Anular subscrição de emails: o link pode ser malicioso?

Sim, os links para anular a subscrição de emails podem ser maliciosos, e os arriscados estão em emails de remetentes que não conheces. No email que vem mesmo de uma newsletter ou de uma loja em que te registaste, o link para anular a subscrição é seguro e é a forma mais rápida de deixares de receber esses emails. Em spam ou numa mensagem que suspeitas ser uma burla, não cliques nele: pode confirmar que o teu endereço funciona ou abrir uma página de início de sessão falsa, por isso denuncia antes a mensagem.

O botão para anular a subscrição da tua própria app de email costuma ser o caminho mais seguro. Mas qualquer forma de anular a subscrição diz ao remetente que o teu endereço está ativo. Isso é inofensivo com uma empresa que já tem o teu endereço, e é exatamente o que um spammer quer. Para manteres as listas longe do teu endereço principal desde o início, o CatchNone dá a cada loja e newsletter o seu próprio endereço e abre o email delas com as imagens remotas bloqueadas, no iPhone, iPad e Mac. Os menus e as regras abaixo foram confirmados na documentação da Google, da Apple, da Microsoft e da Yahoo em setembro de 2026.

Os links para anular a subscrição são seguros? Depende de quem enviou o email

Repara na última coluna. Anular a subscrição, seja por link, por botão ou por email, é uma mensagem para o remetente. O RFC 8058, a norma por trás da anulação da subscrição com um clique, diz que ela dá «uma forte indicação ao remetente de que o endereço para o qual a mensagem foi enviada era válido». Bloquear e apagar ficam do teu lado, e denunciar não contacta diretamente o remetente. Abrir uma mensagem e carregar as imagens pode já ter avisado o remetente: é assim que funciona o rastreio de emails por pixel.

Não tens a certeza de que o email vem mesmo da empresa? Ignora o link. Os conselhos da FTC sobre phishing dizem para «contactar a empresa através de um número de telefone ou de um site que sabes que é verdadeiro, e não com as informações do email». Abre a app da empresa ou escreve tu o endereço do site, inicia sessão e desativa os emails de marketing nas definições da tua conta. No Outlook, um «?» na fotografia do remetente significa que o Outlook não conseguiu verificar o remetente.

Como um link para anular a subscrição pode ser malicioso

Confirma que o teu endereço está ativo

A Microsoft aconselha a nunca responder a uma mensagem, «nem sequer para anular a subscrição de uma lista de correio», a não ser que conheças o remetente e confies nele, porque responder ao spam confirma que o teu endereço está ativo. O ICO do Reino Unido diz que responder ao spam «mostra que o teu endereço de email está ativo» e que clicar nos anúncios que ele contém significa que «podes receber mais emails». A Apple refere que os spammers também usam o carregamento de imagens para verificar se uma conta está ativa.

Uma página falsa pede a tua palavra-passe

Alguns links para «anular a subscrição» levam a uma página que te pede para iniciares sessão para gerires a subscrição. Os conselhos da Google sobre phishing são diretos: se um link te pedir a palavra-passe, «não introduzas as tuas informações; vai diretamente ao site que queres usar». A CISA avisa que os sites falsos «podem parecer idênticos a um site legítimo, mas o URL pode usar uma variação na ortografia ou um domínio diferente».

Leva-te a descarregar algo malicioso

A FTC diz que os burlões às vezes enviam links e anexos «que, se forem abertos ou clicados, instalam malware nocivo no dispositivo». Se uma página insistir para descarregares um ficheiro, instalares uma app ou uma «atualização de segurança», é altura de a fechares.

Como distinguir uma página verdadeira para anular a subscrição de uma falsa

Uma página verdadeira para anular a subscrição nunca precisa da tua palavra-passe, de um pagamento nem de que descarregues nada. O guia da FTC sobre a CAN-SPAM diz que os remetentes nos EUA não podem cobrar uma taxa para te retirar de uma lista, pedir informações pessoais «além de um endereço de email» nem exigir mais do que um email de resposta ou uma visita a «uma única página num site da Internet». As orientações da Yahoo para remetentes recomendam um processo para anular a subscrição que «não exija que os utilizadores iniciem sessão». Fecha a página se ela:

• te pedir para iniciares sessão antes de poderes anular a subscrição;
• quiser mais do que o teu endereço de email, ou pedir os dados do cartão;
• oferecer um ficheiro para descarregar ou uma app para instalar.

