Plus addressing: you+tag@ giấu được gì, và lộ những gì

Thẻ cộng thực chất là gì

Một địa chỉ có hai nửa: local part đứng trước @ và tên miền đứng sau. Plus addressing — subaddressing, theo cách gọi của các chuẩn kỹ thuật — chia local part ra một lần nữa, tại dấu + đầu tiên. Mọi thứ bên trái dấu đó là hộp thư. Mọi thứ bên phải là một nhãn mà máy chủ nhận thư được kỳ vọng sẽ bỏ qua khi quyết định nên đặt thư vào đâu.

Một hộp thư, muốn bao nhiêu địa chỉ cũng đượcyou+shop@example.comSao chép

Vậy nên you+shop@example.com, you+news@example.com và you@example.com là cùng một hộp thư dưới ba cái tên, và thư đến nơi với thẻ vẫn hiển thị rõ trong tiêu đề To:. Đó chính xác là điều khiến một thẻ hữu ích để sắp xếp thư, và cũng chính xác là điều khiến nó vô dụng trong việc giấu đi.

Nhà cung cấp nào chấp nhận thẻ, và nhà cung cấp nào không

Được tổng hợp từ tài liệu chính thức của từng nhà cung cấp vào ngày 5 tháng 9 năm 2026. Đây là kiểu bảng âm thầm lỗi thời theo thời gian, nên phép thử ba mươi giây ở cuối phần này đáng để chạy thử trước khi bạn tin tưởng bất kỳ dòng nào trong bảng với điều gì đó thực sự quan trọng.

Điều đáng nhấn mạnh là hình mẫu trong bảng đó. Nhà cung cấp nào trong bảng cũng cho bạn dùng thẻ; ba nhà cung cấp cung cấp thứ tốt hơn thì cho bạn một địa chỉ khác hẳn thay vì chỉ trang trí lại địa chỉ cũ.

Ba việc một thẻ làm tốt

Không điều gì sau đây là lý do để ngừng dùng thẻ cộng. Bên trong hộp thư của chính bạn, với những thư bạn đã đồng ý nhận, thẻ chính là cách sắp xếp rẻ nhất có thể: không cần cấu hình gì, không tốn phí gì, không cần thêm tài khoản thứ hai để nhớ mật khẩu.

Sắp xếp thư mà không cần một quy tắc cho mỗi người gửi

Một bộ lọc trên thẻ hơn hẳn hai mươi bộ lọc trên hai mươi địa chỉ From:. Thư gửi đến you+bank@ vẫn vào đúng thư mục dù bộ phận marketing của ngân hàng năm nay có quyết định đổi tên mình thành gì đi nữa.

Bắt được một vụ rò rỉ bất cẩn

Cho mỗi lượt đăng ký một thẻ riêng, và thư rác đầu tiên không mời mà đến sẽ chỉ đích danh bên đã để lộ địa chỉ của bạn. Nó bắt được sự bất cẩn — một vụ rò rỉ dữ liệu, một danh sách bị bán vội, một lượt xuất dữ liệu cấu hình sai — và, như phần tiếp theo sẽ giải thích, không bắt được gì nhiều hơn thế.

Tài khoản kiểm thử, nhưng chỉ đến một mức nào đó

Một thẻ cho mỗi lượt kiểm thử cho một bộ kiểm thử bao nhiêu địa chỉ tùy thích, với chỉ một hộp thư đứng sau tất cả, miễn là ứng dụng đang được kiểm thử chấp nhận chúng. Khi nó không chấp nhận — và không ít trường hợp cố tình không chấp nhận — một tên miền catch-all làm y hệt công việc đó mà chẳng cần xin phép ai.

Cả ba việc trên có chung một đặc điểm: chúng dành cho thư bạn muốn nhận. Ngay khi mục tiêu trở thành thư bạn không muốn nhận, thẻ không còn là công cụ phù hợp cho việc đó nữa.

Bốn việc một thẻ không thể làm

Một thẻ cộng là một nhãn dán bên ngoài một phong bì mà vẫn còn ghi tên bạn trên đó. Mọi điều dưới đây đều xuất phát từ đúng một câu đó.

