranho é dono de um domínio.
Return-Path: comparado com From:. Remetentes de massa de verdade roteiam os bounces pela própria infraestrutura de envio, então os dois raramente coincidem exatamente. O que deveria coincidir é a organização: mail.example.com sob example.com é normal, mailer-4471.example.net sob ele não é.
Se existe um List-Unsubscribe ali. A ausência dele em algo que alega ser uma mensagem de marketing já é a resposta — um remetente de massa de verdade não pode mais se dar ao luxo de deixá-lo de fora.

O que abrir a mensagem revela, antes de você tocar em qualquer coisa

Uma mensagem que você nunca pediu é uma pergunta sobre você, e respondê-la não custa nada ao remetente e custa algo a você. Quatro coisas escapam no momento em que você abre uma com as imagens ativadas:

Que o endereço está ativo e é lido por uma pessoa. O fato mais valioso que existe sobre qualquer endereço em uma lista, e o que decide se ele vai ser revendido.
Quando você lê a mensagem, e com que frequência. O pixel é solicitado toda vez que a mensagem é exibida, não uma vez só.
Mais ou menos onde você está, e em que você está lendo. O pedido carrega um endereço IP e um user agent como qualquer outro.
Qual das mensagens deles você abriu. A URL é única por destinatário, então a resposta é por endereço, não agregada.

Hoje, todo provedor grande faz proxy de imagens remotas, o que enfraquece a metade da localização, mas não a metade da confirmação: o pedido ainda acontece, e ainda diz que um endereço abriu a mensagem. Bloquear imagens até você pedir para carregá-las é uma configuração em todo aplicativo de e-mail, e é o melhor padrão desta página. Pixels de rastreamento em e-mail cobre o mecanismo, e o que bloqueá-los realmente compra e o que não compra. Aqui elas são bloqueadas pela própria política sob a qual a mensagem é servida, e não por edição, então não há nada para ativar.

A única solução que escala: um endereço diferente por serviço

Todo controle acima é uma forma de reagir a um e-mail que já chegou a um endereço que o remetente já tem. A única abordagem que reduz o volume, em vez de só organizá-lo, é tornar o próprio endereço descartável — de forma que um vazamento aponte o serviço que vazou e possa ser cortado sem afetar mais nada. Existem quatro formas de fazer isso, e elas diferem de maneiras que vale a pena conhecer antes de escolher uma:

O que você entrega	Esconde o seu endereço real?	Sobrevive a ser revendido?	Dá para cortar só esse?	O que custa a você
Uma tag com sinal de mais no seu próprio endereço	Não — o seu endereço está bem ali dentro, à vista de todos	Não. Apagar tudo entre o `+` e o `@` é uma linha de código, e quem tem mais motivo para rodar essa linha é justamente quem está vendendo a lista	Só filtrando, o que ainda assim entrega a mensagem	Nada, e cerca de dez segundos
Um alias de relay que encaminha para você	Sim, enquanto ele durar	Sim — quem compra a lista recebe o alias, não você	Sim, e instantaneamente	Uma assinatura, e um terceiro no caminho do seu e-mail
Um endereço em um domínio que você possui	Sim, e não parece descartável para um formulário de cadastro	Sim	Sim, um endereço de cada vez	Um domínio, um registro MX, e o DNS que impede que ele seja falsificado
Um endereço descartável que você nunca mais vai ler	Sim, completamente	Sim — não há nada por trás dele para vender	Ele se corta sozinho: o e-mail é apagado depois de 5 dias	Você não consegue recuperar a conta depois, e alguns formulários recusam o domínio

A escolha não é entre elas de uma vez por todas; ela é feita a cada cadastro, e a pergunta que decide é a mesma de burner, alias ou e-mail temporário: você se importaria de perder esta conta? Para uma loja da qual você vai comprar uma vez só, um endereço descartável é a resposta certa e também a mais barata. Para o seu banco, é uma catástrofe. Para os duzentos cadastros no meio do caminho, um endereço em um domínio que você possui é o que continua funcionando.

Uma tag com sinal de mais está nesta lista porque é a primeira coisa que as pessoas usam, não porque mereça estar acima das outras. Ela organiza o e-mail lindamente e não esconde absolutamente nada.