Uma página de confirmação com um único botão para anular a subscrição é normal: o Mailchimp envia para uma página destas quem clica no link do rodapé. Um link num domínio diferente do da marca também não é, por si só, um sinal de alerta, porque plataformas como o Mailchimp obrigam os remetentes a usar «o link para anular a subscrição que fornecemos». O domínio passa a importar quando uma página te pede para iniciares sessão.

Com que frequência são perigosos os links para anular a subscrição?

Ninguém publica uma taxa fiável. A DNSFilter, uma empresa de segurança de DNS, disse ao Wall Street Journal em junho de 2025 que cerca de 1 em cada 644 cliques em links com «unsubscribe» no endereço levava a sites potencialmente maliciosos. A empresa não publicou como fez essa medição, por isso trata o número como um sinal de que o risco é real, e não como a tua probabilidade.

O botão para anular a subscrição da tua app de email é mais seguro do que o link?

Normalmente, sim. As listas de correio podem acrescentar um cabeçalho oculto, List-Unsubscribe, que diz à tua app de email como te retirar da lista. Vem do RFC 2369, de 1998, e pode conter um endereço web, um endereço de email ou ambos. Quando a tua app o encontra, pode mostrar o seu próprio controlo para anular a subscrição.

É mais seguro por duas razões:

• O Gmail e a Yahoo decidem se o mostram. As perguntas frequentes para remetentes do Gmail dizem que o botão aparece «apenas nas mensagens que passam nas verificações automáticas de elegibilidade da Google», que incluem as regras para remetentes e as denúncias de spam dos destinatários. A Yahoo só mostra o seu botão azul «Unsubscribe» (Anular subscrição) junto ao endereço «From» (De) com um cabeçalho de um clique correto e «reputação e interação suficientes» (perguntas frequentes da Yahoo para remetentes). Nem todas as apps avaliam os remetentes desta forma: a Apple não documenta nenhuma verificação deste tipo, e algumas apps mostram o botão em qualquer mensagem que tenha o cabeçalho, incluindo spam.
• A anulação com um clique não abre nenhuma página web. A tua app envia um único pedido em segundo plano. O RFC 8058 diz que esse pedido «NÃO PODE incluir cookies, autorização HTTP nem qualquer outra informação de contexto», e o remetente não o pode redirecionar. Não há onde iniciar sessão nem nada para descarregar.

Não é uma garantia:

• «Go to website» (Ir para o website). O Gmail diz que alguns remetentes te obrigam a visitar o site deles: o mesmo tipo de página que o link do email.
• Anulações por email. Quando uma app usa o endereço mailto: do cabeçalho, o resultado é um email do teu endereço para a lista, o tipo de resposta contra o qual a Microsoft avisa.
• Continua a confirmar o teu endereço. O RFC 8058 diz que o pedido tem de levar «informação suficiente para identificar o destinatário do email e a lista».
• Não prova que o remetente seja honesto. A anulação com um clique exige uma assinatura DKIM, que mostra que domínio assinou a mensagem, e não que esse domínio é de confiança. Um spammer pode assinar email a partir do seu próprio domínio.
• Abrange uma só lista. O Gmail diz que «pode anular a subscrição de apenas uma lista de correio do remetente».

Por isso, usa o botão com remetentes que reconheces e denuncia o spam em vez de anulares a subscrição.

O que é a anulação da subscrição com um clique?

A anulação da subscrição com um clique, definida no RFC 8058 em 2017, acrescenta um segundo cabeçalho, List-Unsubscribe-Post, para que a tua app de email te possa retirar de uma lista com um único pedido HTTPS em segundo plano: sem página web e sem email. Nos telemóveis, às vezes chama-se anulação com um toque. Eis o exemplo do RFC. Para veres os cabeçalhos de uma mensagem real no Gmail na Web, abre-a, clica em «More» (Mais) junto a «Reply» (Responder) e, depois, em «Show original» (Mostrar original).

List-Unsubscribe:
    <mailto:listrequest@example.com?subject=unsubscribe>,
    <https://example.com/unsubscribe.html?opaque=123456789>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe enumera as formas de sair: um endereço de email e um endereço web.
• opaque=123456789 é a parte que te identifica a ti e à lista.
• List-Unsubscribe-Post torna a anulação num clique: a tua app envia POST /unsubscribe.html?opaque=123456789 com o corpo List-Unsubscribe=One-Click, e nenhuma página se abre.

