Фішингове посилання «Відписатися»: коли натискати безпечно

Так, посилання для відписки можуть бути шкідливими, і ризиковані трапляються в листах від невідомих відправників. У листі, який справді надіслала розсилка чи магазин, де ви зареєструвалися, посилання для відписки безпечне і є найшвидшим способом зупинити листи. У спамі чи в листі, який ви підозрюєте в шахрайстві, не натискайте на нього: воно може підтвердити, що ваша адреса працює, або відкрити фальшиву сторінку входу, тобто виявитися фішинговим посиланням. Натомість поскаржтеся на лист.

Вбудована кнопка відписки у вашому поштовому застосунку зазвичай безпечніша. Але будь-який спосіб відписатися повідомляє відправникові, що ваша адреса активна. Для компанії, яка вже має вашу адресу, це нешкідливо, а спамерові саме це й потрібно. Щоб списки розсилки взагалі не отримували вашої основної адреси, CatchNone дає кожному магазину й кожній розсилці окрему адресу та відкриває їхні листи із заблокованими віддаленими зображеннями — на iPhone, iPad і Mac. Меню й правила нижче звірено з документацією Google, Apple, Microsoft і Yahoo у вересні 2026 року.

Чи безпечні посилання для відписки? Усе залежить від відправника

Погляньте на останній стовпець. Відписка — посиланням, кнопкою чи листом — це повідомлення відправникові. RFC 8058, стандарт, на якому ґрунтується відписка одним натисканням, зазначає, що вона дає «відправникові вагомий сигнал, що адреса, на яку надіслано лист, дійсна». Блокування й видалення відбуваються лише на вашому боці, а скарга не надходить відправникові напряму. Відкривши лист і завантаживши його зображення, ви, можливо, уже дали знак відправникові — саме так працюють пікселі відстеження в листах.

Не впевнені, що лист справді від компанії? Не переходьте за його посиланням. Федеральна торгова комісія США (FTC) у своїх порадах щодо фішингу радить «зв’язатися з компанією за номером телефону або через вебсайт, які точно справжні, — а не за даними з листа». Відкрийте застосунок компанії або самі введіть адресу її сайту, увійдіть і вимкніть маркетингові листи в налаштуваннях облікового запису. В Outlook знак «?» на місці фото відправника означає, що Outlook не зміг перевірити відправника.

Як посилання для відписки може нашкодити

Воно підтверджує, що ваша адреса активна

Microsoft радить ніколи не відповідати на лист, «навіть щоб відписатися від списку розсилки», якщо ви не знаєте відправника й не довіряєте йому, адже відповідь на спам підтверджує, що ваша адреса активна. Британський регулятор ICO зазначає, що відповідь на спам «показує, що ваша адреса електронної пошти активна», а якщо натискати рекламу в таких листах, «ви можете отримувати більше листів». Apple зазначає, що спамери також використовують завантаження зображень, щоб перевірити, чи активний обліковий запис.

Фішингова сторінка просить ваш пароль

Деякі посилання «для відписки» ведуть на сторінку, яка просить увійти, щоб керувати підпискою. Порада Google щодо фішингу пряма: якщо посилання просить ваш пароль, «не вводьте свої дані, а перейдіть безпосередньо на вебсайт, яким хочете скористатися». Американське агентство з кібербезпеки CISA попереджає, що фальшиві сайти «можуть виглядати ідентично справжньому сайту, але URL-адреса може мати інше написання або інший домен».

Воно нав’язує шкідливе завантаження

FTC повідомляє, що шахраї іноді надсилають посилання й вкладення, «які після відкриття чи натискання встановлюють на пристрій шкідливе програмне забезпечення». Якщо сторінка нав’язує файл, застосунок чи «оновлення безпеки», саме час її закрити.

Як відрізнити справжню сторінку відписки від фішингової

Справжня відписка ніколи не вимагає пароля, оплати чи завантаження. Посібник FTC щодо закону CAN-SPAM зазначає, що відправники в США не можуть брати плату за вилучення зі списку, просити персональні дані, «крім адреси електронної пошти», або вимагати більшого, ніж лист-відповідь чи відвідування «однієї сторінки на вебсайті». Рекомендації Yahoo для відправників радять таку процедуру відписки, яка «не вимагає від користувачів входу». Закрийте сторінку, якщо вона:

• просить увійти, перш ніж дозволить відписатися;
• хоче більше, ніж вашу адресу е-пошти, або просить дані картки;
• пропонує завантажити файл чи встановити застосунок.

