DuckDuckGo introduceert gratis e-maildoorstuurdienst die trackers verwijdert

DuckDuckGo heeft Email Protection geïntroduceerd, een gratis e-maildienst die trackers verwijdert uit mails en deze mails kan doorsturen naar andere e-maildiensten, zoals Gmail en Outlook. Gebruikers kunnen privé-e-mailadressen aanmaken en deze ook deactiveren.

Email Protection is geen maildienst zoals Gmail en Outlook, waarbij gebruikers zelf in een inbox kunnen lezen en deze kunnen aanmaken. In plaats daarvan maken gebruikers een @duck.com-mailadres aan, die ze kunnen gebruiken voor andere websites en diensten. Als gebruikers zich bijvoorbeeld aanmelden voor een nieuwsbrief met een @duck.com-mailadres, dan gaat die nieuwsbrief eerst naar DuckDuckGo. De dienst verwijdert dan alle trackers en stuurt deze weer door naar de maildienst van de gebruiker.

DuckDuckGo zegt nooit de e-mails of de headers op te slaan. Afbeeldingen blijven beschikbaar, alleen trackers worden verwijderd. Gebruikers kunnen in de mail zien welke trackers verwijderd zijn. Deze trackers worden volgens DuckDuckGo gebruikt om mensen te volgen. Zo kunnen bedrijven zien wanneer een mail voor het eerst is geopend, waar de gebruiker is en welk apparaat hij of zij gebruikt. Deze informatie wordt meestal voor analytics of reclamedoeleinden gebruikt of soms aan andere bedrijven verkocht.

Gebruikers kunnen met de DuckDuckGo-app en -extensie een persoonlijk @duck.com-adres aanmaken om aan bedrijven te geven. Tegelijkertijd kunnen ze ook een Private Duck Address aanmaken om aan bedrijven te geven, als ze niet vertrouwen dat een site of app goed om zal gaan met het mailadres. Een Private Duck Address is @duck.com-mailadres met een willekeurige naam, zoals [e-mail]. Deze privéadressen zijn te deactiveren, mocht een adres te vaak misbruikt worden voor spam.

De Email Protection-dienst is vooralsnog in bèta en werkt met een wachtlijst. DuckDuckGo zegt dagelijks mensen toe te voegen aan de dienst. Via de DuckDuckGo-app kunnen gebruikers zich aanmelden bij de wachtlijst. De organisatie belooft de e-maildienst 'voor de lange termijn' te ondersteunen.

Reacties (87)

[3raser]

Let op dat SPF controles altijd falen als je zo'n doorstuur service gebruikt omdat de doorsturende server niet op de whitelist van het verzendende domein staat.

[Anoniem: 1576590]

Let op dat SPF controles altijd falen als je zo'n doorstuur service gebruikt omdat de doorsturende server niet op de whitelist van het verzendende domein staat.

Dat klopt niet (tenzij). Maar dank voor jouw bericht, ik realiseer mij nu het volgende.

Omdat SPF forwarding sloopt, is SRS (Sender Rewriting Scheme) uitgevonden, en dit werd (en waarschijnlijk wordt) daadwerkelijk gebruikt in de praktijk. Nadeel: de forwardende MTA (mail server) moet "statefull" zijn, d.w.z. het retour-pad (een tijdje) onthouden.

Het grootste probleem ontstaat pas als het zendende domein DMARC vereist en het ontvangende domein dit honoreert: vanwege de door DMARC vereiste sender domain alignment, valideert de combi SPF + DMARC niet meer.

Dat is an sich OK voor DMARC, mits er een geldige DKIM signature in de headers zit (gezet door de juiste server). Immers, by default is DMARC happy als tenminste één van de twee uit SPF en DKIM valideert.

Echter, als duck.com trackers uit mails gaat verwijderen, gaan DKIM signatures natuurlijk ook stuk...

Last but not least: als ze bovenstaande problemen weten op te lossen, zou ik zo'n dienst nooit gebruiken om accounts op websites aan te maken. In bijna alle gevallen wordt jouw e-mail adres nl. voor wachtwoord-reset gebruikt, en staat dus gelijk aan jouw identiteit.

Het is dus zaak om altijd controle te houden over alle e-mail accounts (en/of aliases) die nog geldig zijn als inlognaam op websites, en een toekomstbestendige provider te kiezen (of eigen MTA te gebruiken).

Als mail naar zo'n omleidings- of tijdelijk e-mail adres ooit in handen van kwaadwillenden valt (bijv. duck.com ermee stopt en het domein verkoopt), heb jij een probleem.

[FvdM]

Het DKIM signature probleem is ze omzeilen als de door te sturen mail als bijlage wordt verzonden. Dus ze strippen de trackers eruit waardoor de DKIM body hash niet meer klopt en er wordt een nieuwe mail (wrapper) gemaakt met een eigen signature.

[Anoniem: 1576590]

Het DKIM signature probleem is ze omzeilen als de door te sturen mail als bijlage wordt verzonden. Dus ze strippen de trackers eruit waardoor de DKIM body hash niet meer klopt en er wordt een nieuwe mail (wrapper) gemaakt met een eigen signature.

