Cancelar inscrição em e-mails é seguro? Quando clicar

Sim, links para cancelar inscrição em e-mails podem ser maliciosos, e os perigosos aparecem em mensagens de remetentes que você não conhece. Em e-mails que vêm mesmo de uma newsletter ou loja em que você se cadastrou, o link de cancelar inscrição é seguro e é o jeito mais rápido de parar de receber essas mensagens. Em spam ou em uma mensagem que você suspeita ser golpe, não clique: o clique pode confirmar que seu endereço funciona ou abrir uma página de login falsa, então denuncie a mensagem.

O botão de cancelar inscrição do seu próprio app de e-mail (“Cancelar inscrição” no Gmail, “Cancelar Assinatura” no Mail da Apple) costuma ser o caminho mais seguro. Mas qualquer forma de descadastrar avisa ao remetente que seu endereço está ativo. Isso não faz mal com uma empresa que já tem seu endereço, e é exatamente o que um spammer quer. Para manter as listas longe do seu endereço principal desde o início, o CatchNone dá a cada loja e a cada newsletter um endereço próprio e abre os e-mails delas com as imagens remotas bloqueadas, no iPhone, no iPad e no Mac. Os menus e as regras abaixo foram conferidos na documentação do Google, da Apple, da Microsoft e do Yahoo em setembro de 2026.

O link de cancelar inscrição é seguro? Depende de quem enviou

Veja a última coluna. Cancelar a inscrição, seja por link, botão ou e-mail, é uma mensagem para o remetente. A RFC 8058, o padrão por trás do cancelamento de inscrição com um clique, diz que ele dá “uma forte indicação ao remetente de que o endereço para o qual a mensagem foi enviada era válido”. Bloquear e apagar ficam do seu lado, e denunciar não entra em contato direto com o remetente. Abrir uma mensagem e carregar as imagens dela pode já ter avisado o remetente, que é como funciona o rastreamento por pixel em e-mails.

Não tem certeza de que o e-mail vem mesmo da empresa? Ignore o link dele. A orientação sobre phishing da FTC, a Comissão Federal de Comércio dos EUA, é “entrar em contato com a empresa por um telefone ou site que você sabe que é verdadeiro, e não pelas informações do e-mail”. Abra o app da empresa ou digite você mesmo o endereço do site, entre na sua conta e desative os e-mails de marketing nas configurações da conta. No Outlook, um “?” na foto do remetente significa que o Outlook não conseguiu verificar o remetente.

Como um link de descadastro pode ser malicioso

Ele confirma que seu endereço está ativo

A Microsoft recomenda nunca responder a uma mensagem, “nem mesmo para cancelar a inscrição em uma lista de e-mails”, a menos que você conheça o remetente e confie nele, porque responder a spam confirma que seu endereço está ativo. O ICO, a autoridade de proteção de dados do Reino Unido, diz que responder a spam “mostra que seu endereço de e-mail está ativo” e que clicar nos anúncios dele significa que “você pode receber mais e-mails”. A Apple observa que spammers também usam o carregamento de imagens para verificar se uma conta está ativa.

Uma página falsa pede sua senha

Alguns links de “cancelar inscrição” levam a uma página que pede para você entrar na sua conta para gerenciar a inscrição. A orientação do Google sobre phishing é direta: se um link pedir sua senha, “não digite suas informações; acesse diretamente o site que você quer usar”. A CISA, a agência de cibersegurança dos EUA, alerta que sites falsos “podem parecer idênticos a um site legítimo, mas o URL pode usar uma grafia diferente ou outro domínio”.

Ele empurra um download malicioso

A FTC diz que golpistas às vezes enviam links e anexos “que, se abertos ou clicados, instalam malware nocivo no dispositivo”. Se uma página insiste em um arquivo, um app ou uma “atualização de segurança”, é hora de fechá-la.

Como diferenciar uma página real de cancelamento de inscrição de uma falsa

Um cancelamento de inscrição real nunca precisa da sua senha, de um pagamento ou de um download. O guia da FTC sobre a CAN-SPAM diz que remetentes dos EUA não podem cobrar taxa para tirar você de uma lista, pedir informações pessoais “além de um endereço de e-mail” nem exigir mais do que um e-mail de resposta ou a visita a “uma única página em um site da internet”. As orientações do Yahoo para remetentes recomendam um processo de cancelamento que “não exija que os usuários façam login”. Feche a página se ela:

• pedir que você entre na sua conta antes de poder cancelar a inscrição;
• quiser mais do que seu endereço de e-mail, ou pedir dados do cartão;
• oferecer um arquivo para baixar ou um app para instalar.

