האם המייל שלי נפרץ או נמכר? כך מגלים מי מסר אותו ב-5 צעדים

אפשר לגלות בוודאות מי מכר או הדליף את כתובת המייל שלך רק אם נתת לאותה חברה כתובת שלאף אחד אחר לא הייתה. בכתובת ראשית שמשמשת אותך כבר שנים, בדרך כלל אפשר לצמצם את רשימת החשודים אבל לא להצביע על אשם: הכתובת נמצאת בעשרות מאגרי לקוחות, והודעת ספאם כמעט אף פעם לא מובילה חזרה למאגר שממנו היא דלפה. מה שכן אפשר לברר: מי שולח לך אימיילים ודרך איזה שירות, האם המייל שלך נפרץ, כלומר אם חברה כלשהי הדליפה את הכתובת שלך בדליפת נתונים ידועה, ובאיחוד האירופי ובבריטניה, מה חברה אומרת על המקור שממנו השיגה את הכתובת שלך. CatchNone, ל-iPhone, ל-iPad ול-Mac, הופך את השיטה של כתובת נפרדת לכל חברה לברירת המחדל: כל הודעה מסומנת בכינוי שאליו היא הגיעה, כך שהדליפה הבאה תצביע על המקור שלה.

השלבים, לפי הסדר:

מוצאים את ההודעה הלא רצויה הראשונה ואת הכתובת המדויקת שאליה היא הגיעה.
קוראים את כותרות ההודעה כדי לזהות את השולח ואת שירות הדיוור שלו.
בודקים ב-Have I Been Pwned אם הכתובת נכללה בדליפת נתונים.
שואלים את השולח מאיפה השיג את הכתובת שלך, ושואלים את החברה החשודה לאילו חברות היא מסרה אותה.
מעכשיו נותנים לכל חברה כתובת משלה.

האם אפשר לגלות מי מכר את כתובת המייל שלך?

לפעמים. זה תלוי בראיות:

כותרות ההודעה מראות מי שלח אותה ודרך איזה שירות (חתימת DKIM שעוברת את הבדיקה מוכיחה איזה דומיין חתם עליה), אבל לא מאיפה הגיעה הרשימה.
רישום של דליפת נתונים מוכיח שחברה אחת איבדה את הכתובת שלך, בלי לשלול חברות אחרות.
בקשה משפטית יכולה לחייב חברה לומר מה היא יודעת על המקור, אם היא יודעת (בקליפורניה, רק ברמת קטגוריות).
כתובת רנדומלית שנתת לחברה אחת בלבד מצביעה ישירות על המקור: דואר שמגיע אליה מכל גורם אחר אומר שהיא יצאה מאותה חברה, בין שנמכרה, נמסרה או נגנבה.

להצפה פתאומית של ספאם במייל יכולות להיות גם סיבות אחרות; על כך במאמר למה כמות הספאם יכולה לזנק פתאום. על הדרכים שבהן כתובות מתפשטות מלכתחילה, דרך מכירה, דליפות, איסוף אוטומטי וניחוש, אפשר לקרוא במאמר איך ספאמרים משיגים כתובות מייל.

שלב 1: מוצאים את ההודעה הראשונה ואת הכתובת שאליה הגיעה

מחפשים את השולח הלא מוכר ומוצאים את התוצאה הישנה ביותר: ההודעה הראשונה היא הקרובה ביותר לרגע שבו הכתובת שלך עברה ידיים. בודקים בדיוק לאיזו כתובת היא נשלחה ואיך היא פונה אליך. כתובת ישנה או כתובת עם שגיאת הקלדה שהשתמשת בה פעם אחת, גרסה של הכתובת שלך עם ‎+tag, איות שגוי של השם שלך מטופס הרשמה אחד, או פרט שרק חברה אחת ידעה, כולם מצביעים על מקור.

באיחוד האירופי ובבריטניה, כדאי לקרוא גם את השורות התחתונות של ההודעה הראשונה ואת הקישור למדיניות הפרטיות. לפי ה-GDPR (סעיף 14), חברה שקיבלה את המידע שלך ממישהו אחר חייבת לומר לך “מאיזה מקור מגיע המידע האישי”. אם היא משתמשת במידע כדי ליצור איתך קשר, המועד האחרון הוא “לכל המאוחר בעת התקשורת הראשונה”. אם ההודעה הראשונה לא ציינה את זה, כדאי להצביע על כך בבקשה שלך בשלב 4.