Dat kan inderdaad. Maar dan krijg je een soort "on behalf of" afzender. En dan moet je er wel op kunnen vertrouwen dat duck de juiste afzenderdomein-checks gedaan heeft. Daarbij, een bijlage kan verwarrend zijn en betekent sowieso een extra click.

Echter, als je zover gaat, hoeft duck de mail niet meer als bijlage te verzenden; zij kunnen dan inline elke wijziging doorvoeren die zij nodig achten (en, bij voorkeur, een nieuwe DKIM signature toevoegen); immers duck is dan de afzender.

Een extra probleem met SPF, DKIM en DMARC is dat de meeste ontvangers er geen idee van hebben welke eisen het afzende domein stelt en welke daarvan het ontvangende domein honoreert. Daar komt bij dat wijzigingen daarin (om welke reden dan ook, o.a. afzenders die klagen dat hun mails geblockt worden) zelden of nooit bekendgemaakt worden. Elke extra stap in de keten vergroot dit probleem.

Een ander probleem is: wat zijn trackers? Als een noodzakelijk "klik hier" link via iets als mailchimp of sendgrid gaat, is dat een tracker, maar als duck die verwijdert is de mail zinloos. Hetzelfde geldt voor CNAME domeinnamen (trackingthirdparty.example.com).

Ten slotte wijs ik nogmaals op wat ik onderaan (vanaf "last but not least") in mijn vorige bijdrage aankaartte.

Laatste puntje: als je niet vanuit jouw duck "account" kunt mailen kan dat een probleem zijn, en als dat wel kan zullen spammers dankbare misbruikers worden van deze dienst.

[Anoniem: 201953]

Dat vs

[...]
Een extra probleem met SPF, DKIM en DMARC is dat de meeste ontvangers er geen idee van hebben welke eisen het afzende domein stelt en welke daarvan het ontvangende domein honoreert.

Dat kan ik als leek op dit gebied onderschrijven. Ik heb de indruk dat beide zijden geen idee hebben.
Ik heb wel eens problemen gehad met onbegrijpelijke SPF foutmeldingen en van het niet aankomen van mail zonder dat ik daarvan een foutmelding kreeg. De ontvangende partij kon mij nooit vertellen wat er aan de hand was. Meestal zijn dat grote bedrijven, zoals banken, waar de systeembeheerders kennelijk uit hun neus zitten te vreten.😁

[RobinMM]

Het doorsturen werkt echt prima via anonaddy. Zowel via hun domeinen als via eigen domein(en). Dus roepen dat het niet werkt vind ik vreemd. Ik ben er heel blij mee om op deze manier mezelf beter te beschermen tegen spam en mijn hoofd email verborgen te houden. Uiteraard heb ik voor anonaddy niet mijn hoofd email gebruikt maar ook een alias. Gebruik het icm protonmail. Er zijn browser extensies om makkelijk aliassen aan te maken en ook voor Android en iOS is er een hele fijne app. Het omzetten van alle accounts waar ik nog mijn hotmail of Gmail account heb gebruikt is wel een werkje. Maar geeft wel voldoening haha

[3raser]

Het zou goed kunnen dat het prima werkt maar heb je de SPF resultaten uit de e-mailheaders ook al eens bekeken? Het kan prima zijn dat die gewoon een negatief resultaat geeft maar alsnog wordt afgeleverd. Dit kan verschillende oorzaken hebben zoals bijvoorbeeld een softfail of een DKIM die wel werkt en die sterker wordt gewogen. SPF is tenslotte alles behalve de heilige graal van afzenderbescherming.

[RobinMM]

Hier een deel van de header van een mail die doorgestuurd is:

Authentication-Results: w3.tutanota.de (dis=neutral; info=dmarc domain policy);
dmarc=pass (dis=neutral p=quarantine; aspf=r; adkim=s; pSrc=dns) header.from=mijneigendomein.com;
dkim=pass header.d=mijneigendomein.com header.s=dk1 header.b=fJ4jiqrh
Received: from w4.tutanota.de ([192.168.1.165])
by w3.tutanota.de
with SMTP (SubEthaSMTP 3.1.7) id KRBE1FNX
for [e-mail];
Tue, 20 Jul 2021 03:38:34 +0200 (CEST)
Received-SPF: Pass (mailfrom) identity=mailfrom; client-ip=213.108.105.57; helo=mail.anonaddy.me; envelope-from=[e-mail]; receiver=<UNKNOWN>

[chippos]

Welke browser extensies, Android en iOS apps om makkelijk aliassen aan te maken raadt je aan?

[RobinMM]

Voor de browser is er de extensie van anonaddy zelf, zoeken daarop is voldoende voor zowel iOS en Android is er 'addymanager'.

[LNDN]

Ook niet onbelangrijk: men kan gewoon je invoer al weigeren op domein. Dit gebeurt ook al bij sommige websites/diensten die eisen dat je een email gebruikt met eigen domein dus NIET van een FAANG bedrijf.

