Cách chặn email rác: cái nào hiệu quả, cái nào phản tác dụng

Thư rác thực sự đến từ đâu

Có bốn cách một địa chỉ kết thúc trên một danh sách, và mỗi cách để lại một dấu vết khác nhau. Việc xác định đúng cách nào quan trọng hơn vẻ ngoài của nó, vì cách khắc phục khác nhau trong từng trường hợp — và ba trong bốn cách đó không thể đảo ngược sau khi đã xảy ra, đó chính là toàn bộ lập luận của nửa sau bài hướng dẫn này.

Ba trong bốn hàng đó đều kết thúc bằng cùng một sự thừa nhận: một khi địa chỉ đã có trên một danh sách, nó sẽ ở đó mãi. Không có cơ quan nào để khiếu nại, không có nơi hủy đăng ký trung tâm nào mà kẻ gửi spam tuân theo, và không có nút bấm nào ở bất cứ đâu có thể thu hồi nó. Điều bạn vẫn có thể thay đổi là những gì bạn sẽ trao đi tiếp theo — đó là lý do vì sao bài hướng dẫn này kết thúc đúng ở chỗ nó kết thúc, thay vì bằng một danh sách bộ lọc dài hơn.

Liên kết hủy đăng ký: khi nào nó có tác dụng, và khi nào nó chỉ xác nhận rằng bạn tồn tại

Hủy đăng ký khỏi một công ty mà bạn thực sự đã đăng ký thì có tác dụng, và có tác dụng nhanh chóng — vì từ năm 2024, các nhà cung cấp hộp thư lớn đã biến điều đó thành một điều kiện để được gửi thư, chứ không còn là một phép lịch sự nữa. Một người gửi đẩy thư hàng loạt đến Gmail, Yahoo Mail hay Outlook.com buộc phải cung cấp một cách hủy đăng ký chỉ-một-cú-nhấp, xử lý yêu cầu đó trong vòng hai ngày, xác thực thư của mình và giữ tỷ lệ phàn nàn dưới khoảng một phần ba phần trăm. Một người gửi phớt lờ điều đó sẽ ngừng đến nơi hoàn toàn. Từ phía bạn, việc tuân thủ trông như sau:

From: "Example Shop" <news@example.com>
List-Unsubscribe: <https://example.com/u/8f21c4>,
        <mailto:unsubscribe@example.com?subject=unsub-8f21c4>
List-Unsubscribe-Post: List-Unsubscribe=One-Click
Authentication-Results: mx.example.org;
        spf=pass smtp.mailfrom=mail.example.com;
        dkim=pass header.d=example.com;
        dmarc=pass header.from=example.com

Hai trong số các dòng đó chính là cơ chế thực hiện. List-Unsubscribe khai báo nơi để hủy đăng ký, trong một tiêu đề chứ không phải trong nội dung thư; List-Unsubscribe-Post cho biết người gửi sẽ chấp nhận một yêu cầu POST duy nhất như toàn bộ cuộc trao đổi, không cần tải trang nào và không cần điền biểu mẫu nào. Cặp dòng đó chính là thứ ứng dụng thư của bạn đọc để vẽ ra một liên kết Hủy đăng ký bên cạnh tên người gửi — và đó là một yêu cầu khác với yêu cầu nằm trong nội dung thư.

Điều đó biến một quyết định tưởng như rủi ro thành một quyết định chỉ có ba khả năng:

Có một nút hủy đăng ký bên cạnh tên người gửi

Hãy dùng nó. Nhà cung cấp của bạn thực hiện yêu cầu, người gửi chỉ biết được rằng một địa chỉ đã hủy đăng ký, và cả Gmail lẫn Outlook.com đều ghi nhận cú nhấp đó như một tín hiệu về người gửi ấy.

Không có nút bấm nào, nhưng bạn chắc chắn mình có tài khoản ở đó

Hãy mở thư với chế độ tắt hình ảnh từ xa, kiểm tra trong tiêu đề rằng dmarc=pass nêu đúng tên miền của chính thương hiệu đó, rồi mới dùng liên kết. Chính sự chắc chắn đó mới là thứ đang phát huy tác dụng ở đây, không phải liên kết.

Bạn chưa từng đăng ký, hoặc tiêu đề không hợp lệ

Đừng nhấp vào bất cứ thứ gì trong đó. Hãy báo cáo là spam rồi đóng thư lại. Liên kết đó là một URL theo dõi, duy nhất cho riêng bạn, và việc mở nó chính xác là cách một danh sách đã đoán địa chỉ của bạn xác nhận lại phỏng đoán đó.

