退订链接安全吗？会不会是钓鱼链接，何时可以点

邮件里的“退订”（Unsubscribe）链接安全吗？不一定：退订链接确实可能是恶意的，有风险的是陌生发件人发来的邮件。如果邮件确实来自你注册过的网店或你订阅的邮件订阅，其中的退订链接是安全的，也是让这些邮件停下来最快的办法。如果是垃圾邮件，或你怀疑是诈骗的邮件，就不要点：点了可能会向对方确认你的地址有效，或打开一个伪造的登录页面，所以应当举报这封邮件。

邮件 App 自带的退订按钮通常是更安全的做法。但无论用哪种方式退订，都会让发件人知道你的地址还在用。对一家本来就有你地址的公司来说，这无关紧要；而对垃圾邮件发送者来说，这正是他们想要的。想从一开始就让这些列表拿不到你的主地址，CatchNone 会为每家网店和每个邮件订阅提供一个专属地址，并在打开它们的邮件时阻止远程图像，适用于 iPhone、iPad 和 Mac。下文的菜单和规则已于 2026 年 9 月对照 Google、Apple、Microsoft 和 Yahoo 的文档核对过。

退订链接安全吗？要看是谁发的

看看最后一列。退订，无论是通过链接、按钮还是邮件，都是在给发件人传递信息。一键退订背后的标准 RFC 8058 写道，这会“向发信方强烈暗示，邮件所发往的地址是有效的”。屏蔽和删除只发生在你这一端，举报也不会直接联系发件人。打开邮件并载入其中的图像，可能已经让发件人知道了，邮件追踪像素就是这样工作的。

不确定邮件是否真的来自那家公司？那就别点它的链接。FTC（美国联邦贸易委员会）的防钓鱼建议是：“用你确认真实的电话号码或网站联系该公司——不要用邮件里的信息。”打开该公司的 App，或自己输入它的网址，登录后在账户设置里关闭营销邮件。在 Outlook 中，发件人头像处显示“?”，表示 Outlook 无法验证发件人。

恶意退订链接会做什么

向对方确认你的地址有效

Microsoft 建议，除非你认识并信任发件人，否则不要回复任何邮件，“即使是为了退出邮件列表也不要”，因为回复垃圾邮件会确认你的地址处于活跃状态。英国的 ICO（信息专员办公室）表示，回复垃圾邮件“表明你的电子邮件地址是有效的”，而点击其中的广告意味着“你可能会收到更多邮件”。Apple 指出，垃圾邮件发送者还会借助图像载入来检查账户是否活跃。

钓鱼页面索要你的密码

有些“退订”链接会把你带到一个页面，要求你登录才能管理订阅。Google 的防钓鱼建议说得很直接：如果某个链接要求你输入密码，“不要输入你的信息，请直接前往你要使用的网站”。CISA（美国网络安全和基础设施安全局）警告，伪造网站“可能看起来与正规网站一模一样，但网址可能使用了拼写变体或不同的域名”。

诱导你下载恶意文件

FTC 表示，诈骗者有时会发送链接和附件，“一旦打开或点击，就会在设备上安装有害的恶意软件”。如果页面催你下载文件、安装 App 或“安全更新”，就该立刻关掉它。

如何分辨真假退订页面

真正的退订绝不需要你的密码、付款或下载。FTC 的 CAN-SPAM 指南指出，美国的发件人不能为把你移出列表而收费，不能索要“除电子邮件地址之外”的个人信息，也不能要求你做回复一封邮件或访问“互联网网站上的单个页面”以外的事。Yahoo 的发件人指南建议退订流程“不要求用户登录”。遇到以下情况，就关掉页面：

• 要求你先登录才能退订；
• 除了电子邮件地址还要别的信息，或索要银行卡信息；
• 提供文件下载，或让你安装 App。

只有一个退订按钮的确认页面是正常的：Mailchimp 就会把点击邮件底部链接的人带到这样的页面。链接的域名和品牌不一样，本身也不算危险信号，因为 Mailchimp 这类平台要求发件人使用“我们提供的退订链接”。页面一旦要求你登录，域名就很重要了。

退订链接有多大概率是危险的？

没有人公布过可靠的比例。DNS 安全公司 DNSFilter 在 2025 年 6 月告诉《华尔街日报》，在网址中含有“unsubscribe”的链接中，大约每 644 次点击就有 1 次指向可能有恶意的网站。它没有公布统计方法，所以请把它当作风险确实存在的信号，而不是你中招的概率。

邮件 App 自带的退订按钮比链接更安全吗？

通常是的。邮件列表可以添加一个隐藏的邮件头 List-Unsubscribe，告诉你的邮件 App 怎样把你移出列表。它源自 1998 年的 RFC 2369，可以包含一个网址、一个电子邮件地址，或两者都有。App 找到它时，就可以显示自己的退订控件。