[stuiterveer]

Een makkelijke andere stap is remote content standaard blokkeren. Dan heb je geen externe service nodig, want in dit geval weet je dus weer niet wat DuckDuckGo ermee doet. Ja goed, ze beloven er niks shady mee te doen, maar waarom geloven als je het ook net zo gemakkelijk (of zelfs makkelijker, je hoeft namelijk geen alias te onderhouden) zelf in de hand hebt?

[3raser]

Gmail gebruikt standaard een image proxy zodat tracking via afbeeldingen niet werkt. Is er nog meer remote content die te blokkeren is? Remote CSS en javascript werkt volgens mij niet in e-mails.

[stuiterveer]

Dit is al een goede stap vanuit Google zelf ja, en in theorie het enige nodige om te blokkeren, al ben ik hier persoonlijk ook geen fan van want:

• dan zit Google dus te analyseren wat er naar me wordt doorgestuurd (waarom zou ik overigens dan uberhaupt nog gmail gebruiken natuurlijk, maar dat is een afzonderlijke kwestie)
• ik moet dan van de web client gebruik maken want in een andere email client wordt die proxy niet gebruikt

Alsnog een goede stap om mensen langzaamaan meer privacy aware te maken.

[Anoniem: 1322]

dan zit Google dus te analyseren wat er naar me wordt doorgestuurd (waarom zou ik overigens dan uberhaupt nog gmail gebruiken natuurlijk, maar dat is een afzonderlijke kwestie)

Google scant je e-mail niet. Ook niet de gratis variant:
nieuws: Google stopt met scannen van Gmail-berichten voor gepersonaliseerde a...

/edit: hoe is dit offtopic of niet relevant. Het Tweakers voting systeem is echt kapot....

[Reactie gewijzigd door Anoniem: 1322 op 22 juli 2024 14:11]

[NielsFL]

Gmail stopt sommige e-mails in aparte mappen, zoals Promotions en Social. En ze filteren - zoals hierboven beschreven - trackers via een image proxy. Dat zijn functies die alleen maar kunnen bestaan door de inhoud van de e-mail te analyseren.

Het enige waar ze mee gestopt zijn is het aanpassen van advertenties op basis van de inhoud van je e-mails. Dat "Gmail stopt met scannen" is iets wat Tweakers er van gemaakt heeft. Google zelf stelt het nergens zo stellig. Als je doorklikt naar het originele Google bericht gaat het specifiek om de advertenties, niet om het scannen op zich.

[Anoniem: 1322]

iets wat Tweakers er van gemaakt heeft. Google zelf stelt het nergens zo stellig. Als je doorklikt naar het originele Google bericht gaat het specifiek om de advertenties, niet om het scannen op zich.

G Suite’s Gmail is already not used as input for ads personalization, and Google has decided to follow suit later this year in our free consumer Gmail service. Consumer Gmail content will not be used or scanned for any ads personalization after this change. This decision brings Gmail ads in line with how we personalize ads for other Google products. Ads shown are based on users’ settings

Volgens mij moet je de bron nogmaals lezen? En natuurlijk gaat dit specifiek om advertenties, waar zou het anders voor zijn?

/edit, ik heb de reactie verkeerd geïnterpreteerd.

[Reactie gewijzigd door Anoniem: 1322 op 22 juli 2024 14:11]

[rbaidjoe]

En natuurlijk gaat dit specifiek om advertenties, waar zou het anders voor zijn?

Om je binnenkomende mail te categoriseren in Inbox, Promotions en Social. In jouw quote bevetig je exact het statement van @NielsFL Wellicht moet je NielsFL's bericht nogmaals lezen?

[Anoniem: 1322]

Inderdaad, ik begreep hem verkeerd. Al zie ik persoonlijk niet dat het categoriseren van e-mail een probleem is. Het verhoogt gebruikersgemak en ik zie zo niet hoe dit een inbreuk geeft op mijn privacy.

Maar misschien zie ik wat over het hoofd?

[Waah]

Je kan heel veel data halen uit email. Wat voor nieuwsbrieven werken wel, welke niet bijvoorbeeld. Hoevaak klikken mensen door, wat kopen mensen zoal etc.

Allemaal data die niet gebruikt wordt voor ad personalisation, maar wel héél waardevol zijn.

En om een rand geval aan te halen. Dit gaat over ad personalisation.... Binnen Gmail? Of ad personalisation overal? Want ze kunnen binnen Google bijvoorbeeld de info niet gebruiken voor je ads.... Maar wel gebruiken voor bedrijven voor personalisatie

[Reactie gewijzigd door Waah op 22 juli 2024 14:11]

[tom.cx]

Google scant mail zeker. Ze zeggen weliswaar dat ze het niet meer doen voor bepaalde doeleinden. Dat moet je echter net als bij DuckDuckGo maar geloven

[moonlander]

Maar dat kun je dan over elk bedrijf wel schrijven.

[iRobin]

Klopt, alleen is Google juist degene die microdata zoveel mogelijk toejuicht, iets wat het interpreteren van data in e-mails nog veel makkelijker maakt (Zie ook comment van @turbojet80s en https://developers.google...ference/formats/microdata)

[Argantonis]

Maar dat kun je dan over elk bedrijf wel schrijven.

Dat kan, maar niet elk bedrijf is het grootste advertentiebedrijf ter wereld.

