Czy link do wypisania się może być groźny? Kiedy go klikać

Tak, linki do wypisania się mogą być niebezpieczne, a te ryzykowne trafiają się w poczcie od nieznanych nadawców. W wiadomości, która naprawdę pochodzi z newslettera albo sklepu, w którym masz subskrypcję lub konto, link do wypisania się jest bezpieczny i to najszybszy sposób, żeby e-maile przestały przychodzić. W spamie albo w podejrzanym mailu, który może być oszustwem, nie klikaj go: kliknięcie może potwierdzić, że twój adres działa, albo otworzyć fałszywą stronę logowania, więc zamiast tego zgłoś wiadomość.

Wbudowany przycisk do wypisania się w twojej aplikacji pocztowej jest zwykle bezpieczniejszą drogą. Ale każdy sposób wypisania się mówi nadawcy, że twój adres jest aktywny. Przy firmie, która i tak zna twój adres, jest to nieszkodliwe, a spamerowi daje dokładnie to, czego chce. Aby listy w ogóle nie trafiały na twój główny adres, CatchNone daje każdemu sklepowi i newsletterowi osobny adres i otwiera ich pocztę z zablokowanymi obrazami zdalnymi — na urządzeniach iPhone, iPad i Mac. Opisane niżej menu i zasady sprawdziliśmy we wrześniu 2026 roku w dokumentacji Google, Apple, Microsoftu i Yahoo.

Czy link do wypisania się jest bezpieczny? To zależy od nadawcy

Spójrz na ostatnią kolumnę. Wypisanie się — linkiem, przyciskiem czy e-mailem — to wiadomość do nadawcy. RFC 8058, standard, na którym opiera się wypisanie się jednym kliknięciem, stwierdza, że daje ono nadawcy „silną wskazówkę, że adres, na który wysłano wiadomość, był prawidłowy”. Blokowanie i usuwanie dzieją się po twojej stronie, a zgłoszenie nie trafia bezpośrednio do nadawcy. A czy samo otwarcie maila jest niebezpieczne? Otwarcie wiadomości i wczytanie jej obrazów mogło już dać znać nadawcy — na tym polega śledzenie e-maili pikselem.

Nie masz pewności, że e-mail naprawdę pochodzi od tej firmy? Pomiń jego link. Amerykańska Federalna Komisja Handlu (FTC) w swoich poradach dotyczących phishingu zaleca, by „kontaktować się z firmą przez numer telefonu lub stronę internetową, o których wiesz, że są prawdziwe — a nie przez informacje z e-maila”. Otwórz aplikację firmy albo samodzielnie wpisz adres jej strony, zaloguj się i wyłącz e-maile marketingowe w ustawieniach konta. W Outlooku znak „?” w miejscu zdjęcia nadawcy oznacza, że Outlook nie mógł zweryfikować nadawcy.

Czym grozi podejrzany link do wypisania się

Potwierdza, że twój adres jest aktywny

Microsoft radzi nigdy nie odpowiadać na wiadomość, „nawet po to, by wypisać się z listy mailingowej”, chyba że znasz nadawcę i mu ufasz, bo odpowiedź na spam potwierdza, że twój adres jest aktywny. Brytyjski urząd ochrony danych ICO pisze, że odpowiedź na spam „pokazuje, że twój adres e-mail jest aktywny”, a klikanie zamieszczonych w nim reklam oznacza, że „możesz dostawać więcej e-maili”. Apple zwraca uwagę, że spamerzy wykorzystują też wczytywanie obrazów, żeby sprawdzić, czy konto jest aktywne.

Fałszywa strona prosi o hasło

Niektóre linki „do wypisania się” prowadzą na stronę, która prosi o zalogowanie się, żeby zarządzać subskrypcją. Porady Google dotyczące phishingu są jednoznaczne: jeśli link prosi o hasło, „nie podawaj swoich danych, tylko przejdź bezpośrednio na stronę, z której chcesz skorzystać”. Amerykańska agencja CISA ostrzega, że fałszywe strony „mogą wyglądać identycznie jak prawdziwe, ale adres URL może mieć zmienioną pisownię albo inną domenę”.