A anulação com um clique existe porque o software anti-spam que acede automaticamente ao endereço de anulação indicado nos cabeçalhos estava a anular subscrições por engano, e por isso os remetentes acrescentaram páginas de confirmação. Um POST permite aos remetentes distinguir o teu pedido desses acessos automáticos, por isso deixa de ser precisa uma página de confirmação. A tua app não o pode enviar «sem o consentimento do utilizador», e é por isso que te pede que confirmes.

Onde encontrar o botão integrado para anular a subscrição

Gmail

Na Web, no Android, no iPhone e no iPad, a anulação da subscrição com um clique do Gmail fica junto ao nome do remetente (passos da Google):

1. Abre um email cuja subscrição queres anular.
2. Junto ao nome do remetente, clica ou toca em «Anular subscrição».
3. Na janela pop-up, escolhe «Anular subscrição» ou «Go to website» (Ir para o website).

Os emails podem demorar alguns dias a parar. A vista «Manage subscriptions» (Gerir subscrições) do Gmail, lançada em julho de 2025 e ainda «em implementação gradual», retira-te de uma só vez de todas as listas ativas de um remetente e envia os novos emails desse remetente para o «Spam». Para a abrires, clica em «More» (Mais) → «Manage subscriptions» (Gerir subscrições) na Web, ou toca em «Menu» → «Manage subscriptions» nas apps.

Apple Mail no Mac

No macOS 26 e no macOS 27, uma faixa por baixo do cabeçalho assinala as mensagens de uma lista de correio. Clica em «Unsubscribe» (Anular subscrição) na faixa e, depois, em «OK» no alerta (passos da Apple). A Apple não documenta se o Mail envia um pedido de um clique ou um email a partir da tua conta, por isso usa-o só com remetentes que conheces.

iPhone e iPad

Os manuais do iPhone e do iPad da Apple não documentam nenhum controlo para anular a subscrição dentro das mensagens. Em vez disso, documentam a iCloud Mail Cleanup (limpeza do iCloud Mail), que só funciona com o iCloud Mail e não está disponível em todos os idiomas. Sugere remetentes das categorias «Updates» (Atualizações) e «Promotions» (Promoções) e move os futuros emails deles para o «Trash» (caixote do lixo). No iOS 26 e 27, está em «Definições» → o teu nome → «iCloud» → «Mail» → «iCloud Mail Cleanup»; os passos completos estão em como descobrir as listas de correio em que estás.

Se o Mail mostrar o seu próprio botão «Unsubscribe» (Anular subscrição) no topo de uma mensagem, a Apple também não explica como funciona, por isso usa-o só com remetentes que conheces.

Outlook.com

A Microsoft não documenta um botão para anular a subscrição em cada mensagem no Outlook.com, no novo Outlook nem nas apps do Outlook. Em vez disso, o Outlook.com enumera os remetentes que reconhece em «Settings» → «Mail» → «Subscriptions» (Definições → Correio → Subscrições), com uma opção «Unsubscribe» (Anular subscrição) para cada um. Em algumas apps, a caixa de diálogo de denúncia também oferece a anulação da subscrição; nos emails em que não confias, escolhe a opção simples de denunciar ou de bloquear.

Porque é que alguns emails não têm botão para anular a subscrição?

Normalmente, porque a mensagem não passou nas verificações do teu fornecedor, ou não tem um cabeçalho utilizável:

• As verificações do Gmail e da Yahoo. Como descrito acima, um cabeçalho correto não chega se a mensagem não passar nelas. A Google diz que isto se aplica «mesmo quando os remetentes acrescentam o seu próprio link para anular a subscrição no corpo da mensagem».
• As exceções do Outlook.com. Podes não ter a opção nos emails filtrados para o «Lixo Eletrónico» nem nos remetentes da tua lista de bloqueados.
• Sem assinatura DKIM. O RFC 8058 diz que uma app «NÃO DEVE oferecer uma anulação da subscrição com um clique» sem ela.
• Email transacional. Talões, emails para repor a palavra-passe e códigos de utilização única não são subscrições, e o Gmail e a Yahoo não exigem neles a anulação da subscrição com um clique.
• Remetentes que nunca o configuraram. Sem um cabeçalho List-Unsubscribe, a tua app não tem nada para mostrar.