Uma página de confirmação com um único botão de cancelar inscrição é normal: o Mailchimp leva os cliques no link do rodapé para uma página assim. Um link em um domínio diferente do da marca também não é, por si só, um sinal de alerta, porque plataformas como o Mailchimp obrigam os remetentes a usar “o link de cancelamento de inscrição que fornecemos”. O domínio passa a importar quando a página pede para você entrar na sua conta.

Com que frequência links de cancelar inscrição são perigosos?

Ninguém publica uma taxa confiável. A DNSFilter, uma empresa de segurança de DNS, disse ao Wall Street Journal em junho de 2025 que cerca de 1 em cada 644 cliques em links com “unsubscribe” no endereço levava a sites potencialmente maliciosos. A empresa não publicou como fez essa medição, então encare o número como um sinal de que o risco é real, não como a sua probabilidade.

O botão de cancelar inscrição do seu app de e-mail é mais seguro que o link?

Geralmente, sim. Listas de e-mails podem incluir um cabeçalho oculto, List-Unsubscribe, que diz ao seu app de e-mail como tirar você da lista. Ele vem da RFC 2369, de 1998, e pode conter um endereço web, um endereço de e-mail ou os dois. Quando seu app o encontra, pode mostrar o próprio controle de cancelar inscrição.

Ele é mais seguro por dois motivos:

• O Gmail e o Yahoo decidem se vão mostrá-lo. As perguntas frequentes do Gmail para remetentes dizem que o botão aparece “apenas em mensagens que passam nas verificações automáticas de qualificação do Google”, que incluem as regras para remetentes e as denúncias de spam dos destinatários. O Yahoo só mostra o botão azul “Unsubscribe” (Cancelar inscrição) ao lado do endereço do remetente quando há um cabeçalho de um clique correto e “reputação e engajamento suficientes” (perguntas frequentes do Yahoo para remetentes). Nem todo app avalia remetentes assim: a Apple não documenta uma verificação desse tipo, e alguns apps mostram o botão em qualquer mensagem que traga o cabeçalho, inclusive spam.
• O cancelamento com um clique não abre nenhuma página web. Seu app envia uma única solicitação em segundo plano. A RFC 8058 diz que ela “NÃO DEVE incluir cookies, autorização HTTP nem qualquer outra informação de contexto”, e o remetente não pode redirecioná-la. Não há onde fazer login nem nada para baixar.

Mas não é uma garantia:

• “Go to website” (Acessar o site). O Gmail diz que alguns remetentes fazem você visitar o site deles: o mesmo tipo de página do link no e-mail.
• Cancelamentos por e-mail. Quando um app usa o endereço mailto: do cabeçalho, o resultado é um e-mail do seu endereço para a lista, justamente o tipo de resposta contra o qual a Microsoft alerta.
• Ele ainda confirma seu endereço. A RFC 8058 diz que a solicitação precisa levar “informações suficientes para identificar o destinatário do e-mail e a lista”.
• Ele não prova que o remetente é honesto. O cancelamento com um clique exige uma assinatura DKIM, que mostra qual domínio assinou a mensagem, e não que esse domínio seja confiável. Um spammer pode assinar e-mails do próprio domínio.
• Ele vale para uma lista só. O Gmail diz que ele “pode cancelar sua inscrição em apenas uma lista de e-mails do remetente”.

Então use o botão com remetentes que você reconhece e, no caso de spam, denuncie em vez de cancelar a inscrição.

O que é o cancelamento de inscrição com um clique?

O cancelamento de inscrição com um clique, definido na RFC 8058 em 2017, acrescenta um segundo cabeçalho, List-Unsubscribe-Post, para que seu app de e-mail possa tirar você de uma lista com uma única solicitação HTTPS em segundo plano: sem página web e sem e-mail. No celular, às vezes ele é chamado de cancelamento com um toque. Veja o exemplo da RFC. Para ver os cabeçalhos de uma mensagem real no Gmail na web, abra a mensagem, clique em “More” (Mais), ao lado de “Reply” (Responder), e depois em “Show original” (Mostrar original).