Сторінка підтвердження з однією кнопкою відписки — це нормально: Mailchimp спрямовує на таку сторінку тих, хто натиснув посилання внизу листа. Так само посилання на іншому домені, ніж домен бренду, саме по собі не є тривожним сигналом, бо платформи на кшталт Mailchimp змушують відправників використовувати «посилання для відписки, яке надаємо ми». Домен важливий тоді, коли сторінка просить вас увійти.

Як часто посилання для відписки бувають небезпечними?

Надійної статистики ніхто не публікує. DNSFilter, компанія, що займається безпекою DNS, у червні 2025 року повідомила Wall Street Journal, що приблизно 1 з 644 переходів за посиланнями, в адресі яких є слово «unsubscribe», вів на потенційно шкідливі сайти. Як саме це виміряли, компанія не оприлюднила, тож сприймайте це як ознаку того, що ризик реальний, а не як вашу особисту ймовірність.

Чи безпечніша кнопка відписки в поштовому застосунку, ніж посилання?

Зазвичай так. Списки розсилки можуть додавати прихований заголовок List-Unsubscribe, який підказує вашому поштовому застосунку, як вилучити вас зі списку. Він з’явився в RFC 2369 1998 року й може містити вебадресу, адресу е-пошти або обидві. Коли застосунок знаходить цей заголовок, він може показати власну кнопку відписки.

Вона безпечніша з двох причин:

• Gmail і Yahoo самі вирішують, чи її показувати. FAQ Gmail для відправників зазначає, що кнопку показано «лише для листів, які проходять автоматичні перевірки відповідності Google», а вони враховують правила для відправників і скарги одержувачів на спам. Yahoo показує свою синю кнопку «Unsubscribe» (відписатися) поруч з адресою відправника лише за правильного заголовка для відписки одним натисканням і «достатньої репутації та залученості» (FAQ Yahoo для відправників). Не кожен застосунок так перевіряє відправників: Apple не описує такої перевірки, а деякі застосунки показують кнопку на будь-якому листі із цим заголовком, зокрема на спамі.
• Відписка одним натисканням не відкриває вебсторінку. Застосунок надсилає один запит у фоновому режимі. За RFC 8058 такий запит «не повинен (MUST NOT) містити файлів cookie, HTTP-авторизації чи будь-якої іншої контекстної інформації», і відправник не може його переспрямувати. Тут немає куди входити й нічого завантажувати.

Проте це не гарантія:

• «Go to website» (перейти на вебсайт). Gmail зазначає, що деякі відправники змушують вас перейти на їхній сайт: це така сама сторінка, як і за посиланням у листі.
• Відписка листом. Коли застосунок використовує адресу mailto: із заголовка, результатом стає лист із вашої адреси до списку розсилки — саме така відповідь, від якої застерігає Microsoft.
• Вона все одно підтверджує вашу адресу. За RFC 8058 запит має містити «достатньо інформації, щоб ідентифікувати одержувача листа і список».
• Вона не доводить, що відправник чесний. Для відписки одним натисканням потрібен підпис DKIM, а він показує лише, який домен підписав лист, а не те, що цьому доменові можна довіряти. Спамер може підписувати листи зі свого власного домену.
• Вона стосується одного списку. Gmail попереджає, що кнопка «може відписати вас лише від одного списку розсилки цього відправника».

Тож користуйтеся кнопкою для відправників, яких ви знаєте, а на спам скаржтеся замість того, щоб від нього відписуватися.

Що таке відписка одним натисканням?

Відписка одним натисканням (one-click unsubscribe), описана в RFC 8058 у 2017 році, додає другий заголовок, List-Unsubscribe-Post, щоб поштовий застосунок міг вилучити вас зі списку одним фоновим HTTPS-запитом: без вебсторінки й без листа. На телефонах її іноді називають відпискою одним дотиком (one-tap unsubscribe). Ось приклад з RFC. Щоб переглянути заголовки справжнього листа в Gmail у вебверсії, відкрийте його, натисніть «More» (Більше) поруч із «Reply» (Відповісти), а потім «Показати оригінал».