• Nó không giấu địa chỉ của bạn. you+shop@example.com chứa you@example.com lộ thiên — trong tiêu đề thư, trong mọi lượt xuất dữ liệu, trong mọi cơ sở dữ liệu mà thư đi qua trên đường đến tay bạn.
• Nó không thể tắt đi được. Không có khái niệm thu hồi một thẻ. Thư gửi đến thẻ đó vẫn được chuyển vào hộp thư của bạn dù bạn làm gì đi nữa, và điều tốt nhất bạn có thể làm sau đó là đặt một quy tắc để cất nó đi khỏi tầm mắt sau khi nó đã đến.
• Nó không sống sót được trước một bên gửi biết chuẩn hóa địa chỉ. Cắt thẻ đi chính là dòng code một dòng bên dưới, và việc rút gọn một địa chỉ về dạng chuẩn của nó trước khi lưu trữ là một thông lệ kỹ thuật bình thường — làm để tránh trùng lặp dữ liệu chứ không phải vì ác ý, và chính vì vậy nó mới được áp dụng rộng rãi đến thế.
• Nó không được chấp nhận ở mọi nơi bạn cần đến nó. Một thẻ được biểu mẫu đăng ký chấp nhận vẫn có thể bị chính trang đăng nhập của trang web đó từ chối, bị trang đặt lại mật khẩu từ chối, hoặc bị cổng thanh toán đứng sau nó từ chối — và đến lúc đó thì tài khoản đã là tài khoản mang thẻ đó rồi.

// Everything a plus tag protects you from, undone.
const canonical = address.replace(/\+[^@]*/, '');
// "you+shop@example.com"  ->  "you@example.com"

Ba dòng code kể cả chú thích, và một thứ rất giống vậy tồn tại trong mọi thư viện xác thực địa chỉ email mà bạn từng cài đặt. Một trang web cụ thể có chạy nó hay không là một trò tung đồng xu mà bạn không được phép xem kết quả.

Vì sao nhiều biểu mẫu từ chối dấu cộng

Ký tự này hợp lệ. RFC 5321 cho phép + xuất hiện trong local part mà không cần đặt trong dấu ngoặc kép nào cả, và một địa chỉ chứa nó hợp lệ y như một địa chỉ chứa một chữ cái. Vậy mà biểu mẫu vẫn từ chối nó, vì ba lý do đáng tách bạch, bởi mỗi lý do cần một cách xử lý khác nhau.

• Một biểu thức chính quy được viết theo trí nhớ. Ai đó đã cho phép chữ cái, chữ số, dấu chấm, dấu gạch ngang và dấu gạch dưới, rồi dừng lại ở đó. Đây đơn giản là một lỗi, và trang web gần như chắc chắn không biết mình có lỗi này.
• Một chính sách có chủ đích. Trang web biết rõ thẻ là gì và không muốn có một tài khoản cho mỗi thẻ — bản dùng thử miễn phí, thưởng giới thiệu, mỗi người một phiếu bầu. Chặn ký tự này là cách thô sơ nhất để thực thi điều đó, và cũng là cách chỉ tốn một buổi chiều để làm.
• Một thứ gì đó ở khâu xa hơn. Biểu mẫu chấp nhận nó, nhưng một hệ thống CRM, một hệ thống thanh toán hay một nhà cung cấp gửi thư đứng phía sau lại không. Đây là kiểu lỗi xảy ra muộn, thường là ngay tại lúc nhận thư.

Bạn gặp phải lý do nào trong ba lý do đó thường lộ rõ ở chỗ nó bị hỏng.

Một lượt từ chối nhắm vào tên miền chứ không phải vào local part là một vấn đề khác, với một tập câu trả lời khác, và bài vì sao biểu mẫu đăng ký chặn email dùng một lần xử lý vấn đề đó từ đầu đến cuối.

Nên dùng gì khi bản thân địa chỉ phải khác đi

Ba công cụ làm thay đổi hẳn địa chỉ thay vì chỉ trang trí nó. Chúng khác nhau ở chỗ rốt cuộc ai là người đọc được thư, và trên thực tế đó là trục duy nhất đáng để so sánh chúng.

Một tên miền của riêng bạn, chỉ trong một bản ghi

Trỏ bản ghi MX của tên miền đó về dịch vụ này, và mọi local part trên đó đều trở thành một hộp thư: shop@yourdomain.com, bank@yourdomain.com, mỗi địa chỉ cho một lượt đăng ký, và không địa chỉ nào chứa bất kỳ địa chỉ nào khác. Đốt bỏ một cái thì những cái còn lại vẫn nguyên vẹn, vì chúng không có địa chỉ gốc chung nào để chia sẻ.