[Anoniem: 1322]

Tja, ze hebben zich er natuurlijk wel aan te houden. Ze hebben ook een zakelijke dienst met dezelfde voorwaarden. Nu kunnen we allemaal wel aluminium hoedjes opzetten maar waarom zouden ze er om liegen?

[Me_Giant]

De macht blind vertrouwen is zelden het begin van iets moois.

[turbojet80s]

Google scant je e-mail niet. Ook niet de gratis variant:
link

En dit komt dan weer uit een nieuwer bericht: nieuws: Google scant aankopen in Gmail en houdt deze bij op webpagina

Tip: Vertrouw ze niet zo maar

[Reactie gewijzigd door turbojet80s op 22 juli 2024 14:11]

[Anoniem: 1322]

Maar als ik die link volg lijkt dat niet (meer) zo te zijn:
Your Google Account includes purchases and reservations made using Search, Maps, and your Assistant. For example, purchases and reservations can come from:

Food orders or Google shopping orders placed through Search or Assistant
Reservations for restaurants, hotels, and health and fitness bookings created using Search, Maps, or Assistant
To find the source of an order, select it to find its details.

Ik heb ook geen 'aankopen' en je kunt het hier inzien:
https://myaccount.google.com/purchases

En wees niet bang, ik vertrouw mega bedrijven nooit op de blauwe ogen. Maar ik zie ook dat mensen vaak elkaar napraten terwijl het anders blijkt te zijn...

[Reactie gewijzigd door Anoniem: 1322 op 22 juli 2024 14:11]

[ToolBee]

Doe eens een Google Take-out.
https://www.businessinsid...t?international=true&r=US

[Kenhas]

Ik heb even de link gelezen waar je naar verwijst maar ik lees daar enkel over verborgen virussen. Nergens lees ik dat er trackingdata wordt uitgehaald.

Het is een bericht dat dateert uit 2013 dus er zal waarschijnlijk wel iets veranderd zijn ondertussen.

Vraag me wel af hoe je tracking uit een afbeelding kan halen.

Als je als source het volgende zet https://domein.com/image/...aSsbW7B8hH4SLD7zDZvp.jpeg

Dan verwijst dat in mijn database (als tracker zijnde) naar jouw gegevens. Dus als jij op één of andere manier de afbeelding ziet, dan weet de tracker toch dat de afbeelding geopend is

[watercoolertje]

Denk dat het vooral om gangbare/nekende trackers gaat, dus niet als jij zelf wat bouwt (perse).

Daarnaast kunnen ze ook gewoon standaard alle images ophalen en in de mail embedden, je bent dan niet te tracken want die image wordt niet meer van de bron geladen bij het openen of jij nou die mail wel of niet opent maakt dus geen verschil

Effectief ben je dan un-tracked, wel is het bij de bron natuurlijk bekend dat die image opgevraagd is (niet door jou maar de code die die image in je mail moet embedden), daarmee denken ze je dus te tracken maar doen ze effectief helemaal niet.

[Reactie gewijzigd door watercoolertje op 22 juli 2024 14:11]

[Bartmanz]

Behalve dat de afzender weet dat het e-mailadres in gebruik is.
Dat je plaatjes niet wilt downloaden is om dezelfde reden als dat je nooit op een Unsubscribe-link in een spambericht moet klikken.

[watercoolertje]

Dat snap ik (daarom zeg ik ook 'wel is het bij de bron natuurlijk bekend dat die image opgevraagd is') maar dat maakt het nog geen tracking.

Ik doe ook de aanname dat de postbode vandaag langs is geweest want er ligt post binnen, maar ik heb de postbode/brief niet kunnen tracken

Ze weten door wat ik aangaf als manieren ook niks over jou als persoon (IP/useragent van je mail-client) want die krijgen ze door van de dienst die die images dan op zou halen. Oftewel geen gebruikersgegevens, geen moment van openen als je hem al opent, oftewel un-tracked, maar nog wel ingeschreven bij spammers inderdaad

[Reactie gewijzigd door watercoolertje op 22 juli 2024 14:11]

[Cyberpuppy]

Niet helemaal waar denk ik:
-Het plaatje is niet meer te linken aan jouw IP adres, dat is nu het adres van de server die het ophaalt
-Eventueel andere info die er te halen valt is ook die van de ophalende server en dus niet van jou
-Per definitie wordt elke link geopend en kun je dus geen data meer halen uit het wel of niet bezoeken van de URL

[ocf81]

Je hebt ook tracking links. Dat zijn dus links naar pagina's die eerst een tracker bezoeken en je dan redirecten naar de eigenlijke pagina. In het originele bericht wordt ook mailchimp genoemd, wat zo'n dienst is. Dat zou kunnen beteken dat ze het originele adres eruit weten te vissen en dat ze zo de tracking links voor bepaalde diensten vervangen door de eigenlijke links.

[Reactie gewijzigd door ocf81 op 22 juli 2024 14:11]

[kzin]

Ja bit.ly adressen. Daarvoor gebruik ik https://urlscan.io . De tracking link er in pasten en urlscan geeft je na een paar seconden de uiteindelijke pagina. Met wat geluk met een schone url. Je krijgt een screendumpje van de website die uiteindelijk bezocht wordt, zodat je kan inschatten of het de moeite waard is om te bezoeken.