שלב 2: קוראים את כותרות ההודעה

כותרות ההודעה (headers) הן השורות המוסתרות שמעל ההודעה. הן מציינות את השולח ואת השירות שדרכו נשלח הדואר, וכך אפשר לדעת למי לכתוב בשלב 4.

איך רואים את כותרות ההודעה

הנתיבים לפי דפי העזרה של כל ספק, נכון לספטמבר 2026:

אפליקציה	שלבים
Gmail באתר	פותחים את ההודעה. ליד “Reply” (השבה) לוחצים על “More” (עוד) > “Show original” (הצגת המקור).
דואר iCloud ב-iCloud.com	בוחרים את ההודעה, בוחרים בכפתור “More” (עוד) ואז ב-“Show All Headers” (הצגת כל הכותרות).
Outlook החדש ל-Windows, ‏Outlook באינטרנט, ‏Outlook.com	פותחים את ההודעה, בוחרים “More actions” (פעולות נוספות) ואז “View” (תצוגה) > “View message details” (הצגת פרטי ההודעה).
Outlook הקלאסי ל-Windows	לוחצים לחיצה כפולה על ההודעה ואז על “File” (קובץ) > “Properties” (מאפיינים). קוראים את התיבה “Internet headers” (כותרות אינטרנט).
Apple Mail ב-Mac	בוחרים “דואר” > “הגדרות” ולוחצים על “Viewing” (תצוגה). מגדירים את “Show message headers” (הצגת כותרות ההודעה) כ-“Custom” (מותאם אישית), לוחצים על “Add” (הוספה) ומזינים כל כותרת שרוצים, כמו `Delivered-To`, ‏`List-Id`, ‏`List-Unsubscribe`, ‏`DKIM-Signature` ו-`Return-Path`. האפליקציה מציגה רק אותן, לא את כל הכותרות.
אפליקציות ל-iPhone ול-iPad	אף אחד מדפי העזרה האלה לא מציין דרך. משתמשים במחשב.

קיצור הדרך של Gmail: באתר, לוחצים על “Down arrow” (חץ למטה) מתחת לשם השולח כדי לראות את Mailed by (נשלח על ידי) ו-Signed by (נחתם על ידי), הדומיינים ששלחו את ההודעה וחתמו עליה.

דוגמה מפורטת

כותרות לדוגמה, מקוצרות ולהמחשה בלבד. הכתובת שלך היא k7qm-2xrd@example.com, כתובת רנדומלית שנתת רק לחנות גינון. המותג הוא dealsdaily.example.net, ו-mailer.example.org הוא שירות הדיוור שהוא משתמש בו.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

כותרת	מה היא אומרת לך	מה היא לא אומרת לך
`To`, ‏`Delivered-To`	באיזו מהכתובות שלך נעשה שימוש. `Delivered-To`, כשהספק שלך מוסיף אותה, מראה לאן נמסר עותק בפועל, גם אם קיבלת את ההודעה כעותק מוסתר (Bcc) ‏(RFC 9228)	מי מסר אותה
`From`	המותג שההודעה טוענת שהיא נשלחה ממנו	שום דבר ודאי: קל לזייף אותה
`List-Id`	הרשימה, שהשם שלה מבוסס “ברוב המקרים” על הדומיין של בעליה (RFC 2919)	מאיפה הגיעו הכתובות שבה
`List-Unsubscribe`	לאן נשלחות בקשות ביטול ההרשמה, לרוב לשירות הדיוור	למי שייכת הרשימה
`DKIM-Signature` `d=`‎	הדומיין “שלוקח אחריות” על השליחה, לרוב שירות הדיוור; `Authentication-Results` מראה אם החתימה עברה את הבדיקה	אם מישהו קנה את הכתובת שלך
`Return-Path`	כתובת ההחזרות (bounce), בדרך כלל אצל שירות הדיוור	מי סיפק את הכתובת שלך
`Received`	השרתים שההודעה עברה דרכם, החדש ביותר למעלה	שום דבר אמין מתחת לשורות שהוסיף ספק הדואר שלך: את השורות התחתונות אפשר לזייף (RFC 5321, §7.1)

כאן השולח הוא Deals Daily, ששולחת דרך mailer.example.org, והכתובת שאליה הגיעה ההודעה היא הכתובת הרנדומלית שנתת רק לחנות הגינון, כך שמשם היא יצאה. הכותרות לא יכולות לומר איך Deals Daily השיגה אותה: הן מציינות את השולח, אף פעם לא את המוכר. ICANN Lookup מציג את רשומת הרישום של דומיין לא מוכר, אם כי פרטי הבעלים מושחרים ברובם.