List-Unsubscribe:
    <mailto:listrequest@example.com?subject=unsubscribe>,
    <https://example.com/unsubscribe.html?opaque=123456789>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe перелічує способи відписатися: адресу е-пошти й вебадресу.
• opaque=123456789 — частина, яка ідентифікує вас і список.
• List-Unsubscribe-Post вмикає відписку одним натисканням: застосунок надсилає POST /unsubscribe.html?opaque=123456789 з тілом List-Unsubscribe=One-Click, і жодна сторінка не відкривається.

Відписка одним натисканням з’явилася тому, що антиспамове програмне забезпечення, яке автоматично відкриває адресу відписки із заголовків, випадково відписувало людей, і відправники почали додавати сторінки підтвердження. Запит POST дає змогу відправникам відрізнити ваш запит від таких автоматичних звернень, тож сторінка підтвердження не потрібна. Застосунок не має надсилати його «без згоди користувача», тому вас і просять підтвердити дію.

Де знайти вбудовану кнопку відписки

Gmail

У вебверсії, на Android, iPhone та iPad кнопка відписки одним натисканням у Gmail розташована поруч з іменем відправника (інструкція Google):

1. Відкрийте лист розсилки, від якої хочете відписатися.
2. Поруч з іменем відправника натисніть або торкніться «Скасувати підписку».
3. У спливному вікні виберіть «Скасувати підписку» або «Go to website» (перейти на вебсайт).

Листи можуть припинитися лише через кілька днів. Розділ Gmail «Manage subscriptions» (керування підписками), запущений у липні 2025 року, який досі «поступово впроваджується», відписує вас від усіх активних списків відправника одразу й спрямовує нові листи цього відправника в «Спам». Щоб відкрити його, у вебверсії натисніть «More» (Більше) > «Manage subscriptions», а в застосунках торкніться «Menu» (Меню) > «Manage subscriptions».

Apple Mail на Mac

У macOS 26 і macOS 27 банер під заголовком листа позначає листи зі списку розсилки. Натисніть «Unsubscribe» (скасувати підписку) на банері, а потім «OK» у діалоговому вікні (інструкція Apple). Apple не пояснює, чи надсилає «Пошта» запит на відписку одним натисканням, чи лист із вашого облікового запису, тож користуйтеся цим лише для знайомих відправників.

iPhone та iPad

Посібники Apple для iPhone та iPad не описують кнопки відписки всередині листів. Натомість вони описують функцію iCloud Mail Cleanup (очищення Пошти iCloud), яка працює лише з Поштою iCloud і доступна не всіма мовами. Вона пропонує відправників із категорій «Updates» (Оновлення) і «Promotions» (Акції) та переміщує їхні майбутні листи в «Trash» (Кошик). В iOS 26 і 27 її можна знайти в «Параметри > [ваше ім’я] > iCloud > Пошта > iCloud Mail Cleanup»; покрокову інструкцію наведено в статті про те, як знайти списки розсилки, на які ви підписані.

Якщо «Пошта» показує власну кнопку «Unsubscribe» (скасувати підписку) угорі листа, Apple так само не пояснює, як вона працює, тож користуйтеся нею лише для знайомих відправників.

Outlook.com

Microsoft не описує кнопки відписки в окремому листі для Outlook.com, нового Outlook чи застосунків Outlook. Натомість Outlook.com показує відправників, яких розпізнає, у розділі «Settings > Mail > Subscriptions» (параметри > пошта > підписки), з кнопкою «Unsubscribe» (скасувати підписку) для кожного. У деяких застосунках вікно скарги теж пропонує відписатися; для листів, яким ви не довіряєте, виберіть звичайну скаргу або блокування.

Чому в деяких листах немає кнопки відписки?

Зазвичай тому, що лист не пройшов перевірки вашого поштового сервісу або не містить придатного заголовка:

• Перевірки Gmail і Yahoo. Як описано вище, самого правильного заголовка без проходження цих перевірок недостатньо. Google зазначає, що це так, «навіть коли відправники додають власне посилання для відписки в текст листа».
• Винятки Outlook.com. Ви можете не побачити цієї можливості для листів, відфільтрованих у небажану пошту, або від відправників із вашого списку заблокованих.
• Немає підпису DKIM. Без нього, за RFC 8058, застосунку «не слід (SHOULD NOT) пропонувати відписку одним натисканням».
• Транзакційні листи. Чеки, скидання пароля й одноразові коди — це не підписки, і Gmail та Yahoo не вимагають для них відписки одним натисканням.
• Відправники, які її не налаштували. Без заголовка List-Unsubscribe застосунку нічого показувати.