它更安全，原因有二：

• 是否显示由 Gmail 和 Yahoo 决定。Gmail 的发件人常见问题说，它“只为通过 Google 自动资格检查的邮件”显示这个按钮，这些检查包括它的发件人规则和收件人的垃圾邮件举报。Yahoo 只有在邮件带有正确的一键退订邮件头，并且发件人具有“足够的信誉和互动度”时，才会在发件人地址（From）旁显示蓝色的 Unsubscribe（退订）按钮（Yahoo 的发件人常见问题）。并非所有 App 都会这样审核发件人：Apple 没有说明有这样的检查，有些 App 只要邮件带有这个邮件头就会显示按钮，垃圾邮件也不例外。
• 一键退订不会打开网页。你的 App 会在后台发送一个请求。RFC 8058 规定，这个请求“不得包含 Cookie、HTTP 认证或任何其他上下文信息”，发件人也不能对它进行重定向。既没有需要登录的地方，也没有要下载的东西。

但这并非万无一失：

• “Go to website”（前往网站）。Gmail 表示，有些发件人会要求你改为访问他们的网站：这和邮件里的链接打开的是同一类页面。
• 通过邮件退订。当 App 使用邮件头里的 mailto: 地址时，结果就是从你的地址给邮件列表发一封邮件，正是 Microsoft 提醒过不要做的那种回复。
• 仍然会确认你的地址。RFC 8058 规定，请求必须带有“足以识别邮件收件人和邮件列表的信息”。
• 不能证明发件人诚实。一键退订需要 DKIM 签名，而 DKIM 签名只说明是哪个域名签署了邮件，并不说明这个域名值得信任。垃圾邮件发送者完全可以用自己的域名签署邮件。
• 只对一个列表有效。Gmail 说，它“可能只会让你退订该发件人的某一个邮件列表”。

所以，对你认识的发件人使用这个按钮；对垃圾邮件，应当举报，而不是退订。

什么是一键退订？

一键退订由 2017 年的 RFC 8058 定义，它增加了第二个邮件头 List-Unsubscribe-Post，让你的邮件 App 只需在后台发送一个 HTTPS 请求就能把你移出列表：不打开网页，也不发邮件。在手机上，它有时也叫“一触退订”（one-tap unsubscribe）。下面是 RFC 中的示例。想在网页版 Gmail 中查看一封真实邮件的邮件头，打开邮件，点击 Reply（回复）旁边的 More（更多），然后点击 Show original（显示原始邮件）。

List-Unsubscribe:
    <mailto:listrequest@example.com?subject=unsubscribe>,
    <https://example.com/unsubscribe.html?opaque=123456789>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe 列出退出的方式：一个电子邮件地址和一个网址。
• opaque=123456789 是用来识别你和这个列表的部分。
• List-Unsubscribe-Post 让它成为一键退订：你的 App 发送 POST /unsubscribe.html?opaque=123456789，请求正文为 List-Unsubscribe=One-Click，不会打开任何页面。

之所以会有一键退订，是因为反垃圾邮件软件会自动访问邮件头里的退订地址，结果误把人退订了，于是发件人加上了确认页面。POST 请求让发件人能把你的请求和这些自动访问区分开来，因此不再需要确认页面。你的 App 不得“在未经用户同意的情况下”发送它，所以才会请你确认。

在哪里找到内置的退订按钮

Gmail

在网页版、Android、iPhone 和 iPad 上，Gmail 的一键退订就在发件人姓名旁边（Google 的步骤）：

1. 打开你想退订的邮件。
2. 在发件人姓名旁边，点击或轻点“退订”。
3. 在弹出窗口中，选择“退订”或“Go to website”（前往网站）。

邮件可能要过几天才会停止。Gmail 的 Manage subscriptions（管理订阅）视图于 2025 年 7 月推出，目前仍在“逐步推出”，它能一次性把你从某个发件人所有有效的列表中移除，并把该发件人的新邮件送进“垃圾邮件”文件夹。在网页版中，点击 More（更多）> Manage subscriptions 即可打开；在 App 中，则轻点 Menu（菜单）> Manage subscriptions。

Mac 上的“邮件”App

在 macOS 26 和 macOS 27 中，来自邮件列表的邮件会在邮件头下方显示一条横幅。按照 Apple 的步骤，点按横幅中的 Unsubscribe（退订），然后在提示中点按 OK（好）。Apple 没有说明“邮件”发送的是一键退订请求，还是从你的账户发出的一封邮件，所以只对你认识的发件人使用它。

iPhone 和 iPad

Apple 的 iPhone 和 iPad 使用手册没有介绍邮件内的退订控件，而是介绍了 iCloud Mail Cleanup（iCloud 邮件清理）。它只适用于 iCloud 邮件，而且并非所有语言都支持。它会从 Updates（更新）和 Promotions（推广）中推荐发件人，并把他们今后的邮件移到废纸篓。在 iOS 26 和 27 中，它位于“设置”> 你的姓名 >“iCloud”> Mail（邮件）> iCloud Mail Cleanup；完整步骤见如何找出你在哪些邮件列表上。