Bản ghi duy nhất cần thêm10 smtp.grabmail.ioSao chép

Việc này miễn phí và không cần mở tài khoản nào cả — nhưng cần hiểu rõ nó là gì và không phải là gì. Bất kỳ ai biết một trong các địa chỉ đó đều đọc được nó, y hệt như trên các tên miền công khai, và thư sẽ bị xóa sau 5 ngày. Điều đó khiến nó phù hợp cho các lượt đăng ký, phiếu giảm giá và tài khoản kiểm thử, nhưng không phù hợp cho bất cứ điều gì bạn sẽ ngại nếu một người lạ đọc được. Hướng dẫn đầy đủ chỉ mất mười phút, phần lớn trong đó là thời gian chờ DNS.

Một bí danh chuyển tiếp

Một dịch vụ chuyển tiếp cho bạn một địa chỉ trên tên miền của người khác, chuyển thư về hộp thư bạn vẫn đang dùng, cùng với một công tắc để tắt nó đi. Bạn vẫn giữ nguyên nhà cung cấp và bộ lọc của mình; bên gửi không bao giờ thấy được bất cứ thứ gì thuộc về bạn. Cái giá phải trả là dịch vụ đó biết được mọi người đã từng gửi thư cho bạn, và tên miền của nó cũng liên tục xuất hiện trong cùng những danh sách chặn như mọi thứ khác. Bài burner, bí danh hay email tạm thời đặt ba thứ này cạnh nhau để so sánh.

Một địa chỉ tạm thời

Khi đó là một tài khoản mà bạn sẽ không tiếc nếu mất — một lượt tải xuống, một phiếu giảm giá, một diễn đàn bạn chỉ đọc đúng một lần — câu trả lời đơn giản nhất là một địa chỉ mà đằng sau nó chẳng có gì cả. Hãy mở một địa chỉ trên grabmail.io hoặc trên bất kỳ tên miền công khai nào khác trong số 8 tên miền còn lại, đọc thư xác nhận, rồi để nó tự hết hạn. Bài cách dùng đúng cách có nêu hai trường hợp bạn không nên làm vậy.

Có một hình thức thứ tư đáng biết đến, vì đây là thứ duy nhất trên trang này hoạt động giống một thẻ nhưng lại không thể bị lọc bỏ như một thẻ: mọi hộp thư ở đây đều có thêm một bí danh — một địa chỉ thứ hai đưa thư vào hộp thư đó, nhưng nếu đọc từ chính địa chỉ ấy thì lại trống rỗng. Bạn đưa bí danh đó cho biểu mẫu và giữ địa chỉ thật cho riêng mình.

Một quy tắc cho biểu mẫu tiếp theo

Bốn câu hỏi, theo đúng thứ tự này. Câu đầu tiên nhận được câu trả lời có chính là đáp án của bạn.

1. Bạn có tiếc nếu mất tài khoản này không? Nếu không, hãy dùng một địa chỉ tạm thời và dừng đọc tại đây.
2. Bạn có sở hữu một tên miền không? Nếu có, hãy nghĩ ra một local part mới trên đó. Đây là lựa chọn duy nhất trên trang này vừa lâu dài vừa dùng một lần.
3. Bạn có cần trả lời thư từ địa chỉ đó, hoặc khôi phục nó sau hai năm nữa không? Nếu có, nó phải là một bí danh chuyển tiếp hoặc một hộp thư thứ hai thực sự, chứ không phải một thẻ.
4. Đây có phải thư bạn vốn đã muốn nhận, từ một bên gửi bạn vốn đã tin tưởng không? Nếu có, một thẻ cộng chính xác là công cụ phù hợp, và không phản bác nào ở trên áp dụng được cho trường hợp này.

Phiên bản ngắn gọn

• Một thẻ cộng giúp sắp xếp thư. Nó không giấu được điều gì, và không thể bị thu hồi.
• Gmail, Outlook.com, Proton Mail, Fastmail, iCloud Mail và Zoho Mail đều chấp nhận. Yahoo Mail thì không. Với một địa chỉ công việc, hãy hỏi người quản trị nó.
• Hãy mặc định rằng trang web nào cũng có thể xóa thẻ đi, và những trang bạn muốn bắt được nhất thường đã làm vậy rồi.
• Khi một biểu mẫu từ chối +, đừng cố chống lại nó. Ký tự này hợp lệ, và trang web đó sẽ không được sửa ngay trong chiều nay đâu.
• Để có một địa chỉ thực sự khác biệt, hãy dùng một catch-all trên một tên miền của riêng bạn, một bí danh chuyển tiếp, hoặc một địa chỉ tạm thời.

Và nếu chỉ một câu duy nhất còn đọng lại: một thẻ là nhãn dán trên địa chỉ của bạn, không phải một lớp mặt nạ che nó đi.

Câu hỏi