[CivLord]

Ja, klinkt goed. Maar wanneer Google iets blokkeert, dan doen ze dat om hun concurrenten dwars te zitten. Zelf hebben/ gebruiken ze wel al die informatie.
Ook dat klinkt goed, Dan heeft alleen Google die informatie en niet ook nog een andere advertentie-/ databoer. Maar dat maakt Google alleen maar machtiger. En bij veel van die informatie gaat het ook om zaken die de verzender wil weten: Welk deel van de verzonden mails wordt geopend, hoeveel binnen een uur na ontvangst, etc. Dat is info die Google nu voor ze bijhoudt en aan ze kan verkopen. (Natuurlijk niet dat [e-mail] de ontvangen mail na 27 minuten opende, maar dat van alle mails van domein @databoer.nl 10 % binnen 10 minuten werd geopend, 30% in de 50 minuten daarna, etc. Extra inkomsten voor Google en extra kosten voor de databoer, die misschien zelf nog schimmiger moeten doen om dat extra geld binnen te harken.

[3raser]

Het is voor Google vooral interessant om afbeeldingen "veilig" te kunnen openen omdat dit veel gebruiksvriendelijker is dan overal een waarschuwing weer te moeten geven dat afbeeldingen van externe bronnen onveilig kunnen zijn. Daar hoeft niet perse allerlei slechts achter te zitten.

Google verkoopt geen data. Ze gebruiken het alleen voor eigen diensten. Dus dat ze aan derden verkopen hoe snel jij je e-mails opent heb je volgens mij compleet uit je duim gezogen. Zo niet dan mag je even wat bronnen aanwijzen die hier bewijs voor hebben.

[CivLord]

Ze verkopen niet aan derden hoe snel ik of jij persoonlijk een email openen.

Hoe snel mailtjes van @databoer.nl door alle gebruikers van Gmail geopend worden is onderdeel van het complete pakket aan analytics dat door Google aan Databoer aangeboden wordt. Dat is júist het soort data dat door Google aan bedrijven verkocht wordt.

Een bedrijf dat mailings verstuurt wil weten hoe daarop gereageerd wordt: bij welke steekwoorden in het onderwerp wordt een email sneller geopend en bij welke minder snel of niet. Dat is de informatie die ze krijgen door trackers in te bouwen. Wanneer een groot deel van de mails gestuurd wordt naar Gmail adressen en Google daar die trackers afvangt, dan kan het bedrijf alleen aan die informatie komen door die informatie van Google te kopen.

[Duckman51]

Dit is uiteraard een prima advies in het algemeen maar de vraag is blokkeert dit dan ook trackers?

[Petertjuh360]

In principe wel, omdat trackers vaak witte pixel gifjes gebruiken in de inhoud van een email om je te tracken. Remote content (het gifje) wordt geblokkeerd en daardoor is tracking niet mogelijk. Tenzij je alsnog op linkjes klikt of remote content gaat laden natuurlijk.

[NKR]

ja, want trackers werken door een uniek asset (meestal een afbeelding van 1px) remote op te halen

[SinergyX]

Webmail van xs4all laad bij voorbeeld nooit externe maar iets in, geen afbeelding, geen pixel, gewoon enkel de tekst zoals in het mailtje. Je kan ze whitelisten, of aangeven extern op te halen. De url wordt zelfs in de brontekst verwijderd <img src=(unknown) met een data-original-src tag aanvullend).

Trackers werken in dat opzicht nog steeds maar 2 manieren, de 1px plaatjes (of soms zelfs de plaatjes in de mail zelf - src=blabla.jpg?userid=122), of de directe linkjes uit de mailtjes (klik <hier> om online te lezen).

Zolang geen enkele verbinding wordt gemaakt met die tracker server (plaatje of click), heb je die per definitie geblokkeerd.

[GertMenkel]

Ik probeer het, maar ik krijg genoeg belangrijke mail die zonder afbeeldingen niet te lezen is. Nieuws over de studenten-OV-kaart komt bijvoorbeeld in JPEG-vorm, en op mijn klacht hierover heb ik nooit antwoord gehad.

Ik zou liever een beweging vanuit grote mailclients zien om het inladen van externe resources moeilijker te maken, maar in plaats daarvan heeft Gmail remote content standaard aangezet en hebben ze de image proxy opgezet om de privacy gedeeltelijk te beschermen

[stuiterveer]

Ik probeer het, maar ik krijg genoeg belangrijke mail die zonder afbeeldingen niet te lezen is. Nieuws over de studenten-OV-kaart komt bijvoorbeeld in JPEG-vorm, en op mijn klacht hierover heb ik nooit antwoord gehad.

Ik krijg genoeg belangrijke mail binnen, maar zelfs terwijl ik alle afbeeldingen blokkeer in al m'n email clients heb ik nog niet zo'n problemen ondervonden. Wat is dit trouwens voor een rare zet van ze, willen ze hiermee verzekeren dat ze het lezen van emails kunnen tracken? Een andere reden kan ik me niet inbeelden, aangezien cleartext altijd minder ruimte in beslag zal nemen...