Podsuwa złośliwy plik do pobrania

FTC podaje, że oszuści czasem wysyłają linki i załączniki, „które po otwarciu lub kliknięciu instalują na urządzeniu szkodliwe oprogramowanie”. Gdy strona podsuwa plik, aplikację albo „aktualizację zabezpieczeń”, to moment, żeby ją zamknąć.

Jak odróżnić prawdziwą stronę wypisania się od fałszywej

Prawdziwe wypisanie się nigdy nie wymaga hasła, płatności ani pobierania plików. Poradnik FTC do ustawy CAN-SPAM mówi, że nadawcy w USA nie mogą pobierać opłaty za usunięcie cię z listy, prosić o dane osobowe „poza adresem e-mail” ani wymagać niczego więcej niż e-maila z odpowiedzią lub wejścia na „jedną stronę w witrynie internetowej”. Wskazówki Yahoo dla nadawców zalecają taki proces wypisania się, który „nie wymaga od użytkowników logowania”. Zamknij stronę, jeśli:

• każe ci się zalogować, zanim będzie można się wypisać;
• chce czegoś więcej niż adres e-mail albo prosi o dane karty;
• proponuje plik do pobrania albo aplikację do zainstalowania.

Strona z potwierdzeniem i jednym przyciskiem do wypisania się to nic niezwykłego: Mailchimp kieruje na taką stronę kliknięcia w link w stopce. Sam link w innej domenie niż domena marki też nie jest jeszcze sygnałem ostrzegawczym, bo platformy takie jak Mailchimp wymagają od nadawców, by używali „linku do wypisania się, który udostępniamy”. Domena ma znaczenie dopiero wtedy, gdy strona prosi o zalogowanie.

Jak często linki do wypisania się są niebezpieczne?

Nikt nie publikuje wiarygodnych danych. DNSFilter, firma zajmująca się bezpieczeństwem DNS, powiedziała w czerwcu 2025 roku dziennikowi „The Wall Street Journal”, że mniej więcej 1 na 644 kliknięcia w linki ze słowem „unsubscribe” w adresie prowadziło do potencjalnie złośliwych stron. Nie opublikowała, jak to zmierzyła, więc traktuj to jako znak, że ryzyko jest realne, a nie jako prawdopodobieństwo w twoim przypadku.

Czy przycisk wypisania się w aplikacji pocztowej jest bezpieczniejszy niż link?

Zwykle tak. Listy mailingowe mogą dodawać ukryty nagłówek List-Unsubscribe, który mówi twojej aplikacji pocztowej, jak usunąć cię z listy. Pochodzi z RFC 2369 z 1998 roku i może zawierać adres strony, adres e-mail albo oba. Gdy aplikacja go znajdzie, może wyświetlić własny przycisk do wypisania się.

Jest bezpieczniejszy z dwóch powodów:

• Gmail i Yahoo decydują, czy go pokazać. FAQ Gmaila dla nadawców podaje, że przycisk pojawia się „tylko przy wiadomościach, które przejdą automatyczne kontrole kwalifikacji Google”, a obejmują one zasady dla nadawców i zgłoszenia spamu od odbiorców. Yahoo pokazuje swój niebieski przycisk Unsubscribe (Anuluj subskrypcję) obok adresu w polu From (Od) tylko przy poprawnym nagłówku wypisania jednym kliknięciem i „wystarczającej reputacji i zaangażowaniu” (FAQ Yahoo dla nadawców). Nie każda aplikacja sprawdza nadawców w ten sposób: Apple nie opisuje takiej kontroli, a niektóre aplikacje pokazują przycisk przy każdej wiadomości z tym nagłówkiem, także przy spamie.
• Wypisanie jednym kliknięciem nie otwiera żadnej strony. Aplikacja wysyła w tle jedno żądanie. RFC 8058 stanowi, że „NIE MOŻE ono zawierać plików cookie, autoryzacji HTTP ani żadnych innych informacji kontekstowych”, a nadawca nie może go przekierować. Nie ma się gdzie logować ani czego pobierać.