שלב 3: בודקים אם הכתובת נחשפה בדליפת נתונים של חברה

Have I Been Pwned (HIBP)‎ מראה באילו דליפות נתונים וברשימות ספאם מופיעה כתובת. נכון ל-25 בספטמבר 2026, רשומים בו 1,038 אתרים שנפרצו ויותר מ-17.8 מיליארד חשבונות שדלפו (כתובת שמופיעה בכמה דליפות נספרת פעם אחת בכל אחת מהן).

דליפת נתונים מציינת את השירות שאיבד את המידע ומתי: כיוון חזק אם הספאם התחיל זמן קצר אחר כך.
רשימת ספאם פירושה שהכתובת שלך הופיעה בנתונים ששימשו לספאם ממוקד. הרשימות האלה “מורכבות לעיתים קרובות ממקורות רבים”, ולכן הן כמעט אף פעם לא מציינות את החברה המקורית. רשומות שמקורן ב-pastes (טקסטים שפורסמו ברשת), ודליפות ש-HIBP מסמן כמפוברקות או כלא מאומתות, חלשות עוד יותר.
דליפות רגישות מוצגות רק אחרי שמתחברים ומאמתים שהדואר של הכתובת מגיע אליך.

תוצאה נקייה אומרת רק שהכתובת לא נמצאת בדליפה ש-HIBP טען למאגר שלו, לא שאף אחד לא מכר אותה. כדאי להפעיל את ההתראות החינמיות של Notify Me. אם יש לך כתובות נפרדות לכל חברה בדומיין משלך, Domain Search (חיפוש לפי דומיין) מראה אילו מהן מופיעות באיזו דליפה, אחרי שמאמתים את הדומיין (דומיינים גדולים יותר דורשים בדרך כלל מינוי). דוח הרשת האפלה (dark web report) של Google, שמדריכים ישנים ממליצים עליו, הופסק בתחילת 2026.

שלב 4: פונים ישירות לחברות

האיחוד האירופי ובריטניה: שואלים מאיפה הכתובת הגיעה ולאן היא עברה

זכות העיון במידע (right of access) מאפשרת לך לשאול שתי חברות שתי שאלות:

שואלים את השולח מאיפה השיג את הכתובת שלך. סעיף 15(1)(g) ל-GDPR מקנה לך “כל מידע זמין לגבי מקורם”, והנחיות השקיפות שאומצו על ידי המועצה האירופית להגנת מידע (EDPB) קובעות שחברה שקיבלה את המידע שלך ממקור אחר צריכה לציין את המקור הספציפי, אלא אם היא לא יכולה.
שואלים את החברה החשודה לאילו חברות היא מסרה את הכתובת שלך. לפי סעיף 15(1)(c), בית הדין של האיחוד האירופי פסק בעניין Österreichische Post (C-154/21)‎ שחברה חייבת לציין לפי בקשה את הנמענים בפועל, אלא אם היא עדיין לא יכולה לזהות אותם או שהבקשה חסרת בסיס בעליל או מופרזת. הרגולטור הבריטי להגנת מידע, ה-ICO, אומר את אותו הדבר לגבי UK GDPR.

אף אחת מהבקשות לא מחייבת מישהו לציין מוכר: חברה יכולה לומר שהיא לא יודעת, או שהמידע הגיע מכמה מקורות (Recital 61 במבוא ל-GDPR), אם כי תשובה מתחמקת היא עילה לתלונה. משתמשים בפרטי הקשר שבהודעת הפרטיות של כל חברה, ומדלגים על ספאמרים מובהקים, כי תשובה אליהם מאשרת שהכתובת שלך פעילה.

הנה בקשה שאפשר להעתיק (משמיטים את סעיף 4 כשכותבים לחברה החשודה):

נושא: בקשת עיון במידע לפי סעיף 15 ל-GDPR

לפי סעיף 15 ל-GDPR (או ל-UK GDPR), לגבי כתובת האימייל שלי, you@example.com, נא למסור לי:

מאיפה השגתם אותה, כולל ציון המקור הספציפי (סעיף 15(1)(g)).

לאילו נמענים מסרתם אותה, בשמם (סעיף 15(1)(c)).