[GertMenkel]

Het is de enige verklaring die ik kan bedenken, verplicht tracken. Dat marketingbedrijven als Megekko hun mail zo in elkaar zetten is nog enigszins te begrijpen (alhoewel ik mijn vragen heb over of dit mag van de AVG), maar genoeg "belangrijke" instanties zijn net zo hard gefocust op tracking terwijl ze daar helemaal geen baat bij hebben.

[C-dude]

Of omdat ze de layout op elk toestel/browser/os hetzelfde willen laten.

Genoeg rare dingen gezien in verschillende browsers ivm een opmaak.

[Oon]

Inderdaad, als je iets om trackers geeft ben je waarschijnlijk ook op de hoogte van wat voor slecht idee het is om al je emailverkeer langs een extra (en onnodige) derde partij te sturen..

[GeroldM]

Maar een eigen mailserver is niet zo prettig meer om te beheren. Heb maar 1 provider die op het adres van de mailserver internet wil/kan leveren. Bij hen dus een statisch IP aangeschaft. Dat IP adres is onderdeel van een cluster in beheer van de ISP.Nu heeft die ISP een klant die het niet nauw neemt en anti-spam organisaties detecteren dat ook. Helaas zijn er ook van die anti-spam organisaties die dan het gehele cluster als spammer aanmerken.

Dat is iets waar ik met mijn eigen mail server dus last van heb. Nu is die organisatie zo "vriendelijk" om dit niet meer te doen voor 25 Zwitserse Franken per maand. Dat verrek ik, want ik ga hun domme manier van spam markering niet sponsoren.Mijn mail server is veilig geconfigureerd en zij menen van hun probleem mijn probleem te maken.

Dit soort ge-emmer maakt het minder aantrekkelijk je eigen mail server te beheren. Er zijn namelijk een heleboel anti-spam organisaties en deze zijn zeer zeker niet allemaal even zuiver op de graat.Maar ja, je mail server heeft geen perfecte score dus GMail, Outlook.com, Office 365 en anderen accepteren daardoor geen enkel mail bericht van je mailserver. Dat kan ik hen niet verwijten, maar het onzinnige aanmerken als spammer door idioten die denken met maffia-praktijken hun geld te willen verdienen, die bederven de boel zodanig dat er de lol toch wel een heel eind vanaf is.

[Reactie gewijzigd door GeroldM op 22 juli 2024 14:11]

[Oon]

Ik heb gewoon een mailserver gehost bij een betrouwbare partij (eigen VPS, encrypted disk) en nooit problemen.

Maar hoe dan ook zou ik eerder O365 vertrouwen dan al mijn mailverkeer onnodig langs een extra derde partij sturen.

[CivLord]

Voor je privémail heb je hier zeker een punt. Om nieuwsbrieven ed. te laten scrubben lijkt het me een goede oplossing.

[MijnKijk]

Ik weet niet hoe succesvol dat in andere e-mail cliënt is, maar als je in Outlook afbeeldingen etc niet laat laden, wordt eventueel gescripte meuk nog gewoon uitgevoerd.

NetLimiter komt nog steeds bij bepaalde mails met de vraag of er verbonden mag worden. Zo heb ik onder andere mails die verstuurd worden met Spotler die er toch iets in hebben weten te fietsen dat je cliënt niet tegenhoudt.

[Jazco2nd]

Maar dan laadt de halve email ook niet hè. Want 1x1 pixel images of 100x100 pixel images kunnen beide van remote servers komen.

Het voordeel van deze dienst is juist dat de plaatjes wel gedownload worden maar dat het de verzender geen nuttige tracking info oplevert.

[rain2reign]

Zelf gebruik ik dit soort diensten niet, alhoewel ik het idee erachter wel begrijp, maar ik vertrouw het toch niet helemaal. Er moet uiteindelijk van ergens geld in het potje komen. Daarbovenop zie ik steeds vaker voorkomen dat dit soort "relay"-emails meer en meer geblokkeerd worden. En je moet de app waarschijnlijk ook geinstalleerd hebben, althans dat kan ik me best goed voorstellen. Niet dat daar iets mis mee is, maar ik heb liever dat het een losse keus is voor het gemak met integratie.

Vergelijkbare diensten voor diegene wie nieuwsgierig zijn:

• https://relay.firefox.com/
• https://anonaddy.com/
• https://simplelogin.io/

[Reactie gewijzigd door rain2reign op 22 juli 2024 14:11]

[3raser]

Daarbovenop zie ik steeds vaker voorkomen dat dit soort "relay"-emails meer en meer geblokkeerd worden.

Dan bedoel je dat de verzendende mailserver de relay blokkeert. Waarom zouden ze dat doen? Het interesseert hen toch niet welke server de mail afhandelt zolang de mail maar wordt afgeleverd.

[GabrielWB]

Ik vermoed dat @rain2reign bedoelt dat het registreren van een relay email adres überhaupt onmogelijk is.