如果“邮件”在邮件顶部显示了自己的 Unsubscribe（退订），Apple 同样没有说明它如何工作，所以只对你认识的发件人使用它。

Outlook.com

Microsoft 没有说明 Outlook.com、新版 Outlook 或 Outlook App 中有针对单封邮件的退订按钮。相反，Outlook.com 会在 Settings（设置）> Mail（邮件）> Subscriptions（订阅）下列出它识别出的发件人，每个发件人都有 Unsubscribe（退订）选项。在某些 App 中，举报对话框也会提供退订；对于你不信任的邮件，请选择单纯的举报或屏蔽选项。

为什么有些邮件没有退订按钮？

通常是因为邮件没有通过邮箱服务商的检查，或者没有带可用的邮件头：

• Gmail 和 Yahoo 的检查。如上所述，光有正确的邮件头还不够，还得通过这些检查。Google 表示，“即使发件人在邮件正文中加入了自己的退订链接”，也是如此。
• Outlook.com 的例外情况。被过滤到垃圾邮件中的邮件，以及你屏蔽列表中的发件人，可能不会显示这个选项。
• 没有 DKIM 签名。RFC 8058 规定，没有 DKIM 签名时，App“不应提供一键退订”。
• 事务性邮件。收据、重置密码邮件和一次性验证码不属于订阅，Gmail 和 Yahoo 也不要求它们支持一键退订。
• 发件人从未设置。没有 List-Unsubscribe 邮件头，你的 App 就没有东西可显示。

没有按钮并不意味着邮件是诈骗，有按钮也不能证明对方诚实。

为什么一键退订在 2024 年变得普遍

Google 于 2023 年 10 月 3 日宣布了针对批量发件人的规则，Yahoo 也支持同样的变更。截至 2026 年 9 月，它们的规则如下：

其他服务商的要求较少。Microsoft 自 2025 年 5 月 5 日起执行的 Outlook.com 规则要求每天发送超过 5,000 封邮件的域名使用 SPF、DKIM 和 DMARC，但对可用的退订链接只是建议。Apple 的 iCloud 邮件 postmaster 页面要求批量发件人提供“退订链接”。

对 Gmail 来说，只有邮件头才算数：Google 的常见问题说，mailto: 和网址形式的退订链接“不符合我们的一键退订要求”；从 2025 年 11 月起，Gmail 开始“加强执行力度”，包括拒收邮件。这些是服务商的规则，不是法律；法律上的最低要求见下文的常见问题。

退订、举报垃圾邮件、屏蔽，还是举报钓鱼邮件？

有两个细节容易让人出错。在 Gmail 中，屏蔽“不会自动让你退订对方的邮件列表”，Google 的订阅帮助是这么说的。在 Outlook 中，举报钓鱼邮件时，发件人会被举报，但不会被屏蔽，所以如果对方还在来信，也要屏蔽他们。

Gmail、Outlook 和 Apple“邮件”的举报与屏蔽路径，以及垃圾邮件照样不断时该怎么办，见真正能减少垃圾邮件的方法。有一个容易被忽略：在电脑上的 Gmail 中，“举报为钓鱼邮件”位于 Reply（回复）旁边的 More（更多）里。如果某家正规公司在你退订后仍然来信，常见原因见为什么退订没用。

已经点了可疑的退订链接怎么办

不小心在垃圾邮件里点击或轻点了“退订”？接下来怎么做，取决于之后发生了什么：

• 你只是点击或轻点了一下。关闭页面，把邮件举报为垃圾邮件或钓鱼邮件，然后删除。这次点击可能已经确认了你的地址，所以之后可能会收到更多垃圾邮件。
• 有东西被下载了。不要打开，直接删除。FTC 建议“更新电脑的安全软件，然后运行扫描，删除它识别出的任何问题”。
• 你输入了密码。自己前往真正的网站，不要通过邮件进入，立刻修改密码。然后在其他用过这个密码的地方也改掉。开启两步验证，并检查有没有你不认识的登录记录；我们的如何检查邮箱账户是否被盗指南涵盖 Google、Microsoft 和 Apple。
• 你提供了银行卡或银行账户信息。立即联系你的银行或发卡机构。在美国，还要前往 IdentityTheft.gov。在英国，可在 reportfraud.police.uk 举报，或拨打 0300 123 2040（英格兰、威尔士和北爱尔兰），在苏格兰则拨打 101 联系苏格兰警方。