Nie daje to jednak gwarancji:

• „Wejdź na stronę”. Gmail podaje, że niektórzy nadawcy każą zamiast tego wejść na swoją stronę: to ten sam rodzaj strony co link w e-mailu.
• Wypisanie się przez e-mail. Gdy aplikacja używa adresu mailto: z nagłówka, efektem jest e-mail z twojego adresu do listy — właśnie taka odpowiedź, przed którą ostrzega Microsoft.
• Nadal potwierdza twój adres. Według RFC 8058 żądanie musi zawierać „wystarczająco dużo informacji, by zidentyfikować odbiorcę poczty i listę”.
• Nie dowodzi uczciwości nadawcy. Wypisanie jednym kliknięciem wymaga podpisu DKIM, który pokazuje, która domena podpisała wiadomość, a nie to, że ta domena jest godna zaufania. Spamer może podpisywać pocztę z własnej domeny.
• Obejmuje jedną listę. Gmail zaznacza, że przycisk „może wypisać cię tylko z jednej listy mailingowej danego nadawcy”.

Dlatego używaj przycisku przy nadawcach, których rozpoznajesz, a spam zgłaszaj, zamiast się z niego wypisywać.

Co to jest wypisanie się jednym kliknięciem?

Wypisanie się jednym kliknięciem (one-click unsubscribe), opisane w RFC 8058 w 2017 roku, dodaje drugi nagłówek, List-Unsubscribe-Post, dzięki któremu aplikacja pocztowa może usunąć cię z listy jednym żądaniem HTTPS wysłanym w tle: bez strony internetowej i bez e-maila. Na telefonach nazywa się je czasem wypisaniem jednym stuknięciem (one-tap unsubscribe). Oto przykład z RFC. Aby zobaczyć nagłówki prawdziwej wiadomości w Gmailu w przeglądarce, otwórz ją, kliknij More (Więcej) obok Reply (Odpowiedz), a potem Show original (Pokaż oryginał).

List-Unsubscribe:
    <mailto:listrequest@example.com?subject=unsubscribe>,
    <https://example.com/unsubscribe.html?opaque=123456789>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe podaje sposoby wypisania się: adres e-mail i adres strony.
• opaque=123456789 to część, która identyfikuje ciebie i listę.
• List-Unsubscribe-Post umożliwia wypisanie jednym kliknięciem: aplikacja wysyła POST /unsubscribe.html?opaque=123456789 z treścią List-Unsubscribe=One-Click i żadna strona się nie otwiera.

Wypisanie jednym kliknięciem powstało, bo oprogramowanie antyspamowe, które automatycznie otwiera adres do wypisania się podany w nagłówkach, przypadkowo wypisywało ludzi z list, więc nadawcy dodali strony z potwierdzeniem. Żądanie POST pozwala nadawcom odróżnić twoje żądanie od takich automatycznych pobrań, więc strona z potwierdzeniem nie jest potrzebna. Aplikacja nie może go wysłać „bez zgody użytkownika” i dlatego prosi cię o potwierdzenie.

Gdzie znaleźć wbudowany przycisk wypisania się

Gmail

W przeglądarce oraz na Androidzie, iPhonie i iPadzie przycisk wypisania się jednym kliknięciem w Gmailu znajduje się obok nazwy nadawcy (instrukcja Google):

1. Otwórz e-mail z listy, z której chcesz się wypisać.
2. Obok nazwy nadawcy kliknij lub stuknij „Anuluj subskrypcję”.
3. W wyskakującym okienku wybierz „Anuluj subskrypcję” albo „Wejdź na stronę”.

Zanim poczta przestanie przychodzić, może minąć kilka dni. Widok „Zarządzaj subskrypcjami” w Gmailu, wprowadzony w lipcu 2025 roku i nadal „stopniowo udostępniany”, wypisuje cię od razu ze wszystkich aktywnych list danego nadawcy i przenosi jego nową pocztę do folderu „Spam”. Aby go otworzyć, w przeglądarce kliknij More (Więcej) > „Zarządzaj subskrypcjami”, a w aplikacjach stuknij Menu > „Zarządzaj subskrypcjami”.