List-Unsubscribe:
    <mailto:listrequest@example.com?subject=unsubscribe>,
    <https://example.com/unsubscribe.html?opaque=123456789>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe lista as saídas: um endereço de e-mail e um endereço web.
• opaque=123456789 é a parte que identifica você e a lista.
• List-Unsubscribe-Post torna o cancelamento de um clique: seu app envia POST /unsubscribe.html?opaque=123456789 com o corpo List-Unsubscribe=One-Click, e nenhuma página abre.

O cancelamento com um clique existe porque softwares antispam que acessam automaticamente o endereço de cancelamento nos cabeçalhos estavam descadastrando pessoas por engano, e por isso os remetentes adicionaram páginas de confirmação. Um POST permite que os remetentes diferenciem sua solicitação desses acessos automáticos, então nenhuma página de confirmação é necessária. Seu app não pode enviá-lo “sem o consentimento do usuário”, e é por isso que ele pede sua confirmação.

Onde encontrar o botão de cancelar inscrição do próprio app

Gmail

Na web, no Android, no iPhone e no iPad, o cancelamento com um clique do Gmail fica ao lado do nome do remetente (passos do Google):

1. Abra um e-mail do qual você quer cancelar a inscrição.
2. Ao lado do nome do remetente, clique ou toque em “Cancelar inscrição”.
3. Na janela que aparece, escolha “Cancelar inscrição” ou “Go to website” (Acessar o site).

Pode levar alguns dias para os e-mails pararem. A tela “Manage subscriptions” (Gerenciar inscrições) do Gmail, lançada em julho de 2025 e ainda “sendo liberada gradualmente”, tira você de todas as listas ativas de um remetente de uma vez e manda os novos e-mails desse remetente para “Spam”. Para abri-la, clique em More (Mais) → Manage subscriptions (Gerenciar inscrições) na web, ou toque em Menu → Manage subscriptions (Gerenciar inscrições) nos apps.

Mail da Apple no Mac

No macOS 26 e no macOS 27, uma faixa abaixo do cabeçalho identifica as mensagens de uma lista de e-mails. Clique em “Cancelar Assinatura” na faixa e depois em “OK” no alerta (passos da Apple). A Apple não documenta se o Mail envia uma solicitação de um clique ou um e-mail pela sua conta, então use esse botão só com remetentes que você conhece.

iPhone e iPad

Os guias da Apple para iPhone e iPad não documentam um controle de cancelar inscrição dentro das mensagens. Em vez disso, documentam o iCloud Mail Cleanup (limpeza do Mail do iCloud), que só funciona com o Mail do iCloud e não está disponível em todos os idiomas. Ele sugere remetentes das categorias “Updates” (Atualizações) e “Promotions” (Promoções) e move os próximos e-mails deles para “Trash” (Lixo). No iOS 26 e 27, ele fica em Ajustes → [seu nome] → iCloud → Mail → iCloud Mail Cleanup; os passos completos estão em como descobrir em quais listas de e-mails você está.

Se o Mail mostrar o próprio botão de cancelar inscrição no topo de uma mensagem, a Apple também não explica como ele funciona, então use-o só com remetentes que você conhece.

Outlook.com

A Microsoft não documenta um botão de cancelar inscrição por mensagem no Outlook.com, no novo Outlook nem nos apps do Outlook. Em vez disso, o Outlook.com lista os remetentes que reconhece em Settings (Configurações) → Mail (E-mail) → Subscriptions (Assinaturas), com uma opção “Unsubscribe” (Cancelar inscrição) para cada um. Em alguns apps, a janela de denúncia também oferece o cancelamento da inscrição; para e-mails em que você não confia, escolha a opção simples de denunciar ou de bloquear.

Por que alguns e-mails não têm botão de cancelar inscrição?

Geralmente porque a mensagem não passou nas verificações do seu provedor ou não traz um cabeçalho utilizável:

• As verificações do Gmail e do Yahoo. Como descrito acima, um cabeçalho correto não basta sem passar por elas. O Google diz que isso vale “mesmo quando os remetentes adicionam o próprio link de cancelamento de inscrição ao corpo da mensagem”.
• As exceções do Outlook.com. Talvez a opção não apareça para e-mails filtrados para o lixo eletrônico nem para remetentes da sua lista de bloqueados.
• Sem assinatura DKIM. A RFC 8058 diz que um app “NÃO DEVERIA oferecer um cancelamento de inscrição com um clique” sem ela.
• E-mails transacionais. Recibos, redefinições de senha e códigos de uso único não são inscrições, e o Gmail e o Yahoo não exigem cancelamento com um clique neles.
• Remetentes que nunca configuraram isso. Sem um cabeçalho List-Unsubscribe, seu app não tem o que mostrar.

