Ofuscación de correo electrónico: ¿qué sigue funcionando en 2023?
Las técnicas de ofuscación del correo electrónico para publicar direcciones en la web parecen mucho menos críticas que antes, ya que muchas personas ahora reportan poco spam en la bandeja de entrada gracias a los filtros modernos y a la prevalencia de conjuntos de datos de correos filtrados frente al rastreo web. Los comentaristas debaten las ventajas y desventajas entre medidas simples (codificación de URL, ofuscación básica del texto) y esquemas más complejos basados en JS/CSS o imágenes, señalando problemas de accesibilidad, usabilidad para copiar y pegar, y el hecho de que los rastreadores determinados a menudo pueden superarlos. Un tema recurrente es que el spam ha pasado de las ráfagas aleatorias a mensajes de marketing y comprados a brokers más “legítimos”, lo que lleva a algunos a preferir estrategias como alias por sitio y dominios catch-all para rastrear y bloquear abusos en lugar de depender solo de la ofuscación.
Metodología y fiabilidad de los resultados
- Varios comentaristas cuestionan la muestra tan pequeña (seis bots durante un año) y los porcentajes gruesos (17/50/67/83%), al considerarla demasiado reducida para generalizar.
- Hay confusión sobre el “control” (dirección sin protección) y sobre cómo se define el “spam bloqueado”; algunos consideran que la explicación es poco clara o internamente inconsistente.
- Una interpretación: todas las direcciones de la misma página fueron atacadas por algunos de los mismos bots, y el “control” es la unión de mensajes de spam únicos de todas las direcciones.
¿Sigue siendo un riesgo real publicar el correo electrónico en público?
- Varias personas informan tener direcciones expuestas de forma clara y desde hace mucho tiempo, con spam muy manejable (desde casi cero hasta unas pocas decenas al día, en su mayoría filtrado).
- Algunos sostienen que el mayor riesgo ahora son las filtraciones de datos y las listas vendidas, no el rastreo web.
- Otros señalan que los dominios nuevos o algunos TLD (por ejemplo, .us sin privacidad WHOIS) atraen rápidamente mucho spam.
Filtros de spam frente a ofuscación
- Muchos dicen que el spam está en gran medida “resuelto” a nivel de bandeja de entrada, con filtros modernos y bloqueo a nivel SMTP. Algunos alojan sus propios servidores con Postfix, greylisting, filtros bayesianos, etc., y reportan casi nada de spam.
- Contraargumento: los falsos positivos siguen haciendo que filtrar spam sea doloroso en ciertos contextos empresariales; reducir el volumen de spam entrante sigue siendo valioso.
- Sentimiento general: la ofuscación por sí sola no puede sustituir a los filtros, pero puede ser una táctica complementaria.
Preocupaciones de accesibilidad y usabilidad
- Varios señalan que la ofuscación avanzada puede perjudicar la accesibilidad, especialmente para los lectores de pantalla.
- Solución sugerida: un botón + CAPTCHA para revelar el texto sin formato, posiblemente con CAPTCHA de audio, aunque esto plantea problemas de usabilidad y coste.
Técnicas y evasiones discutidas
- Métodos mencionados: codificación de URL, base64 + JS, XOR en JS, reconstrucción basada en CSS, trucos con WebAssembly, imágenes con texto, roles ARIA, revelar al pasar el cursor, caracteres barajados en el DOM.
- Algunos informan de buenos resultados reales con métodos basados en JS/CSS o WASM; otros dudan de su durabilidad a medida que se extienden los navegadores sin interfaz y los rastreadores más inteligentes.
- Las imágenes se consideran todavía eficaces pero molestas (sin copiar y pegar) y potencialmente vulnerables a OCR.
Estrategias alternativas de direcciones
- Enfoque popular: dominios catch-all con alias por sitio; permiten listas negras y rastreo de fugas con facilidad.
- Variantes: partes locales con sal/hashed o aleatorias; formatos “raros” pero válidos (por ejemplo, partes locales o TLD inusuales) que pueden eludir rastreadores simples.
- Algunos están considerando abandonar esquemas complejos en favor de una sola dirección pública más un filtrado potente.