Poczta na Macu

W systemach macOS 26 i macOS 27 wiadomości z list mailingowych oznacza baner pod nagłówkiem. Kliknij Unsubscribe (Anuluj subskrypcję) na banerze, a potem OK w komunikacie (instrukcja Apple). Apple nie opisuje, czy Poczta wysyła żądanie wypisania jednym kliknięciem, czy e-mail z twojego konta, więc używaj tej opcji tylko przy nadawcach, których znasz.

iPhone i iPad

Podręczniki Apple do iPhone’a i iPada nie opisują przycisku do wypisania się wewnątrz wiadomości. Opisują za to iCloud Mail Cleanup (porządkowanie Poczty w iCloud), które działa tylko z Pocztą w iCloud i nie jest dostępne we wszystkich językach. Funkcja proponuje nadawców z kategorii Updates (Aktualizacje) i Promotions (Promocje) i przenosi ich przyszłą pocztę do folderu Trash (Kosz). W iOS 26 i 27 znajdziesz ją w Ustawienia > [twoje imię i nazwisko] > iCloud > Poczta > iCloud Mail Cleanup; pełne kroki opisujemy w artykule o tym, jak znaleźć listy mailingowe, na których jesteś.

Jeśli Poczta pokazuje u góry wiadomości własny przycisk Unsubscribe (Anuluj subskrypcję), Apple również nie wyjaśnia, jak on działa, więc używaj go tylko przy nadawcach, których znasz.

Outlook.com

Microsoft nie opisuje przycisku do wypisania się przy pojedynczej wiadomości w Outlook.com, nowym Outlooku ani aplikacjach Outlook. Zamiast tego Outlook.com wyświetla rozpoznanych nadawców w Settings (Ustawienia) > Mail (Poczta) > Subscriptions (Subskrypcje), z opcją Unsubscribe (Anuluj subskrypcję) przy każdym z nich. W niektórych aplikacjach okno zgłaszania też proponuje wypisanie się; przy poczcie, której nie ufasz, wybierz zwykłe zgłoszenie albo zablokowanie.

Dlaczego w niektórych e-mailach nie ma przycisku wypisania się?

Zwykle dlatego, że wiadomość nie przeszła kontroli twojego dostawcy poczty albo nie ma nagłówka, którego da się użyć:

• Kontrole Gmaila i Yahoo. Jak opisaliśmy wyżej, poprawny nagłówek nie wystarczy, jeśli wiadomość ich nie przejdzie. Google zaznacza, że tak jest, „nawet gdy nadawcy dodają własny link do wypisania się w treści wiadomości”.
• Wyjątki w Outlook.com. Opcja może się nie pojawić przy poczcie odfiltrowanej jako niechciana ani przy nadawcach z twojej listy zablokowanych.
• Brak podpisu DKIM. Według RFC 8058 bez takiego podpisu aplikacja „NIE POWINNA oferować wypisania się jednym kliknięciem”.
• Poczta transakcyjna. E-paragony, resety haseł i kody jednorazowe to nie subskrypcje, a Gmail i Yahoo nie wymagają przy nich wypisania się jednym kliknięciem.
• Nadawcy, którzy tego nie skonfigurowali. Bez nagłówka List-Unsubscribe aplikacja nie ma czego pokazać.

Brak przycisku nie oznacza, że wiadomość jest oszustwem, a jego obecność nie dowodzi uczciwości nadawcy.

Dlaczego wypisanie się jednym kliknięciem upowszechniło się w 2024 roku

Google ogłosił 3 października 2023 roku zasady dla nadawców masowych, a Yahoo poparło te same zmiany. Ich zasady według stanu na wrzesień 2026 roku:

Pozostali wymagają mniej. Zasady Microsoftu dla Outlook.com, obowiązujące od 5 maja 2025 roku, wymagają SPF, DKIM i DMARC od domen wysyłających ponad 5000 e-maili dziennie, ale działający link do wypisania się tylko zalecają. Strona Poczty w iCloud dla postmasterów prosi nadawców masowych o „link do wypisania się”.

W Gmailu liczy się tylko nagłówek: FAQ Google podaje, że linki do wypisania się typu mailto: i URL „nie spełniają naszego wymogu wypisania się jednym kliknięciem”, a od listopada 2025 roku Gmail zaczął „zaostrzać egzekwowanie” tych zasad, w tym odrzucać wiadomości. To zasady dostawców, a nie przepisy prawa; prawne minimum opisujemy w sekcji z pytaniami poniżej.

Wypisać się, zgłosić spam, zablokować czy zgłosić phishing?

Dwa szczegóły często wprowadzają w błąd. W Gmailu zablokowanie nadawcy „nie wypisuje cię automatycznie z jego listy mailingowej”, jak ujmuje to pomoc Google dotycząca subskrypcji. W Outlooku po zgłoszeniu phishingu nadawca zostaje zgłoszony, ale nie zablokowany, więc jeśli dalej pisze, zablokuj go też.