O endereço que já está por aí

Um endereço que está nas listas fica nelas para sempre, e começar do zero com um endereço em branco vale menos do que parece: um endereço novo acaba coletando as mesmas listas em mais ou menos o mesmo tempo, a menos que o que você entrega também mude. Então o movimento útil não é um recomeço, e sim uma triagem, nesta ordem:

Pare de piorar a situação. Não publique o endereço em texto simples em uma página, não o use como contato público de um domínio, e dê algo diferente ao próximo formulário.
Migre o que você não pode se dar ao luxo de perder. Banco, governo, o registrador do seu domínio, e acima de tudo o endereço de recuperação das suas outras contas. É uma lista curta, e é o motivo inteiro para fazer qualquer coisa disto.
Mude o endereço de recuperação primeiro, o endereço de login depois. Sempre nessa ordem. Fazer ao contrário é como as pessoas ficam trancadas para fora da própria conta que estavam tentando proteger.
Deixe o resto em paz. Duzentas contas de compras não precisam ser migradas. Deixe que fiquem com o endereço antigo, e deixe o endereço antigo virar aquele que você só passa os olhos, não aquele em que você vive.
Depois deixe o filtro trabalhar. Denuncie em vez de excluir, resgate o que foi pego por engano, e dê um mês a ele. Um filtro treinado com honestidade vence qualquer regra que você escreva à mão.

O objetivo de uma triagem é que ela termina. Não existe uma versão disso em que o endereço antigo volta a ficar limpo; existe uma versão em que ele deixa de importar, e isso leva uma tarde.

A versão curta

Prefira o botão Cancelar inscrição que o seu aplicativo de e-mail coloca ao lado do nome do remetente, em vez do link dentro da mensagem.
Cancele a inscrição só de remetentes que você consegue provar: dmarc=pass no domínio que está em From:.
Não clique em nada em uma mensagem para a qual você nunca se cadastrou. O link é a medição.
Denuncie como spam em vez de excluir. Excluir não ensina nada ao seu filtro.
Resgate também o e-mail filtrado por engano — isso também é treinamento, na direção oposta.
Desative as imagens remotas por padrão, em todo aplicativo de e-mail que você usa.
Dê ao próximo cadastro um endereço que existe só para ele: uma tag, se for tudo que você tem, um endereço no seu próprio domínio, se puder, ou um descartável, se você nunca mais quiser ouvir falar deles.

Os seis primeiros deixam este mês mais tranquilo. O sétimo é o único que deixa o ano que vem mais tranquilo.

Perguntas

Cancelar a inscrição em spam piora as coisas?

De spam de verdade, sim: o link identifica você, e um endereço que cancela a inscrição é um endereço confirmado como ativo. De uma empresa com a qual você realmente se cadastrou, não — os grandes provedores agora exigem um cancelamento em um clique, atendido em até dois dias, e um remetente que ignora isso para de ser entregue. A habilidade toda está em distinguir os dois casos, e o dmarc=pass no próprio domínio da marca faz isso em cerca de dez segundos.

É melhor marcar como spam ou bloquear o remetente?

Marcar como spam, quase sempre. Bloquear cria uma regra na sua conta contra um endereço que o remetente troca de graça; denunciar treina um filtro que você compartilha com milhões de pessoas e empurra a taxa de reclamações desse remetente na direção do limite em que o e-mail dele para de chegar para todo mundo. Bloquear serve para uma pessoa insistente, não para uma campanha.

Como eles conseguiram o meu endereço de e-mail se eu nunca dei a ninguém?

Geralmente ele foi adivinhado, não vazado. Um ataque de diretório envia mensagens para um dicionário de nomes comuns em um domínio e guarda tudo o que não retorna como erro, o que explica por que info@ e john@ recebem e-mail que ninguém nunca assinou. As outras duas rotas são a lista de contatos vazada de outra pessoa, e um domínio que aceita qualquer nome, incluindo alguns que você nunca criou.

Excluir spam treina o meu filtro de spam?

Não. Excluir remove a mensagem e não ensina nada ao filtro, o que explica por que a próxima também cai na caixa de entrada. Denunciar é o que treina o filtro — e tirar uma mensagem pega por engano de volta da pasta de spam também treina, na direção oposta, o que é igualmente útil.

Dá para descobrir quem vendeu o meu endereço de e-mail?

Só se você planejou para isso. Se cada serviço recebeu um endereço que só ele tem, a resposta está bem ali na linha To: do spam. Se todos receberam o mesmo endereço, não há nada para comparar e nada para atribuir — o argumento a favor de um domínio catch-all é basicamente esse.

Endereços descartáveis impedem spam?

Eles impedem que o spam chegue até você, o que não é o mesmo que impedir o spam. O e-mail enviado para um endereço descartável chega, é apagado depois de 5 dias e nunca toca a caixa de entrada que você lê de verdade. Isso o torna a ferramenta certa para um cadastro que você não precisa manter, e a ferramenta errada para qualquer coisa que você possa precisar recuperar.

O meu endereço apareceu em um vazamento de dados — devo trocá-lo?

Troque o que depende dele, não o endereço em si. Mude o endereço de recuperação das suas contas importantes, troque qualquer senha que você reutilizou em outro lugar, e ative a autenticação em duas etapas onde ela estiver disponível. O endereço fica público a partir daquele dia e não há como torná-lo privado de novo, então o trabalho útil é limitar o que ele ainda destrava.