A falta do botão não significa que a mensagem seja uma burla, e um botão presente não prova honestidade.

Porque é que a anulação da subscrição com um clique se tornou comum em 2024

A Google anunciou regras para remetentes em massa a 3 de outubro de 2023, e a Yahoo apoiou as mesmas alterações. As regras de ambas, em setembro de 2026:

Os outros pedem menos. As regras da Microsoft para o Outlook.com, em vigor desde 5 de maio de 2025, exigem SPF, DKIM e DMARC aos domínios que enviam mais de 5000 emails por dia, mas apenas recomendam um link funcional para anular a subscrição. A página para postmasters do iCloud Mail da Apple pede aos remetentes em massa «um link para anular a subscrição».

No Gmail, só o cabeçalho conta: as perguntas frequentes da Google dizem que os links mailto: e de URL para anular a subscrição «não cumprem o nosso requisito de anulação da subscrição com um clique», e a partir de novembro de 2025 o Gmail começou a «intensificar a aplicação das regras», incluindo rejeições. Estas são regras dos fornecedores, não leis; o mínimo legal está nas perguntas frequentes abaixo.

Anular a subscrição, denunciar spam, bloquear ou denunciar phishing?

Há dois pormenores que confundem muita gente. No Gmail, bloquear «não anula automaticamente a subscrição da lista de correio» do remetente, como diz a ajuda da Google sobre subscrições. No Outlook, quando denuncias phishing, o remetente é denunciado mas não bloqueado, por isso bloqueia-o também se continuar a escrever.

Os caminhos para denunciar e bloquear no Gmail, no Outlook e no Apple Mail, e o que fazer com o spam que continua a chegar mesmo assim, estão em o que reduz mesmo o spam. Um que passa facilmente despercebido: no Gmail num computador, «Report phishing» (Denunciar phishing) está em «More» (Mais), junto a «Reply» (Responder). Se uma empresa real continuar a enviar emails depois de anulares a subscrição, vê porque é que anular a subscrição não funciona para conheceres as causas habituais.

O que fazer se já clicaste num link suspeito para anular a subscrição

Tocaste ou clicaste por engano no link para anular a subscrição de um email de spam? O que fazer depende do que aconteceu a seguir:

• Só clicaste ou tocaste. Fecha a página, denuncia o email como spam ou phishing e apaga-o. O clique pode ter confirmado o teu endereço, por isso pode chegar mais spam.
• Foi descarregado algo. Não o abras; apaga-o. A FTC diz para «atualizar o software de segurança do computador. Depois, executar uma análise e remover tudo o que for identificado como um problema».
• Escreveste uma palavra-passe. Vai tu ao site verdadeiro, sem passar pelo email, e muda a palavra-passe de imediato. Depois, muda-a em todos os outros sítios onde a usaste. Ativa a verificação em dois passos e procura inícios de sessão que não reconheces; o nosso guia sobre como verificar se a tua conta de email foi pirateada abrange a Google, a Microsoft e a Apple.
• Deste dados do cartão ou bancários. Contacta já o teu banco ou o emissor do cartão. Nos EUA, vai também a IdentityTheft.gov. No Reino Unido, denuncia em reportfraud.police.uk ou liga para o 0300 123 2040 (Inglaterra, País de Gales e Irlanda do Norte), ou liga para a Police Scotland através do 101.

Para denunciares o email para além do teu fornecedor de email, ao APWG e à FTC nos EUA ou ao NCSC no Reino Unido, vê onde denunciar spam e phishing.

Deixa de precisar de anular subscrições: um endereço por lista

A solução mais limpa está a montante: dá a cada loja e a cada newsletter o seu próprio endereço. Quando uma lista te ignora, vende o teu endereço ou sofre uma violação de dados, só esse endereço é afetado, e podes filtrá-lo ou desativá-lo sem mexer nos restantes. Os conselhos da Apple sobre spam terminam com «usa um alias de email».

A versão mais simples é um endereço com «+» (plus addressing): nos fornecedores que o suportam, incluindo o Gmail, o email enviado para you+shop@example.com chega a you@example.com. No entanto, qualquer pessoa pode apagar a etiqueta, por isso o remetente consegue na mesma deduzir o teu endereço principal. Os aliases separados não o revelam, e o CatchNone, mais abaixo, dá-te um para cada lista e mostra o email delas na sua própria app. O nosso guia sobre o que usar nos registos compara as opções.