Ścieżki zgłaszania i blokowania w Gmailu, Outlooku i Poczcie Apple oraz to, co zrobić ze spamem, który i tak dalej przychodzi, opisujemy w artykule o tym, co naprawdę ogranicza spam. Jedną z nich łatwo przeoczyć: w Gmailu na komputerze opcja Report phishing (Zgłoś phishing) jest w menu More (Więcej) obok Reply (Odpowiedz). Jeśli prawdziwa firma nadal wysyła pocztę po wypisaniu się, typowe przyczyny znajdziesz w artykule o tym, dlaczego wypisanie się nie działa.

Co zrobić po kliknięciu w podejrzany link do wypisania się

Przypadkowe kliknięcie lub stuknięcie „wypisz się” w spamie? To, co zrobić, zależy od tego, co stało się potem:

• Tylko kliknięcie lub stuknięcie. Zamknij stronę, zgłoś e-mail jako spam lub phishing i usuń go. Kliknięcie mogło potwierdzić twój adres, więc może przyjść więcej spamu.
• Coś się pobrało. Nie otwieraj tego, tylko usuń. FTC zaleca: „zaktualizuj oprogramowanie zabezpieczające komputera. Potem uruchom skanowanie i usuń wszystko, co wskaże jako problem”.
• Wpisane hasło. Wejdź na prawdziwą stronę samodzielnie, a nie przez e-mail, i od razu zmień hasło. Potem zmień je wszędzie, gdzie było używane. Włącz uwierzytelnianie dwuskładnikowe i sprawdź, czy nie ma logowań, których nie rozpoznajesz; nasz poradnik o tym, jak sprawdzić, czy ktoś włamał się na twoje konto e-mail, omawia konta Google, Microsoft i Apple.
• Podane dane karty lub konta bankowego. Natychmiast skontaktuj się z bankiem albo wydawcą karty. W USA wejdź też na IdentityTheft.gov. W Wielkiej Brytanii zgłoś to na reportfraud.police.uk albo zadzwoń pod numer 0300 123 2040 (Anglia, Walia i Irlandia Północna) lub do Police Scotland pod numer 101.

Jeśli chcesz zgłosić e-mail nie tylko dostawcy poczty, ale też APWG i FTC w USA albo NCSC w Wielkiej Brytanii, zajrzyj do artykułu o tym, gdzie zgłaszać spam i phishing.

Koniec z wypisywaniem się: osobny adres dla każdej listy

Czystsze rozwiązanie działa wcześniej, u źródła: daj każdemu sklepowi i newsletterowi osobny adres. Gdy jedna lista cię ignoruje, sprzedaje twój adres albo pada ofiarą wycieku danych, dotyczy to tylko tego adresu, a ty możesz go filtrować albo wyłączyć, nie ruszając pozostałych. Porady Apple dotyczące spamu kończą się zaleceniem: „używaj aliasu e-mail”.

Najprostsza wersja to adres z plusem (plus addressing): u dostawców, którzy go obsługują, w tym w Gmailu, poczta wysłana na you+shop@example.com trafia na you@example.com. Każdy może jednak usunąć dopisek, więc nadawca i tak może odgadnąć twój główny adres. Osobne aliasy go nie zdradzają, a opisany niżej CatchNone daje ci osobny alias dla każdej listy i pokazuje ich pocztę we własnej aplikacji. Nasz poradnik o tym, jakiego adresu używać do rejestracji, porównuje dostępne opcje.

Osobny adres dla każdej listy z CatchNone

CatchNone daje każdemu sklepowi, newsletterowi czy kontu osobny adres: losowy adres @catchnone.com w planie Premium, bez konfigurowania domeny ani skrzynki, albo adres w domenie, która należy do ciebie — do 10 w planie Darmowy i bez limitu w planach Lite i Premium. Każda wiadomość ma plakietkę z aliasem, na który przyszła, więc lista, która sprzedaje twój adres albo dopuszcza do jego wycieku, wychodzi na jaw. Z założenia służy tylko do odbioru: poczta z rejestracji zostaje w osobnej aplikacji. Wiadomości otwierają się z wyłączonym JavaScriptem, a obrazy zdalne, w tym większość pikseli śledzących, pozostają zablokowane, dopóki ich nie wczytasz. Jeśli lista cię ignoruje albo alias przyciąga spam, wyłącz jego alias @catchnone.com, a wiadomości od nadawców będą do nich wracać, podczas gdy pozostałe aliasy działają dalej; we własnej domenie zablokuj adres u swojego dostawcy.