Відсутність кнопки не означає, що лист шахрайський, а наявність кнопки не доводить чесності відправника.

Чому відписка одним натисканням поширилася у 2024 році

Google оголосила правила для масових відправників 3 жовтня 2023 року, і Yahoo підтримала ті самі зміни. Їхні правила станом на вересень 2026 року:

Інші вимагають менше. Правила Microsoft для Outlook.com, що діють з 5 травня 2025 року, вимагають SPF, DKIM і DMARC від доменів, які надсилають понад 5000 листів на день, але лише рекомендують робоче посилання для відписки. Сторінка Apple для адміністраторів розсилок у Пошту iCloud просить масових відправників додавати «посилання для відписки».

Для Gmail враховується лише заголовок: FAQ Google зазначає, що посилання для відписки mailto: і URL «не відповідають нашій вимозі щодо відписки одним натисканням», а з листопада 2025 року Gmail почав «посилювати контроль за дотриманням вимог», зокрема відхиляти листи. Це правила поштових сервісів, а не закони; юридичний мінімум описано в розділі поширених запитань нижче.

Відписатися, поскаржитися на спам, заблокувати чи повідомити про фішинг?

Дві деталі часто збивають з пантелику. У Gmail блокування «не відписує вас автоматично від їхнього списку розсилки», як сказано в довідці Google про підписки. В Outlook, коли ви повідомляєте про фішинг, на відправника надходить скарга, але його не блокують, тож заблокуйте його теж, якщо він і далі пише.

Як поскаржитися й заблокувати в Gmail, Outlook та Apple Mail і що робити зі спамом, який усе одно надходить, описано в статті що справді зменшує спам. Одну з цих дій легко пропустити: у Gmail на комп’ютері «Report phishing» (повідомити про фішинг) розташовано в меню «More» (Більше) поруч із «Reply» (Відповісти). Якщо справжня компанія й далі надсилає листи після відписки, типові причини описано в статті чому відписка не працює.

Що робити, якщо ви вже перейшли за підозрілим посиланням для відписки

Випадково натиснули чи торкнулися посилання для відписки в спам-листі? Що робити, залежить від того, що сталося далі:

• Ви лише натиснули чи торкнулися. Закрийте сторінку, поскаржтеся на лист як на спам чи фішинг і видаліть його. Перехід міг підтвердити вашу адресу, тож спаму може побільшати.
• Щось завантажилося. Не відкривайте файл, а видаліть його. FTC радить «оновити захисне програмне забезпечення комп’ютера. Потім запустити сканування й видалити все, що воно визначить як проблему».
• Ви ввели пароль. Самостійно перейдіть на справжній сайт, а не через лист, і негайно змініть пароль. Потім змініть його всюди, де ви його використовували. Увімкніть двохетапну перевірку й пошукайте входи, яких ви не впізнаєте; наш посібник про те, як перевірити, чи зламали ваш обліковий запис електронної пошти, охоплює Google, Microsoft і Apple.
• Ви вказали дані картки чи банківські реквізити. Негайно зв’яжіться зі своїм банком або емітентом картки. У США також перейдіть на IdentityTheft.gov. У Великій Британії повідомте про це на reportfraud.police.uk або зателефонуйте за номером 0300 123 2040 (Англія, Уельс і Північна Ірландія), чи зателефонуйте до поліції Шотландії за номером 101.

Щоб поскаржитися на лист не лише своєму поштовому сервісу, а й APWG та FTC у США чи NCSC у Великій Британії, див. статтю куди повідомляти про спам і фішинг.

Щоб не доводилося відписуватися: окрема адреса для кожного списку

Надійніше розв’язати проблему заздалегідь: дайте кожному магазину й кожній розсилці окрему адресу. Коли один список ігнорує вас, продає вашу адресу або зазнає витоку даних, це зачіпає лише цю адресу, і ви можете відфільтрувати чи вимкнути її, не чіпаючи решти. Порада Apple щодо спаму завершується словами «використовуйте псевдонім електронної пошти».

Найпростіший варіант — адресація з плюсом (plus addressing): у поштових сервісах, які її підтримують, зокрема в Gmail, листи на you+shop@example.com надходять на you@example.com. Проте будь-хто може прибрати мітку, тож відправник однаково може з’ясувати вашу основну адресу. Окремі псевдоніми її не розкривають, а CatchNone, про який ідеться нижче, дає окремий псевдонім для кожного списку й показує листи з них в окремому застосунку. Наш посібник про те, яку адресу електронної пошти використовувати для реєстрації на сайтах, порівнює варіанти.