איזה מידע אישי אתם מחזיקים עליי, כולל עותק שלו.

מדוע ההודעה הראשונה שלכם אליי, מתאריך [תאריך], לא ציינה את המקור הזה (סעיפים 14(2)(f) ו-14(3)(b)).

בנוסף, הודעה זו מהווה התנגדות לדיוור ישיר (סעיף 21). נא להשיב בתוך חודש (סעיף 12(3)).

[השם שלך]

התשובות ניתנות בדרך כלל בחינם (המועדים מופיעים בטבלה למטה). אחרי שהתנגדת לדיוור ישיר, אי אפשר עוד להשתמש במידע שלך לצורך זה.

אם בבריטניה התשובה לא מגיעה או שהיא מתחמקת, מתלוננים קודם בפני החברה עצמה: לגבי תלונות שהוגשו מאז 19 ביוני 2026, חוק הנתונים (שימוש וגישה) הבריטי מחייב אותה לאשר את קבלת התלונה שלך בתוך 30 יום. אחר כך, בתוך שלושה חודשים מהקשר המשמעותי האחרון שלך עם החברה, מגישים תלונה ל-ICO. באיחוד האירופי, סעיף 77 מאפשר להגיש תלונה לרשות להגנת מידע.

ארצות הברית: קליפורניה ואורגון

בקליפורניה, בקשת “זכות לדעת” (right to know) לפי ה-CCPA מחזירה את קטגוריות המקורות ואת קטגוריות הצדדים השלישיים, וגם את המידע האישי שמוחזק עליך, אבל לא תציין מי מכר את הכתובת שלך. התשובות ניתנות בחינם. אפשר גם לדרוש מעסק להפסיק למכור או לשתף את המידע שלך, או לבקש ממנו למחוק את מה שאסף ממך. החוק חל רק על עסקים שעוברים ספים מסוימים, למשל הכנסה שנתית של יותר מ-26,625,000 דולר (נכון לספטמבר 2026).

אם גרים באורגון, חברה שחל עליה חוק הפרטיות של המדינה חייבת, לפי בקשה, למסור רשימה של צדדים שלישיים ספציפיים שהיא מסרה להם מידע, אם כי היא רשאית לפרט את אלה שקיבלו מידע אישי כלשהו ולא דווקא את המידע שלך (ORS 646A.574). הזכויות האלה נובעות מחוקי המדינות, כך שמה שאפשר לבקש תלוי במקום המגורים שלך.

תושבי קליפורניה יכולים גם להשתמש ב-DROP (פלטפורמה לבקשות מחיקה ולהסרה, Delete Request and Opt-out Platform) כדי לשלוח בקשת מחיקה אחת לכל סוחרי המידע (data brokers) הרשומים. הפלטפורמה נפתחה ב-1 בינואר 2026, ומאז 1 באוגוסט 2026 סוחרי המידע חייבים לטפל בבקשות לפחות פעם ב-45 יום. היא מגיעה רק לסוחרי מידע, עסקים שאין לך קשר ישיר איתם, ולא לחנות שנתת לה את הכתובת שלך.

כל אחד יכול לחפש במאגרי סוחרי המידע הרשומים של קליפורניה, ורמונט, טקסס ואורגון. מחפשים בהם את שם החברה השולחת ואת הדומיינים משלב 2. התאמה אומרת לך שהשולח הוא סוחר מידע רשום, אחד העסקים ש-DROP מגיע אליהם אם גרים בקליפורניה.

מה כל בקשה יכולה להשיג לך

מקום המגורים	בקשה	מה החברה חייבת למסור לך או לעשות	מועד
האיחוד האירופי	בקשת עיון במידע לפי GDPR	כל מידע זמין על המקור; הנמענים בשמם, כשאפשר לזהות אותם	חודש אחד, עם אפשרות הארכה בחודשיים נוספים
בריטניה	בקשת עיון (subject access request)	אותו הדבר, אחרי חיפוש סביר ומידתי	חודש אחד, עם אפשרות הארכה בחודשיים נוספים
קליפורניה	“זכות לדעת” לפי CCPA	קטגוריות של מקורות ושל צדדים שלישיים, וגם המידע עצמו	45 יום, עם אפשרות להאריך פעם אחת ב-45 יום
אורגון	בקשת צרכן (ORS 646A.574)	רשימה של צדדים שלישיים ספציפיים שהיא מסרה להם מידע אישי (שלך, או של כל אחד, לפי בחירתה)	45 יום, עם אפשרות להאריך פעם אחת ב-45 יום
בכל ארצות הברית	ביטול הרשמה (CAN-SPAM)	להפסיק לשלוח לך אימיילים, ולא למכור או להעביר את הכתובת שלך	10 ימי עסקים להפסקת המשלוח