Przycisk „Wypisz się” w CatchNone najpierw prosi o potwierdzenie. Przy listach z wypisaniem jednym kliknięciem wysyła potem żądanie z twojego urządzenia, bez plików cookie i bez strony internetowej, choć lista nadal widzi adres IP twojego urządzenia i dowiaduje się, że alias jest aktywny. W przeciwnym razie, jeśli lista podaje adres e-mail, otwiera w twojej zwykłej aplikacji pocztowej e-mail z wpisanym już adresatem, wysyłany z twojego prawdziwego adresu. Jeśli nie, otwiera stronę nadawcy. Linki otwierają się w przeglądarce bez zmian, a przycisk pojawia się przy każdej wiadomości z nagłówkiem List-Unsubscribe, bo CatchNone nie sprawdza DKIM ani reputacji nadawcy, więc używaj go przy listach, które rozpoznajesz. Pobierz CatchNone na iPhone’a, iPada i Maca.

Najczęstsze pytania

Czy wypisywanie się z e-maili na iPhonie jest bezpieczne?

Przy znanych nadawcach tak: w aplikacji Gmail stuknij „Anuluj subskrypcję” obok nazwy nadawcy, w Poczcie w iCloud użyj iCloud Mail Cleanup, a w pozostałych przypadkach skorzystaj z linku w e-mailu. Spam przesuń w lewo, stuknij More (Więcej), a potem Move to Junk (Przenieś do folderu Niechciane). Apple sugeruje też włączenie „Chroń aktywność w Poczcie” (Ustawienia > Aplikacje > Poczta > „Ochrona prywatności”), a nasz poradnik o tym, jak działa Ochrona prywatności w Poczcie, wyjaśnia, co to zmienia.

Czy wypisywać się ze spamu?

Nie. Spam to nie lista, na którą się zapisano, więc nie ma się z czego wypisywać, a kliknięcie, stuknięcie lub odpowiedź mogą potwierdzić, że twój adres jest aktywny. Oznacz go jako spam lub niechcianą wiadomość — to uczy filtr i nie trafia bezpośrednio do nadawcy — a potem usuń; jeśli ten sam nadawca dalej pisze, zablokuj adres. Wypisuj się tylko z list, na które się zapisano, a każdą listę, która ignoruje twoje wypisanie się, oznacz jako spam.

Co się dzieje po kliknięciu „Anuluj subskrypcję” w Gmailu?

W wyskakującym okienku potwierdzasz wybór przyciskiem „Anuluj subskrypcję” albo — przy nadawcach, którzy wymagają własnej strony — dostajesz opcję „Wejdź na stronę”. Zanim poczta przestanie przychodzić, może minąć kilka dni. Jeśli nadawca napisze ponownie po wypisaniu się, Gmail przeniesie nową pocztę do folderu „Spam”.

Czy zgłoszenie spamu informuje nadawcę?

W Gmailu nie imiennie: zgłoszenie przenosi wiadomość do folderu „Spam” i uczy filtr, a informacje zwrotne Gmaila dla nadawców masowych to zbiorcze dane o skargach dla każdej kampanii. W Yahoo jest inaczej: jego Complaint Feedback Loop (pętla informacji o skargach) wysyła zapisanym nadawcom raport z nagłówkami wiadomości, gdy oznaczysz ich pocztę jako spam. Przy liście, na którą rzeczywiście się zapisano, Google radzi zamiast tego się wypisać.

Czy link do wypisania się jest wymagany przez prawo?

W USA ustawa CAN-SPAM wymaga, by e-maile handlowe zawierały działającą możliwość rezygnacji, realizowaną w ciągu 10 dni roboczych; przycisk wypisania się jednym kliknięciem wynika z zasad Gmaila i Yahoo dla nadawców, a nie z przepisów. Terminy w poszczególnych krajach opisujemy w artykule o tym, dlaczego wypisanie się nie działa.