Weggooi email adressen als Mailinator, Maildrop, Disposable, en vergelijkbare diensten staan op talloze websites al op een blacklist.

[rain2reign]

Klopt, daar doelde ik inderdaad naar.

Even terzijde waarvoor je het relay gebruikt. De gemiddelde gebruiker van het des betreffende dienst --vaak ook de meerderheid van het klantenbestand-- gaat het helemaal niks uitmaken hoe of wat. Die hebben er geen kaas van gegeten om het te begrijpen of maakt hen niets uit. Die gaan er gewoon vanuit (a) dat het werkt en (b) ik word niet getraceerd zoals het geadverteerd wordt via marketing.

[dezero]

Een relayadres kan je makkelijk weer uitschakelen, dat doe je niet gauw met je primaire e-mailadres. Een bedrijf wil graag zekerheid dat ze je kunnen blijven "informeren" en daarvoor hebben ze je echte e-mailadres nodig. Als work-around kan je natuurlijk een extra Gmail/Outlook-adres aanmaken puur voor alle webshops/sites waarvan je niets meer wilt horen.

[GeroldM]

Een heleboel online diensten accepteren geen mail adressen van GMail, Hotmail (a.k.a Outlook.com) als valide adressen voor hun dienst. Je work-around werkt dan niet.

Vandaar dat voor zulke gevallen het beter zal werken als je een mail-adres van een (relatief) onbekende mail-provider gebruikt, of een dummy adres creeert op je eigen mail server.

[testaankoop]

Poeh ja ik heb het even uitgeprobeerd en vergeleken. Maar dan via hun webbrowser versus Safari op iOS.

Zo blokkeert DuckDuckGo op bijvoorbeeld Tweakers.net 5 trackers. En op Nu.nl bijvoorbeeld ook 5 trackers. Safari blokkeert op Tweakers.net 9 trackers en op Nu.nl 16 trackers.

Ik denk dat je dus eerlijk gezegd los van het vertrouwen, ook niet persé betere prestaties hoeft te verwachten dan andere diensten.

[teek2]

Ik heb soms het gevoel, maar het is maar een gevoel, dat als sommige trackers geblokkeerd worden, dat ook gelijk andere "down stream" trackers blokkeert. Daarnaast kan het ook zijn dat de definitie van tracker anders voor Safari en DDG?

[Maduropa]

Ben wel benieuwd, de DuckDuckGo app gebruik ik al langer op mijn telefoon als alternatief voor Chrome dus voor mij geen probleem om me aan te melden.

Ik vraag me wel af wat de mail gaat doen qua relaying-servers, gaat een SPF dadelijk 'stuk' omdat de mail nu via een ander IP address bij mijn mailbox terecht komt. ?
En wat als ik dadelijk een activatielink moet aanklikken voor aanmelden met dat bewuste e-mail adres en DuckDuckGo poetst zo'n link weg? Kun je die dan alsnog opvragen ?
En hoe vaak mag je een private address wisselen, ben heel benieuwd

[Jan-E]

Ik vraag me wel af wat de mail gaat doen qua relaying-servers, gaat een SPF dadelijk 'stuk' omdat de mail nu via een ander IP address bij mijn mailbox terecht komt. ?

Aanpalend: klopt een DKIM-signature nog wel? Die bevat immers een hash van enkele headers en de body van een e-mail bericht. En die body verandert als je tracking pixels verwijdert. Of voegen ze er zelf een nieuwe DKIM-signature aan toe?

[Reactie gewijzigd door Jan-E op 22 juli 2024 14:11]

[delphium]

Ook DKIM is alleen voor het versturen van e-mail. Een ontvangende server checkt daarbij of de ondertekening klopt met het certificaat op de DNS van het domein.

[Jan-E]

Nee, zo gaat dat niet. De ontvangende mailserver kijkt of de hash klopt via het opvragen van de public DKIM-key van het domein. Als je de inhoud wijzigt klopt die hash niet meer en faalt de DKIM check dus.
https://easydmarc.com/blo...rding-and-dmarc-dkim-spf/
Edit:

SPF: When it comes to Forwarding, SPF Authentication checks will mostly fail, this is logical since a new entity, not included in the original sender’s SPF Record, send the forwarded email.

DKIM: Email forwarding does not affect DKIM, as long as you have not altered the content and the structure of the original Email.

[Reactie gewijzigd door Jan-E op 22 juli 2024 14:11]

[delphium]

Volgens mij werkt het als volgt:

Je schrijft je in voor de nieuwsbrief van Tweakers met [e-mail]. Tweakers verstuurd de e-mail naar dat adres en duck verifieert de SPF en DKIM. Die kloppen. Vervolgens maakt duck.com een nieuw mailtje aan met een nieuwe DKIM-hash en stuurt die door naar je echte adres.

Dan klopt toch alles gewoon? Je kunt natuurlijk geen mailwisseling gaan houden omdat die duck-jongens er tussen zitten, maar voor nieuwsbrieven is het misschien handig voor sommigen.