בכל מקום: שירות הדיוור

לשירות הדיוור שמופיע ב-DKIM-Signature d=‎, ב-Return-Path או ב-List-Unsubscribe יש כללים משלו. מדיניות השימוש המקובל (Acceptable Use Policy) של Mailchimp, למשל, אוסרת שליחה אל “רשימות שנקנו, הושכרו, של צד שלישי, co-reg, נתונים זמינים לציבור או רשימות שותפים מכל סוג”, ומוקד הדיווח על שימוש לרעה שלה מבקש את “כותרת האימייל המלאה” (שני הדפים נבדקו ב-25 בספטמבר 2026). שולחים למוקד הדיווח של השירות את הכותרות המלאות. הוא לא יגיד לך מי מכר את הכתובת שלך, אבל הוא יכול למנוע מהשולח להשתמש בשירות שלו.

מה עושים כשכבר יודעים

מוציאים את הכתובת משימוש. נותנים לחברה שהדליפה אותה כתובת חדשה, או סוגרים את החשבון, ואז משביתים או מוחקים את הכתובת הישנה. משאירים אותה פעילה עד שכל בקשת עיון במידע נענית, כי התשובה או בדיקת זיהוי עשויות להגיע אליה. אם זו הכתובת הראשית שלך, משתמשים במסננים.
עוצרים את זה. שולחים את ההתנגדות לפי סעיף 21 (האיחוד האירופי, בריטניה), מבטלים הרשמה אצל שולחים לגיטימיים בארצות הברית, או מבקשים לא למכור ולא לשתף את המידע ומשתמשים ב-DROP (קליפורניה). אם ביטול הרשמה כבר נכשל בעבר, כדאי לקרוא למה ביטול הרשמה לא עובד.
מדווחים ב-ReportFraud.ftc.gov בארצות הברית, בכלי הדיווח על אימיילי ספאם של ה-ICO בבריטניה (הוא לא עונה לכל פונה בנפרד), או למוקד הדיווח של שירות הדיוור, ומסמנים את ההודעה כספאם באפליקציית הדואר שלך.
אם מדובר בדליפת נתונים, מאבטחים גם את החשבון (פרטים בשאלות הנפוצות).

האם חברות מוכרות את כתובת המייל שלך, והאם זה חוקי?

כן, חלקן כן. לדברי ה-FTC: “כשנותנים לחברה את כתובת האימייל, היא עשויה לשתף או למכור אותה לצדדים שלישיים.” בארצות הברית החוק הפדרלי מתיר את זה, עד שמבקשים הסרה (opt-out). בבריטניה ובאיחוד האירופי, חברה צריכה את ההסכמה שלך כדי לשלוח לך אימיילים מרשימה שקנתה, ובבריטניה היא צריכה בדרך כלל את ההסכמה שלך גם כדי למכור רשימה כזו.

ארצות הברית: לפי חוק CAN-SPAM הפדרלי, חברה לא צריכה הסכמה כדי לשלוח לך אימייל שיווקי. אחרי שמבקשים הסרה, יש לה 10 ימי עסקים להפסיק, והיא לא רשאית למכור או להעביר את הכתובת שלך. קליפורניה מוסיפה זכות לסרב למכירה, והמונח “מכירה” בחוק שלה כולל גם השכרה או העמדת מידע לרשות אחרים עבור “תמורה אחרת בעלת ערך”, כך שגם החלפה עם שותף יכולה להיחשב מכירה בלי שמעורב כסף. “שיתוף” הוא מונח נפרד, שמתייחס לפרסום התנהגותי חוצה הקשרים (cross-context behavioral advertising).
בריטניה: לפי תקנות הפרטיות והתקשורת האלקטרונית (PECR), חברה יכולה לשלוח אימיילים לאנשים ברשימה שקנתה רק אם הם “הסכימו במפורש לקבל סוג כזה של הודעות” ממנה; הסכמה כללית לכל צד שלישי לא מספיקה, ומכירת רשימה דורשת בדרך כלל את הסכמת האנשים שבה (הנחיות ה-ICO, שנבחנות מחדש בעקבות חוק הנתונים (שימוש וגישה)). על כתובות אימייל של חברות חלים כללים אחרים.
האיחוד האירופי: דירקטיבת ePrivacy מתירה אימייל שיווקי רק אם ניתנה “הסכמה מראש”, חוץ ממוכר ששולח ללקוחות שלו שיווק של מוצרים דומים, חריג שמי שקנה רשימה לא יכול להסתמך עליו.

