Obfuscação de e-mail: O que ainda funciona em 2023?
As técnicas de obfuscação de e-mail para publicar endereços na web parecem muito menos críticas do que antes, já que muitas pessoas agora relatam pouco spam na caixa de entrada graças à filtragem moderna e à prevalência de bases de dados de e-mails vazadas em vez da raspagem da web. Os comentadores debatem os trade-offs entre medidas simples (codificação de URL, ofuscação básica de texto) e esquemas mais complexos baseados em JS/CSS ou em imagens, apontando problemas de acessibilidade, usabilidade de copiar e colar e o fato de que raspadores determinados muitas vezes conseguem contorná-los. Um tema recorrente é que o spam passou de disparos aleatórios para mensagens de marketing e de brokers de listas mais “legítimas”, levando alguns a preferirem estratégias como aliases por site e domínios catch-all para rastrear e bloquear abuso, em vez de depender da obfuscação sozinha.
Metodologia e Confiabilidade dos Resultados
- Vários comentadores questionam a amostra minúscula (seis bots ao longo de um ano) e as porcentagens grosseiras (17/50/67/83%), vendo isso como pequeno demais para generalizar.
- Há confusão sobre o “controle” (endereço desprotegido) e sobre como “spam bloqueado” é definido; alguns acham a explicação pouco clara ou internamente inconsistente.
- Uma interpretação: todos os endereços na mesma página foram atingidos por alguns dos mesmos bots, e o “controle” é a união das mensagens de spam únicas em todos os endereços.
Ainda é um Risco Real Publicar E-mail Publicamente?
- Várias pessoas relatam ter endereços expostos de forma clara e há muito tempo com spam muito administrável (de quase zero a algumas dezenas por dia, em sua maioria filtrado).
- Alguns argumentam que o maior risco agora são vazamentos de dados e listas vendidas, não a raspagem da web.
- Outros observam que novos domínios ou alguns TLDs (por exemplo, .us sem privacidade de WHOIS) atraem spam pesado rapidamente.
Filtros de Spam vs Obfuscação
- Muitos dizem que o spam foi em grande parte “resolvido” no nível da caixa de entrada, com filtros modernos e bloqueio no nível SMTP. Alguns administram seus próprios servidores com Postfix, greylisting, filtros bayesianos etc., e relatam quase nenhum spam.
- Contraponto: falsos positivos ainda tornam a filtragem de spam dolorosa em certos contextos de negócios; reduzir o volume de spam recebido ainda é valioso.
- Sentimento geral: a obfuscação sozinha não pode substituir filtros, mas pode ser uma tática complementar.
Preocupações com Acessibilidade e Usabilidade
- Vários observam que a obfuscação avançada pode prejudicar a acessibilidade, especialmente para leitores de tela.
- Solução sugerida: um botão + CAPTCHA para revelar o texto puro, possivelmente com CAPTCHA de áudio, embora isso gere problemas de usabilidade e custo.
Técnicas e Evasões Discutidas
- Métodos mencionados: codificação de URL, base64 + JS, XOR em JS, reconstrução baseada em CSS, truques com WebAssembly, imagens com texto, papéis ARIA, revelar ao passar o mouse, caracteres embaralhados no DOM.
- Alguns relatam bons resultados no mundo real com métodos baseados em JS/CSS ou WASM; outros duvidam da durabilidade à medida que browsers headless e scrapers mais inteligentes se espalham.
- Imagens são vistas como ainda eficazes, mas irritantes (sem copiar e colar) e potencialmente vulneráveis a OCR.
Estratégias Alternativas de Endereço
- Abordagem popular: domínios catch-all com aliases por site; fácil bloqueio e rastreamento de vazamentos.
- Variantes: partes locais com sal ou hash, ou aleatórias; formatos “esquisitos”, mas válidos (por exemplo, partes locais incomuns ou TLDs) que podem escapar de scrapers simples.
- Alguns estão considerando abandonar esquemas complexos em favor de um único endereço público com filtragem forte.