Um endereço por lista, com o CatchNone

O CatchNone dá a cada loja, newsletter ou conta o seu próprio endereço: um endereço @catchnone.com aleatório com o Premium, sem domínio nem caixa de correio para configurar, ou um num domínio teu, até 10 no plano Gratuito e ilimitados no Lite e no Premium. Cada mensagem aparece assinalada com o alias a que chegou, por isso uma lista que vende ou deixa escapar o teu endereço salta à vista. Só recebe, por conceção: o email dos registos fica na sua própria app. As mensagens abrem com o JavaScript desativado, e as imagens remotas, incluindo a maioria dos píxeis de rastreio, ficam bloqueadas até as carregares. Se uma lista te ignorar ou um alias atrair spam, desativa o respetivo alias @catchnone.com e os remetentes recebem uma devolução, enquanto os teus outros aliases continuam a funcionar; no teu próprio domínio, bloqueia o endereço no teu fornecedor.

O seu botão «Cancelar subscrição» pede-te primeiro que confirmes. Nas listas com anulação com um clique, envia depois o pedido a partir do teu dispositivo, sem cookies nem página web, embora a lista continue a ver o endereço IP do teu dispositivo e fique a saber que o alias está ativo. Caso contrário, se a lista indicar um endereço de email, abre na tua app de email habitual um email já endereçado, que sai do teu endereço verdadeiro. Se não indicar, abre a página do remetente. Os links abrem no teu navegador sem alterações, e o botão aparece em qualquer mensagem com um cabeçalho List-Unsubscribe, porque o CatchNone não verifica o DKIM nem a reputação do remetente, por isso usa-o com listas que reconheces. Transfere o CatchNone para iPhone, iPad e Mac.

Perguntas frequentes

É seguro anular a subscrição de emails no iPhone?

Com remetentes que conheces, sim: toca em «Anular subscrição» junto ao nome do remetente na app do Gmail, usa a iCloud Mail Cleanup (limpeza do iCloud Mail) no iCloud Mail ou, nos outros casos, usa o link do email. No caso do spam, desliza para a esquerda, toca em «More» (Mais) e, depois, em «Move to Junk» (Mover para o lixo). A Apple também sugere ativar «Proteger atividade no Mail», em «Definições» → «Aplicações» → «Mail» → «Privacy Protection» (Proteção da privacidade), e o nosso guia sobre como funciona a Proteção da privacidade no Mail explica o que muda.

Devo anular a subscrição de emails de spam?

Não. O spam não é uma lista em que tenhas entrado, por isso não há nada de onde sair, e clicar, tocar ou responder pode confirmar que o teu endereço está ativo. Marca-o como spam ou lixo, o que treina o teu filtro e não contacta diretamente o remetente, e depois apaga-o; se o mesmo remetente continuar a escrever, bloqueia o endereço. Anula a subscrição apenas das listas em que te registaste, e marca como spam qualquer lista que ignore o teu pedido para anular a subscrição.

O que acontece quando clico em «Anular subscrição» no Gmail?

Uma janela pop-up pede-te que confirmes com «Anular subscrição», ou oferece «Go to website» (Ir para o website) no caso dos remetentes que exigem a sua própria página. Os emails podem demorar alguns dias a parar. Se o remetente voltar a escrever depois de anulares a subscrição, o Gmail põe os novos emails no «Spam».

Denunciar spam avisa o remetente?

No Gmail, não te identifica: denunciar move a mensagem para o «Spam» e treina o filtro, e o feedback do Gmail aos remetentes em massa consiste em dados agregados de queixas por campanha. A Yahoo é diferente: o seu Complaint Feedback Loop (circuito de feedback de queixas) envia aos remetentes inscritos um relatório, com os cabeçalhos da mensagem, quando marcas os emails deles como spam. Para uma lista em que entraste mesmo, a Google aconselha a anular a subscrição.

Os links para anular a subscrição são obrigatórios por lei?

Nos EUA, a CAN-SPAM exige que o email comercial inclua uma forma funcional de deixar de o receber, respeitada no prazo de 10 dias úteis; o botão de um clique vem das regras do Gmail e da Yahoo para remetentes, não da lei. Os prazos por país estão em porque é que anular a subscrição não funciona.