למה טריק הפלוס הוא ראיה חלשה

“טריק ה-Gmail” הוא להירשם עם כתובת שיש בה תג, כמו you+shopname@example.com כגרסה של you@example.com, ולבדוק איזה תג מופיע בספאם. התיאור של Google עצמה מראה את החולשה: “הודעות שנשלחות לכתובת הנוכחית שלך או לכל וריאציה שלה עם סימן הפלוס מגיעות כולן לתיבת הדואר הנכנס הנוכחית שלך.”

הכתובת האמיתית שלך גלויה לעין. אם מוחקים את התג, הדואר עדיין מגיע אליך, והראיה נעלמת.
לשולח התג לא אומר כלום. רק ספק הדואר שלך מפרש את החלק שלפני ה-@ (RFC 5321, §2.3.11), והתו המפריד משתנה ממערכת למערכת (RFC 5233).
זה מוכיח פחות ממה שנראה. כתובת עם תג שמופיעה בספאם מראה שהיא יצאה מאותה חברה, אבל לא אם היא נמכרה, נמסרה או דלפה בפריצה. ואם לא מגיע ספאם עם תג, זה לא מנקה אף אחד: ייתכן שהתג פשוט הוסר.

טריק הנקודה, כלומר להירשם כ-your.name בחברה אחת וכ-yo.urname בחברה אחרת, חלש עוד יותר: Gmail מתעלם מנקודות בכתובות אישיות, כך שכל אחד יכול להסיר אותן (בחשבונות של מקום עבודה או מוסד לימודים, הנקודות כן נחשבות). עדיין כדאי להשתמש ב-plus addressing לסינון; המדריך ל-plus addressing מסביר איפה הוא עובד.

שלב 5: דואגים שהדליפה הבאה תסגיר את מקורה

השיטה האמינה עובדת קדימה: נותנים לכל חברה כתובת משלה, שלא מכילה את הכתובת האמיתית שלך. דואר מכל גורם אחר לכתובת שנתת לחנות אחת מגלה לך מאיפה היא יצאה, ואפשר להשבית רק את הכתובת הזו.

CatchNone נותן לכל חברה כינוי משלה ומסמן כל הודעה בכינוי שאליו היא הגיעה, כך שכתובת שנמכרה מתגלה בלי לקרוא כותרות. כתובות ‎@catchnone.com דורשות Premium; דומיין שבבעלותך עובד גם במסלול “חינם”.
שירותי כתובות חלופיות (email aliases) כמו הסתרת הדוא״ל שלי של Apple (עם iCloud+‎), ‏DuckDuckGo Email Protection, ‏SimpleLogin, ‏addy.io ו-Firefox Relay מעבירים את הדואר לתיבת הדואר הנכנס שלך. השוואת שירותי כתובות חלופיות מפרטת את ההבדלים.
כתובת catch-all בדומיין משלך מקבלת דואר לכל כתובת בדומיין, כך שאפשר להמציא כתובת חדשה לכל הרשמה. למשל, Cloudflare Email Routing זמין במסלולים חינמיים ובמסלולים בתשלום (נכון לספטמבר 2026), ויש בו כלל catch-all. על היתרונות והחסרונות אפשר לקרוא במאמר מהי כתובת מייל catch-all.

עדיף להשתמש בכתובות רנדומליות ולא בכתובות שקל לנחש, כמו gardenshop@example.com, שספאמר יכול להמציא בעצמו בדומיין עם catch-all, וכדאי לרשום איזו כתובת ניתנה למי.

CatchNone: כל הודעה מראה לאיזו כתובת היא הגיעה

CatchNone נבנה בשביל שלב 5. נותנים לכל חנות, ניוזלטר או חשבון כינוי משלהם, וכל הודעה באפליקציה מסומנת בכינוי שאליו היא הגיעה. כשזר שולח מייל לכתובת שנתת רק לחנות הגינון, התג מראה מאיפה היא יצאה, בלי לקרוא כותרות. הלשונית “פעילות” מצביעה על דואר בכינוי שסימנת כ“לא בשימוש” ועל שולחים בפעם הראשונה, ואפשר לכבות כתובת ‎@catchnone.com שדלפה, כך שהשולחים מקבלים הודעה חוזרת בזמן ששאר הכינויים שלך ממשיכים לעבוד.