Окрема адреса для кожного списку з CatchNone

CatchNone дає кожному магазину, розсилці чи обліковому запису окрему адресу: випадкову адресу @catchnone.com з Premium, без домену й скриньки, які треба налаштовувати, або адресу на домені, яким ви володієте, — до 10 на плані «Безкоштовний» і без обмежень на Lite і Premium. Кожен лист позначено псевдонімом, на який він прийшов, тож список, який продає вашу адресу чи допускає її витік, стає помітним. CatchNone задумано лише для отримання пошти: листи після реєстрацій живуть в окремому застосунку. Листи відкриваються з вимкненим JavaScript, а віддалені зображення, зокрема більшість пікселів відстеження, залишаються заблокованими, доки ви їх не завантажите. Якщо список ігнорує вас або на псевдонім приходить спам, вимкніть його псевдонім @catchnone.com — листи на нього повертатимуться відправникам, а решта ваших псевдонімів працюватимуть далі; на власному домені заблокуйте адресу у свого поштового провайдера.

Його кнопка «Відписатися» спершу просить підтвердження. Для списків із відпискою одним натисканням він потім надсилає запит із вашого пристрою — без файлів cookie і без вебсторінки, хоча список однаково бачить IP-адресу вашого пристрою й дізнається, що псевдонім активний. Інакше, якщо список указує адресу е-пошти, CatchNone відкриває заздалегідь адресований лист у вашому звичайному поштовому застосунку, і його буде надіслано з вашої справжньої адреси. Якщо ж ні, він відкриває сторінку відправника. Посилання відкриваються у вашому браузері без змін, а кнопку видно на будь-якому листі із заголовком List-Unsubscribe, бо CatchNone не перевіряє DKIM чи репутацію відправника, тож користуйтеся нею для списків, які ви знаєте. Завантажте CatchNone для iPhone, iPad і Mac.

Поширені запитання

Чи безпечно відписуватися від розсилок на iPhone?

Від знайомих відправників — так: у застосунку Gmail торкніться «Скасувати підписку» поруч з іменем відправника, для Пошти iCloud скористайтеся iCloud Mail Cleanup, а в інших випадках — посиланням у листі. Для спаму проведіть по листу ліворуч, торкніться «Ще», а потім «До спаму». Apple також радить увімкнути «Захищати дії з Поштою» («Параметри > Програми > Пошта > Захист приватності»), а наш посібник про те, як працює «Захист приватності е-пошти», пояснює, що саме ця функція змінює.

Чи варто відписуватися від спаму?

Ні. Спам — це не список, на який ви підписувалися, тож відписуватися нема звідки, а натискання, дотик чи відповідь можуть підтвердити, що ваша адреса активна. Позначте лист як спам або небажану пошту (це навчає фільтр і не зв’язується з відправником напряму), а потім видаліть його; якщо той самий відправник і далі пише, заблокуйте адресу. Відписуйтеся лише від списків, на які ви підписалися, а список, що ігнорує вашу відписку, позначайте як спам.

Що станеться, якщо натиснути «Скасувати підписку» в Gmail?

Спливне вікно просить підтвердити дію кнопкою «Скасувати підписку» або пропонує «Go to website» (перейти на вебсайт) для відправників, які вимагають відписки на власній сторінці. Листи можуть припинитися лише через кілька днів. Якщо відправник знову напише після відписки, Gmail спрямує нові листи в «Спам».

Чи дізнається відправник про скаргу на спам?

У Gmail — не поіменно: скарга переміщує лист у «Спам» і навчає фільтр, а зворотний зв’язок Gmail для масових відправників — це узагальнені дані про скарги для кожної кампанії. У Yahoo інакше: її Complaint Feedback Loop (програма зворотного зв’язку щодо скарг) надсилає підключеним відправникам звіт із заголовками листа, коли ви позначаєте їхні листи як спам. Для списку, на який ви таки підписалися, Google радить натомість відписатися.

Чи вимагає закон посилань для відписки?

У США закон CAN-SPAM вимагає, щоб комерційні листи містили робочий спосіб відмовитися від розсилки, а запит виконувався протягом 10 робочих днів; кнопка відписки одним натисканням походить із правил Gmail і Yahoo для відправників, а не із закону. Строки для різних країн наведено в статті чому відписка не працює.