如果还想在邮箱服务商之外举报这封邮件，比如在美国向 APWG 和 FTC 举报，或在英国向 NCSC 举报，请参阅去哪里举报垃圾邮件和钓鱼邮件。

从源头上告别退订：每个列表一个地址

更彻底的办法在上游：给每家网店和每个邮件订阅各用一个地址。当某个列表无视你的退订、出售你的地址或遭遇数据泄露时，受影响的只是那一个地址，你可以为它设置过滤规则或停用它，而不影响其他地址。Apple 的垃圾邮件建议最后一句就是“使用电子邮件别名”。

最简单的做法是加号地址（plus addressing）：在支持它的服务商那里，包括 Gmail，发往 you+shop@example.com 的邮件会送达 you@example.com。不过任何人都可以删掉标签，所以发件人仍能推断出你的主地址。单独的别名不会暴露它，而下文介绍的 CatchNone 能为每个列表提供一个别名，并在它自己的 App 里显示这些邮件。我们的注册时该用什么邮箱指南比较了各种选择。

用 CatchNone 为每个列表配一个地址

CatchNone 为每家网店、每个邮件订阅或每个账户提供一个专属地址：有了 Premium，可以用随机的 @catchnone.com 地址，无需设置域名或邮箱；也可以用你自有域名上的地址，“免费方案”最多 10 个，Lite 和 Premium 不限数量。每封邮件都标有它送达的别名，所以哪个列表出售或泄露了你的地址，一看便知。它在设计上就只负责收信：注册类邮件留在它自己的 App 里。邮件打开时会关闭其中的 JavaScript，远程图像（包括大多数追踪像素）在你手动载入之前都会被阻止。如果某个列表无视你的退订，或某个别名招来了垃圾邮件，停用它的 @catchnone.com 别名，发件人就会收到退信，而你的其他别名照常可用；在你自己的域名上，请在你的邮箱服务商那里屏蔽该地址。

它的“退订”按钮会先请你确认。对于支持一键退订的列表，它随后从你的设备发送请求，不带 Cookie，也不打开网页，不过列表方仍能看到你设备的 IP 地址，并得知这个别名有效。否则，如果列表提供了电子邮件地址，它会在你平常使用的邮件 App 中打开一封已填好收件人的邮件，从你的真实地址发出。如果都没有，它会打开发件人的网页。链接会在你的浏览器中原样打开；而且只要邮件带有 List-Unsubscribe 邮件头，这个按钮就会显示，因为 CatchNone 不检查 DKIM，也不检查发件人信誉，所以只对你认识的列表使用它。下载 CatchNone，适用于 iPhone、iPad 和 Mac。

常见问题

在 iPhone 上退订邮件安全吗？

对于你认识的发件人，是安全的：在 Gmail App 中轻点发件人姓名旁的“退订”，iCloud 邮件可以用 iCloud Mail Cleanup，其他情况就用邮件里的链接。对于垃圾邮件，向左轻扫，轻点 More（更多），然后轻点 Move to Junk（移到垃圾邮件）。Apple 还建议打开“保护‘邮件’活动”（“设置”>“App”>“邮件”>“隐私保护”），我们的“邮件隐私保护”工作原理指南解释了它会改变什么。

应该退订垃圾邮件吗？

不应该。垃圾邮件不是你加入的列表，所以无从退出，而点击、轻点或回复都可能确认你的地址有效。把它标记为垃圾邮件（这会训练你的过滤器，也不会直接联系发件人），然后删除；如果同一个发件人还在不断来信，就屏蔽这个地址。只退订你自己订阅的列表，无视你退订请求的列表则标记为垃圾邮件。

在 Gmail 中点击“退订”会发生什么？

弹出窗口会请你用“退订”确认；对于要求使用自己页面的发件人，则提供“Go to website”（前往网站）。邮件可能要过几天才会停止。如果你退订后发件人再次来信，Gmail 会把新邮件放进“垃圾邮件”文件夹。

举报垃圾邮件会让发件人知道吗？

在 Gmail 中不会点名告知：举报会把邮件移到“垃圾邮件”文件夹并训练过滤器，而 Gmail 给批量发件人的反馈是按营销活动汇总的投诉数据。Yahoo 则不同：它的 Complaint Feedback Loop（投诉反馈循环）会在你把邮件标记为垃圾邮件时，向已加入的发件人发送一份附带该邮件邮件头的报告。对于你确实加入过的列表，Google 的建议是改为退订。

法律要求邮件必须有退订链接吗？

在美国，CAN-SPAM 法案要求商业电子邮件提供可用的退订方式，并在 10 个工作日内处理；一键退订按钮来自 Gmail 和 Yahoo 的发件人规则，而不是法律。各国的处理期限见为什么退订没用。