[Jan-E]

Dan vervangen ze dus de hele DKIM-signature. Om de SPF dan ook nog te laten werken moeten ze ook de Envelope-From nog vervangen. Dat kan met behulp van SRS rewriting. Van het oorspronkelijke mailtje blijft dan weinig meer over, Mijn eigen domeinhoster (bhosted) heeft dat geimplementeerd en toen bleek dat ze ook de oorspronkelijke Envelope-To en de oorspronkelijke Received headers moesten verwijderen om toch weer niet tegen spamfilters aan te lopen.

[delphium]

Ik vermoed dat je veel te ingewikkeld denkt. Het doorgestuurde mailtje komt gewoon van duck.com met een kloppend SPF-record in hun DNS. Ze zullen in de onderwerpregel wel iets zetten van: "Tweakers Nieuwsbrief, forwarded by Duck.com".

[watercoolertje]

Gezien er gesproken wordt over doorsturen* denk ik inderdaad dat je gelijk hebt het en inderdaad gewoon een forward betreft die heeft niks te maken met de SPF en DKIM van het originele bericht.

Wel is dat iets wat mogelijk zorgt dat bijv spam via die route toch als niet-spam binnen komt (valide afzender/dkim/spf)? Tenzij die doorstuurservice zelf spam filtert maar dan moet je dat ook in kunnen zien als er eens iets wat niet spam is daar toch in beland...

* het is wat lastig te bepalen of doorsturen in de context van een gebruiker of doorsturen in de context van een server adv het artikel.

[Reactie gewijzigd door watercoolertje op 22 juli 2024 14:11]

[delphium]

Nee, de SPF gaat niet stuk. Deze service is om mail op te halen en niet om te versturen. SPF dient louter om een IP-adres toestemming te geven mail te versturen uit naam van een domein.

[timvisee]

Om hier gebruik van te maken moet je de DuckDuckGo Android/iOS app installeren. Jammer.

[crappy]

He bah, ja. Maar is dat niet alleen om op de Waitlist te komen?

• Download DuckDuckGo for iOS or Android
• Open Settings > Beta Features > Email Protection
• Click “Join the Private Waitlist."

[spokje]

Ik mis heel 'bèta features' in mijn settings helaas.

[pirania]

Zo te zien doen ze het met mailservers in Microsoft-ranges (Azure?):

[~]₿ host duck.com
duck.com has address 52.142.124.215
duck.com mail is handled by 5 smtp-inbound1.duck.com.
duck.com mail is handled by 10 smtp.duck.com.
[~]₿ host smtp.duck.com
smtp.duck.com has address 20.54.98.192
smtp.duck.com mail is handled by 0 .
[~]₿ whois 20.54.98.192 | grep Organization:
Organization: Microsoft Corporation (MSFT)

Ter vergelijk, Firefox Relay loopt door AWS:

[~]₿ host relay.firefox.com
relay.firefox.com has address 130.211.19.131
relay.firefox.com mail is handled by 10 inbound-smtp.us-west-2.amazonaws.com.

[Reactie gewijzigd door pirania op 22 juli 2024 14:11]

[Kenhas]

Euhm, en waarom zou dat nuttige informatie zijn?

Is een oprechte vraag hoor. Is dat dan goed of slecht dat ze via Microsoft lopen?

[Cyb]

Email Protection is geen maildienst zoals Gmail [...] De dienst verwijdert dan alle trackers en stuurt deze weer door naar de maildienst van de gebruiker.

Emails die bekeken worden via de webclient van Gmail, zouden sowieso geen trackers moeten kunnen bevatten, want de webclient gebruikt een image-proxy, en deze proxy zou geen informatie lekken.
Bron: https://support.google.com/mail/answer/145919

Senders can’t use image loading to get information about your computer or location.
Senders can’t use the image to set or read cookies in your browser.
Gmail checks the images for known harmful software.

Sometimes, senders may know whether you've opened an email that has an image. Gmail scans every message for suspicious content. If Gmail thinks a sender or message is suspicious, images aren’t shown and you’ll be asked if you want to see the images.

(Tenzij je Gmail gebruikt via een POP of IMAP client.)

Wel kan het zijn dat de afzender mogelijk kan zien of de email wel/niet geopend is.

[TYZ]

Vooral de willekeurige mailadressen lijken me een handige feature. Je kunt dat natuurlijk ook zelf doen met een eigen domein, of middels het bekende +'je in je bestaande mailadres, maar een makkelijk te beheren portal maakt dit wel voor een groter publiek bereikbaar.

Ik heb mezelf maar op de wachtlijst gezet.

[metbril]

Ik gebruik FastMail. Naast dat ik het laden van remote images standaard heb uitgeschakeld zorgen zij ook nog eens dat plaatjes via hun server lopen. Waardoor ik minder data lek.

https://www.fastmail.com/...ecurity.html#imageloading

[L0g0ff]

Ik gebruik sinds kort FairEmail (opensource android app) en die blokt letterlijk alles wat los en vast zit.

Ik vind deze @duck.com forward use case een beetje mwoa maar ik kan elk privacy initiatief heel erg waarderen. Ik ben ook groot fan van de duckduckgo search engine.

Een goede volgende stap zou zijn een volwaardige mail dienst (bij voorkeur met eigen domein) en niet alleen een forwarder.