Hình thức mailto: trong cùng tiêu đề đó tồn tại vì cùng một mục đích và an toàn trong đúng những trường hợp như vậy — nó gửi đi một thư trơn và không cần đến trình duyệt. Đây cũng là hình thức mà suốt hai mươi năm chưa có gì triển khai cho tốt, nên hãy coi nó như một phương án dự phòng chứ đừng coi là một kế hoạch.

Đánh dấu là spam, chặn hay xóa: nhà cung cấp của bạn biết được gì từ mỗi lựa chọn

Bốn công cụ nằm cách nhau chưa đầy một centimet trong mọi ứng dụng thư, và chúng làm bốn việc chẳng liên quan gì đến nhau. Chỉ một trong số đó khiến tháng sau yên tĩnh hơn.

Đánh dấu là spam / Báo cáo spam

Đây là lựa chọn duy nhất thực sự huấn luyện được điều gì đó. Bộ lọc của riêng bạn học được từ nó ngay lập tức, và báo cáo đó được gộp chung với báo cáo của mọi người khác: một người gửi có tỷ lệ bị phàn nàn vượt qua khoảng một phần ba phần trăm sẽ bắt đầu rơi vào thư mục spam của cả những người chưa từng phàn nàn bao giờ. Đây là nút hiệu quả nhất trên trang này.

Chặn người gửi

Chỉ là một quy tắc bên trong tài khoản của bạn, đối chiếu với một địa chỉ hoặc tên miền do người gửi chọn và có thể đổi trong tích tắc. Hữu ích để đối phó với một người dai dẳng, nhưng vô dụng trước một chiến dịch — đó là lý do vì sao cùng một lời chào mời lại quay về từ news-2@ vào tuần sau.

Xóa

Không dạy cho bộ lọc điều gì cả. Thư biến mất và bộ lọc vẫn sai y hệt như một khoảnh khắc trước đó, nên thư tiếp theo cũng sẽ rơi vào hộp thư đến. Đây là sai lầm phổ biến nhất được nhắc đến trong bài này.

Chuyển vào một thư mục, hoặc lọc nó đi

Giấu vấn đề khỏi cả bạn lẫn bộ lọc chỉ trong một thao tác. Đáng làm với thư bạn đã yêu cầu nhận nhưng không muốn nhìn thấy; nhưng lại phản tác dụng rõ rệt nếu dùng để xử lý thư bạn chưa từng yêu cầu.

Báo cáo lừa đảo

Đây là một quy trình khác hẳn so với spam, ở cả Google lẫn Microsoft, với con người thật và các yêu cầu gỡ bỏ ở phía cuối. Hãy dùng nó khi một thư đang mạo danh ai đó — một ngân hàng, một đồng nghiệp, một hãng giao hàng — chứ không đơn thuần chỉ đang chào bán thứ gì đó.

Có một công cụ thứ năm, và nó quan trọng ngang với công cụ đầu tiên: chuyển một thư ra khỏi thư mục spam cũng là một hình thức huấn luyện. Một bản tin bạn cứu ra dạy cho bộ lọc biết rằng người gửi này là đáng mong muốn, cả trong tài khoản của bạn lẫn trên tổng thể. Đó là lý do vì sao một bộ lọc bạn đã dùng một cách trung thực trong một năm lại tốt hơn một bộ lọc bạn chưa từng đụng đến.

Mười giây trong tiêu đề, trước khi bạn quyết định bất cứ điều gì

Mọi điều ở trên đều xoay quanh đúng một câu hỏi — người gửi này có đúng là người họ tự nhận hay không — và câu trả lời nằm trong ba dòng văn bản mà mọi ứng dụng thư đều có thể hiện ra cho bạn. Đây vẫn là cùng một cửa hàng như trước, chỉ có điều lần này nó không phải vậy:

From: "Example Shop" <news@examp1e-shop.net>
Return-Path: <b7f2@mailer-4471.example.net>
Authentication-Results: mx.example.org;
        spf=pass smtp.mailfrom=mailer-4471.example.net;
        dkim=none;
        dmarc=none

Không có gì ở đó là giả mạo theo nghĩa kỹ thuật cả. spf=pass hoàn toàn đúng sự thật: người gửi thực sự kiểm soát mailer-4471.example.net và thực sự đã tự cho phép mình gửi thư từ đó. Điều còn thiếu là bất kỳ khẳng định nào về example.com, cái tên xuất hiện ở dòng hiển thị và là thương hiệu mà thư đang khoác lên mình. Bốn điều cần xem xét, theo đúng thứ tự này:

1. Địa chỉ, chứ không phải cái tên. Example Shop là văn bản tự do mà người gửi gõ vào. Phần trong dấu ngoặc nhọn mới là lời khẳng định — và ở đây nó ghi examp1e-shop.net, với một chữ số thay thế cho một chữ cái.
2. dmarc=, và tên miền nào được nêu ra. dmarc=pass header.from=example.com nghĩa là chính tên miền của thương hiệu đã bảo chứng cho thư này. dmarc=none nghĩa là không ai bảo chứng cả. Một kết quả pass trên một tên miền khác với tên miền trong From: chỉ chứng minh rằng một người lạ nào đó sở hữu một tên miền.
3. Return-Path: so với From:. Những người gửi thư hàng loạt thật sự định tuyến thư bị trả lại qua chính hạ tầng gửi thư của họ, nên hai trường này hiếm khi khớp nhau chính xác. Thứ cần khớp là tổ chức đứng sau: mail.example.com nằm dưới example.com là bình thường, còn mailer-4471.example.net thì không.
4. Có tồn tại một List-Unsubscribe hay không. Việc thiếu vắng nó trong một thứ tự nhận là thư marketing chính là câu trả lời — một người gửi thư hàng loạt thật sự không còn đủ khả năng để bỏ sót nó nữa.

Việc mở thư tiết lộ điều gì, trước khi bạn chạm vào bất cứ thứ gì

Một thư bạn chưa từng yêu cầu chính là một câu hỏi về bạn, và trả lời câu hỏi đó chẳng tốn của người gửi gì cả nhưng lại tốn của bạn một thứ gì đó. Bốn điều sẽ lộ ra ngay khoảnh khắc bạn mở một thư như vậy với hình ảnh đang bật:

• Rằng địa chỉ này còn hoạt động và có người đọc. Đây là sự thật giá trị nhất về bất kỳ địa chỉ nào trên một danh sách, và là yếu tố quyết định liệu nó có bị bán tiếp hay không.
• Bạn đọc thư lúc nào, và đọc bao nhiêu lần. Pixel đó được yêu cầu tải mỗi lần thư được hiển thị, chứ không chỉ một lần.
• Bạn đang ở đâu, và bạn đọc thư trên thiết bị gì. Yêu cầu đó mang theo một địa chỉ IP và một user agent giống như bất kỳ yêu cầu nào khác.
• Bạn đã mở thư nào trong số các thư của họ. URL đó là duy nhất cho từng người nhận, nên câu trả lời gắn với từng địa chỉ chứ không phải một con số gộp chung.

Mọi nhà cung cấp lớn hiện nay đều dùng proxy cho hình ảnh từ xa, điều này làm giảm bớt phần thông tin vị trí nhưng không làm giảm phần xác nhận: yêu cầu đó vẫn xảy ra, và vẫn cho biết rằng một địa chỉ đã mở thư. Chặn hình ảnh cho đến khi bạn yêu cầu hiển thị là một tùy chọn có trong mọi ứng dụng thư, và là mặc định tốt nhất trên trang này. Bài Pixel theo dõi email nói rõ cơ chế đó, và việc chặn nó mang lại được gì và không mang lại được gì. Ở đây, chúng bị chặn bởi chính sách mà thư được phục vụ theo, chứ không phải bằng cách chỉnh sửa thư, nên chẳng có gì để bật lên cả.

Cách khắc phục duy nhất có thể mở rộng: một địa chỉ khác cho mỗi dịch vụ

Mọi công cụ nói ở trên đều là cách phản ứng lại với thư đã đến một địa chỉ mà người gửi đã có sẵn. Cách tiếp cận duy nhất làm giảm khối lượng thư thay vì chỉ sắp xếp nó là biến bản thân địa chỉ thành thứ có thể vứt bỏ được — để một vụ rò rỉ tự nêu tên dịch vụ đã làm lộ nó và có thể bị cắt bỏ mà không ảnh hưởng đến bất cứ thứ gì khác. Có bốn cách để làm điều đó, và chúng khác nhau theo những cách đáng biết trước khi bạn chọn một cách:

Việc lựa chọn không phải là chọn một lần cho tất cả; nó được quyết định cho từng lượt đăng ký, và câu hỏi giải quyết việc đó chính là câu hỏi từ bài burner, bí danh hay email tạm thời: bạn có tiếc nếu mất tài khoản này không? Với một cửa hàng bạn chỉ mua một lần, một địa chỉ dùng một lần vừa là câu trả lời đúng vừa là câu trả lời rẻ nhất. Với ngân hàng của bạn thì đó là một thảm họa. Còn với hai trăm lượt đăng ký ở khoảng giữa, một địa chỉ trên tên miền bạn sở hữu mới là thứ tiếp tục có tác dụng.

