私のバーナーメールブロックリストが私をブロックした

数日前、私は公開データサービス（ECMWF）にProton Mailのエイリアスを使って登録しようとしましたが、フォームは私のメールアドレスを「潜在的なスパム」として拒否しました。私のフラストレーションには、少しの罪悪感が混じっていました。2018年に私はBurnexというElixirパッケージを公開しました。これは、yopmail.frのような確認リンクを受け取ってすぐに消滅する一時的な受信ボックスとして知られる、多数のバーナーメールドメインとメールアドレスを比較するものでした。このライブラリ自体は、当時かなり人気があったwesbos/burner-email-providersリストに依存していました。当時、私はアカウントの信頼性が重要視される共同ファクトチェックプラットフォームに取り組んでおり、ユーザーが偽物やバッチ生成されたものではないという確信を得る必要がありました。ドメインブロックリストは、より広範な信頼問題に対する安価なヒューリスティック（発見的手法）のように思えました。 私はこの件でパーティーに遅れてしまったかもしれませんが、はっきりと伝えさせてください：サインアップ時にバーナーメールドメインを体系的にブロックすることは、もはや推奨しません。 TLDR; 今日、サインアップポリシーを決定するのであれば、プライバシーメールサービスを使用しているユーザーを自動的に拒否しないでください。公開共有受信ボックスと個人用エイリアスを区別し、前者のみをブロックしてください。エイリアスの背後にいる人は、あなたを騙そうとしているのではなく、自分自身を保護している可能性が高いです。そして、スパマーはすでに次の手段に移っています。ブロックリストを維持または利用している場合は、カテゴリを分割することを検討し、ドキュメントで良い実践を奨励してください。 バーナーメールとエイリアスは同じものではありません メールブロックリストに関して、私たちはしばしば忘れてしまう区別があります。古典的なバーナーメールは、誰でもアクセスできる、短命の公開受信ボックスであり、一度確認リンクをクリックして立ち去るのに役立ちます。メールエイリアスはその逆です。あなたのコントロール下にあり、無効にでき、パスワードが漏洩した場合に特定のサインアップに追跡できる、あなたのアカウントに紐づいた永続的な転送アドレスです。現在、Firefox RelayやApple Hide My Emailのようなツールは、エッジケースのハッカーツールではなく、主流の製品となっています。MozillaはRelayを新しいアカウントにサインアップする際にプライバシーを維持する方法としてマーケティングしており、AppleはHide My Emailを実際のメールアドレスを共有せずにメールアドレスを共有する方法として販売しています（ただし、この約束は誇張されている可能性があります）。エイリアスプロバイダーを使い捨て受信ボックスとして扱うブロックリストは、自分自身を保護しようとしている人々をブロックすることになります。これはサインアップの摩擦を超えて重要です。エイリアスは、サイトをまたぐトラッキングを制限し、漏洩後のスパムを減らし、特定のサービスにのみ提供したアドレスにジャンクメールが届き始めたときに、どのサービスがあなたのメールアドレスを漏洩したのかを正確に知ることができます。私たちは、エイリアスを使用する人を減らすのではなく、増やすことを望むべきです。 ブロックリストは、決意のある悪用者を止められません 決意のある悪用者は、ブロックリストに載っているドメインに限定されたことは一度もありません。Gmailの+エイリアス機能は、同じ受信ボックスの無制限のバリエーションを作成します（例：[email protected], [email protected]）。Emailnatorのようなサービスは、オンデマンドでこれらの使い捨てGmailアドレスの無限のバリエーションを生成するのに役立ちます。カスタムドメインは年間数ドルで、正規のビジネスメールと区別がつかないように見えます。あなたのユーザーとは異なり、スパマーはドメインブロックリストを回避する手段と時間を持っています。彼らにとって、それは壁ではなく、小さな障害です。はい、ブロックリストは、低労力の自動サインアップをいくつか捕捉します。しかし、そのコストは非対称です。単純なボットはわずかに遅くなるだけですが、正当なエイリアスを持つ実際のユーザーは、救済なしに厳しく拒否されます。あなたは、簡単に諦める攻撃者のために最適化し、プライバシーを真剣に受け止めるユーザーを罰しているのです。ブロックリストが止めようとした人々は、実際には止められていません。彼らは、あなたが信頼するドメインを使うことを学んだだけです。ブロックリストを超えて、メール検証全般（確認リンクを含む）は、アカウントが本物である、ユニークである、または信頼できることの証明として扱われるべきではありません。それは、一度だけそのアドレスでメールを受信できたことを証明するにすぎません。 依然として有効な用途があります 既知の使い捨てリストにメールドメインが表示されるかどうかを確認することは、より広範な信頼またはリスクスコアにフィードする合理的なシグナルとして、またはサインアップバッチ全体で疑わしいパターンを表面化させるため、あるいはマーケティングキャンペーンで無視するために、依然として有効です。もし私が今日Burnexを再構築するとしたら、その範囲を、個人用転送サービス（passmail.net、anonaddy.me、mozmail.comなど）と混同するのではなく、本当に公開されて共有されている受信ボックス（mailinator.comのような、誰でも確認メールを受信できるアドレス）に絞るでしょう。 # 公開バーナー受信ボックス、ブロックしてもおそらく問題ない Burnex.is_burner?("[email protected]") # 個人用エイリアス、通常はブロックしない方が良い Burnex.is_alias?("[email protected]") しかし、問題はライブラリがドメインをどのように分類するかだけではありません。Burnexが依存していたアップストリームリスト（wesbos/burner-email-providers）は、サインアップバリデーター、サードパーティパッケージ、および世界中のAPIによってそのまま消費されています。多くのインテグレーターは、emails.txtのすべてのドメインをキュレーションせずにブロックしているため、リストの分類選択は実際に下流に影響を与えます。 後に続く人々のために 私はwesbosのリストでまさにその分割を提案するissueを開きました。公開共有受信ボックス（yopmail.fr、mailinator.comなど）用のファイルを1つ維持し、個人用エイリアスおよび転送プロバイダー（passmail.net、anonaddy.me、mozmail.comなど）用の2つ目のファイルを追加します。その後、READMEを良い実践の推奨事項で更新します。時間不足と、私がメンテナンスしている製品でBurnexをもう使用していないため、2026年初頭にプロジェクトを非推奨にしました。それ以来、Klemen Severがプロジェクトを引き継ぐことを申し出て、私が所有権を譲渡しました。