A falta do botão não significa que a mensagem é golpe, e a presença dele não prova honestidade.

Por que o cancelamento com um clique ficou comum em 2024

O Google anunciou regras para quem envia e-mails em massa em 3 de outubro de 2023, com o apoio do Yahoo às mesmas mudanças. As regras deles em setembro de 2026:

Os outros pedem menos. As regras da Microsoft para o Outlook.com, de 5 de maio de 2025, exigem SPF, DKIM e DMARC de domínios que enviam mais de 5.000 e-mails por dia, mas apenas recomendam um link de cancelamento de inscrição que funcione. A página para postmasters do Mail do iCloud, da Apple, pede a quem envia em massa “um link de cancelamento de inscrição”.

No Gmail, só o cabeçalho conta: as perguntas frequentes do Google dizem que links de cancelamento por mailto: e por URL “não atendem ao nosso requisito de cancelamento de inscrição com um clique”, e a partir de novembro de 2025 o Gmail começou a “intensificar a aplicação” das regras, incluindo rejeições. Essas são regras dos provedores, não leis; o mínimo legal está nas perguntas frequentes abaixo.

Cancelar inscrição, denunciar spam, bloquear ou denunciar phishing?

Dois detalhes confundem as pessoas. No Gmail, bloquear “não cancela automaticamente sua inscrição na lista de e-mails do remetente”, como diz a ajuda do Google sobre inscrições. No Outlook, quando você denuncia phishing, o remetente é denunciado, mas não bloqueado; então bloqueie também se ele continuar escrevendo.

Os caminhos para denunciar e bloquear no Gmail, no Outlook e no Mail da Apple, e o que fazer com o spam que continua chegando mesmo assim, estão em o que realmente reduz o spam. Um que passa despercebido com facilidade: no Gmail no computador, “Report phishing” (Denunciar phishing) fica em “More” (Mais), ao lado de “Reply” (Responder). Se uma empresa real continuar mandando e-mails depois que você cancelou a inscrição, veja por que cancelar a inscrição não funciona para conhecer as causas mais comuns.

O que fazer se você já clicou em um link suspeito de cancelar inscrição

Tocou ou clicou sem querer em cancelar inscrição em um e-mail de spam? O que fazer depende do que aconteceu depois:

• Você só clicou ou tocou. Feche a página, denuncie o e-mail como spam ou phishing e apague-o. O clique pode ter confirmado seu endereço, então mais spam pode vir.
• Algo foi baixado. Não abra; apague. A FTC recomenda “atualizar o software de segurança do seu computador. Depois, fazer uma verificação e remover tudo o que ele identificar como problema”.
• Você digitou uma senha. Acesse você mesmo o site verdadeiro, não pelo e-mail, e troque a senha imediatamente. Depois, troque-a em todos os outros lugares em que você a usou. Ative a verificação em duas etapas e procure logins que você não reconhece; nosso guia para verificar se sua conta de e-mail foi invadida cobre Google, Microsoft e Apple.
• Você informou dados do cartão ou do banco. Entre em contato agora com seu banco ou com o emissor do cartão. Nos EUA, acesse também o IdentityTheft.gov. No Reino Unido, denuncie em reportfraud.police.uk ou ligue para 0300 123 2040 (Inglaterra, País de Gales e Irlanda do Norte), ou ligue para a Police Scotland no 101.

Para denunciar o e-mail além do seu provedor de e-mail, ao APWG e à FTC nos EUA ou ao NCSC no Reino Unido, veja onde denunciar spam e phishing.

Pare de precisar descadastrar: um endereço por lista

A solução mais limpa está na origem: dê a cada loja e newsletter um endereço só dela. Quando uma lista ignora você, vende seu endereço ou sofre um vazamento, só aquele endereço é afetado, e você pode filtrá-lo ou desativá-lo sem mexer no resto. O conselho da Apple sobre spam termina com “use um alias de e-mail”.

A versão mais simples é o endereço com sinal de mais (+): nos provedores que aceitam esse recurso, incluindo o Gmail, e-mails para you+shop@example.com chegam em you@example.com. Mas qualquer um pode apagar a etiqueta, então o remetente ainda consegue descobrir seu endereço principal. Aliases separados não revelam esse endereço, e o CatchNone, logo abaixo, dá a você um para cada lista e mostra os e-mails delas em um app próprio. Nosso guia sobre o que usar nos cadastros compara as opções.