Thẻ cộng có mặt trong danh sách này vì đó là thứ mọi người tìm đến đầu tiên, chứ không phải vì nó xứng đáng đứng trên các lựa chọn còn lại. Nó sắp xếp thư rất đẹp, và chẳng giấu được điều gì cả.

Địa chỉ đã lỡ bị lộ ra ngoài rồi

Một địa chỉ đã có trên các danh sách sẽ ở đó vĩnh viễn, và việc bắt đầu lại từ một địa chỉ trắng trơn có giá trị thấp hơn cảm giác nó mang lại: một địa chỉ mới sẽ thu thập lại đúng những danh sách đó trong khoảng thời gian tương tự, trừ khi những gì bạn trao đi cũng thay đổi theo. Vậy nên bước đi hữu ích không phải là một khởi đầu mới, mà là một cuộc phân loại, theo đúng thứ tự sau:

1. Ngừng làm cho tình hình tệ hơn. Đừng công khai nó dưới dạng văn bản thuần trên một trang web, đừng dùng nó làm địa chỉ liên hệ công khai cho một tên miền, và hãy đưa cho biểu mẫu tiếp theo một địa chỉ khác.
2. Chuyển đi những gì bạn không thể để mất. Ngân hàng, cơ quan nhà nước, nhà đăng ký tên miền của bạn, và trên hết là địa chỉ khôi phục trên các tài khoản khác của bạn. Đó là một danh sách ngắn, và đó cũng là toàn bộ lý do để làm bất kỳ điều gì trong số này.
3. Đổi địa chỉ khôi phục trước, địa chỉ đăng nhập sau. Luôn theo đúng thứ tự đó, không ngoại lệ. Làm ngược lại chính là cách người ta tự khóa mình khỏi tài khoản mà họ đang cố bảo vệ.
4. Để yên phần còn lại. Hai trăm tài khoản mua sắm không cần phải di chuyển đi đâu cả. Hãy để chúng giữ nguyên địa chỉ cũ, và để địa chỉ cũ trở thành nơi bạn chỉ lướt qua chứ không phải nơi bạn sống hằng ngày.
5. Rồi hãy để bộ lọc làm việc. Báo cáo thay vì xóa, cứu lại bất cứ thư nào bị bắt nhầm, và cho nó một tháng. Một bộ lọc bạn đã huấn luyện một cách trung thực sẽ vượt qua bất kỳ quy tắc nào bạn có thể tự viết tay.

Điểm mấu chốt của một cuộc phân loại là nó sẽ kết thúc. Không có kịch bản nào ở đây khiến địa chỉ cũ trở nên sạch sẽ trở lại; chỉ có một kịch bản khiến nó không còn quan trọng nữa, và việc đó chỉ tốn một buổi chiều.

Phiên bản ngắn gọn

1. Hãy ưu tiên nút Hủy đăng ký mà ứng dụng thư của bạn đặt bên cạnh tên người gửi hơn là liên kết bên trong thư.
2. Chỉ hủy đăng ký khỏi những người gửi mà bạn có thể chứng minh được: dmarc=pass trên tên miền có trong From:.
3. Đừng nhấp vào bất cứ thứ gì trong một thư bạn chưa từng đăng ký nhận. Liên kết đó chính là một phép đo.
4. Hãy báo cáo là spam thay vì xóa. Xóa không dạy cho bộ lọc của bạn điều gì cả.
5. Hãy cứu cả những thư bị lọc nhầm nữa — đó cũng là một hình thức huấn luyện, theo chiều ngược lại.
6. Hãy tắt hình ảnh từ xa theo mặc định, trong mọi ứng dụng thư bạn dùng.
7. Hãy đưa cho lượt đăng ký tiếp theo một địa chỉ chỉ tồn tại vì nó mà thôi: một thẻ nếu đó là tất cả những gì bạn có, một địa chỉ trên tên miền của riêng bạn nếu có thể, hoặc một địa chỉ dùng một lần nếu bạn không bao giờ muốn nghe tin từ họ nữa.

Sáu điều đầu tiên khiến tháng này yên tĩnh hơn. Điều thứ bảy là điều duy nhất khiến năm sau yên tĩnh hơn.

Câu hỏi