עם Premium מקבלים כתובות ‎@catchnone.com רנדומליות כמו abcde-12345@catchnone.com, בלי דומיין, DNS או תיבת דואר להגדיר, וגם דואר שנשלח כעותק מוסתר (Bcc) משויך לכינוי הנכון. אפשר גם להשתמש בדומיין שבבעלותך, שספק הדואר שלך כבר מוסר את הדואר שלו לתיבת דואר: האפליקציה קוראת את תיבת הדואר הזו לקריאה בלבד, דרך IMAP או JMAP, ישירות מהמכשיר שלך, עם עד 10 כינויים במסלול “חינם” וללא הגבלה ב-Lite וב-Premium. CatchNone זמין ל-iPhone, ל-iPad ול-Mac.

הוא עובד קדימה, לא לאחור על כתובות שכבר השתמשת בהן, ואין בו מאגר דליפות או זיהוי דליפות: התגים וההערות בלשונית “פעילות” הם ראיות שצריך לשקול בעצמך. בדומיין משלך הוא קורא רק את תיקיית הדואר הנכנס, ורק דואר שבשדות To, ‏Cc או Bcc שלו מופיעה כתובת בדומיין שלך, כך שספאם שסונן לדואר זבל (Junk) לא יופיע. סימון כינוי שם כ“לא בשימוש” רק מוסיף לו תווית, לכן כתובת שדלפה צריך לחסום אצל ספק הדואר שלך. ההודעות ב-‎@catchnone.com נמחקות 30 יום אחרי שהן מגיעות, לכן כדאי לסמן בדגל כל הודעה שצריך כראיה, כדי לשמור את הטקסט המלא שלה במכשיר.

שאלות נפוצות

מה עושים אם חברה הדליפה את כתובת המייל שלי?

מחפשים את הכתובת ב-Have I Been Pwned כדי לראות באיזו דליפת נתונים היא נכללה ומה עוד דלף יחד איתה. מחליפים את הסיסמה באתר הזה ובכל מקום שבו השתמשת באותה סיסמה, ומפעילים אימות דו-שלבי. כדאי לצפות להודעות פישינג שמצטטות את הפרטים שדלפו, ולא ללחוץ על קישורים בהודעות שמזכירות את הדליפה. אם נתת לחברה הזו כתובת משלה, מוציאים את הכתובת משימוש ונותנים לחברה כתובת חדשה.

האם LinkedIn או Google מוכרות את כתובת המייל שלי?

אף אחת מהן לא אומרת שהיא מוכרת את המידע האישי שלך, אבל LinkedIn אומרת שהיא משתפת אותו לצורך פרסום חוצה הקשרים. הגילוי שלה בנושא פרטיות לתושבי קליפורניה אומר “אנחנו לא מוכרים את המידע האישי שלך” ומאפשר לתושבי קליפורניה לבקש להפסיק את השיתוף הזה. מרכז הבטיחות של Google אומר “אנחנו אף פעם לא מוכרים את המידע האישי שלך לאף אחד”, ומדיניות הפרטיות שלה (בתוקף מ-26 במאי 2026) אומרת שהיא משתפת מידע אישי מחוץ ל-Google רק במקרים המפורטים בה, והראשון שבהם הוא בהסכמתך. שלושת הדפים נבדקו ב-25 בספטמבר 2026. לגבי חברות אחרות, קוראים את מדיניות הפרטיות ובוחנים בנפרד את המונח “מכירה” ואת המונח “שיתוף”.

מי קונה כתובות מייל?

סוחרי מידע, מתווכי רשימות ומשווקים; מאגרי המדינות שהוזכרו למעלה מפרטים סוחרי מידע רשומים. הסחר יכול להיות גלוי לגמרי: בפרשת Österreichische Post, חברת הדואר האוסטרית אמרה שהיא מציעה מידע אישי “לשותפים עסקיים למטרות שיווק”, ובהמשך פירטה נמענים, ובהם “ספקי רשימות תפוצה”. הפרשה ההיא עסקה במידע שהחזיקה חברת דואר, לא בכתובות אימייל.