Um endereço por lista, com o CatchNone

O CatchNone dá a cada loja, newsletter ou conta um endereço próprio: um endereço @catchnone.com aleatório com o Premium, sem domínio nem caixa de correio para configurar, ou um endereço em um domínio seu, até 10 no plano Gratuito e ilimitados no Lite e no Premium. Cada mensagem traz o selo do alias em que chegou, então uma lista que vende ou vaza seu endereço fica evidente. Ele só recebe, por design: os e-mails de cadastro ficam em um app só para eles. As mensagens abrem com o JavaScript desativado, e as imagens remotas, incluindo a maioria dos pixels de rastreamento, ficam bloqueadas até você carregá-las. Se uma lista ignorar você ou um alias atrair spam, desative o alias @catchnone.com dela, e os e-mails voltam para o remetente, enquanto seus outros aliases continuam funcionando; no seu próprio domínio, bloqueie o endereço no seu provedor.

O botão “Cancelar inscrição” do app pede sua confirmação primeiro. Em listas com cancelamento de um clique, ele então envia a solicitação a partir do seu dispositivo, sem cookies e sem página web, embora a lista ainda veja o endereço IP do seu dispositivo e fique sabendo que o alias está ativo. Caso contrário, se a lista informar um endereço de e-mail, ele abre um e-mail já endereçado no seu app de e-mail de sempre, enviado do seu endereço real. Se não, ele abre a página do remetente. Os links abrem no seu navegador sem alteração, e o botão aparece em qualquer mensagem com um cabeçalho List-Unsubscribe, já que o CatchNone não verifica DKIM nem a reputação do remetente; por isso, use-o com listas que você reconhece. Baixe o CatchNone para iPhone, iPad e Mac.

Perguntas frequentes

É seguro cancelar inscrição em e-mails no iPhone?

Com remetentes que você conhece, sim: toque em “Cancelar inscrição” ao lado do nome do remetente no app do Gmail, use o iCloud Mail Cleanup (limpeza do Mail do iCloud) no Mail do iCloud ou, fora isso, use o link do e-mail. Com spam, deslize para a esquerda, toque em “More” (Mais) e depois em “Move to Junk” (Mover para Spam). A Apple também sugere ativar “Proteger a Atividade do App Mail” (Ajustes → Apps → Mail → Proteção de Privacidade), e nosso guia sobre como funciona a Proteção de Privacidade do Mail explica o que ela muda.

Devo cancelar a inscrição em e-mails de spam?

Não. Spam não é uma lista em que você entrou, então não há de onde sair, e clicar, tocar ou responder pode confirmar que seu endereço está ativo. Marque como spam ou lixo eletrônico, o que treina seu filtro e não entra em contato direto com o remetente, e depois apague; se o mesmo remetente continuar escrevendo, bloqueie o endereço. Cancele a inscrição só em listas em que você se cadastrou, e marque como spam qualquer lista que ignore seu cancelamento.

O que acontece quando clico em Cancelar inscrição no Gmail?

Uma janela pede que você confirme com “Cancelar inscrição”, ou oferece “Go to website” (Acessar o site) no caso de remetentes que exigem a própria página. Os e-mails podem levar alguns dias para parar. Se o remetente voltar a escrever depois do cancelamento, o Gmail coloca os novos e-mails em “Spam”.

Denunciar spam avisa o remetente?

No Gmail, não de forma individual: denunciar move a mensagem para “Spam” e treina o filtro, e o feedback do Gmail para remetentes em massa são dados agregados de reclamações por campanha. O Yahoo é diferente: o Complaint Feedback Loop dele (ciclo de feedback de reclamações) envia aos remetentes inscritos um relatório, com os cabeçalhos da mensagem, quando você marca os e-mails deles como spam. Para uma lista em que você realmente entrou, a dica do Google é cancelar a inscrição.

A lei exige links de cancelar inscrição?

Nos EUA, a CAN-SPAM exige que e-mails comerciais tragam uma opção de descadastro que funcione, atendida em até 10 dias úteis; o botão de um clique vem das regras do Gmail e do Yahoo para remetentes, não da lei. No Brasil, não existe uma lei específica de e-mail como a CAN-SPAM; a LGPD (Lei 13.709/2018) permite revogar a qualquer momento o consentimento dado para o uso dos seus dados, e reclamações contra empresas podem ser feitas no Procon ou no consumidor.gov.br. Os prazos por país estão em por que cancelar a inscrição não funciona.