你可能會想：「我只是打開一封信看驗證碼，會有什麼風險？」但在網路世界裡，風險往往不是出現在你輸入的那一刻，而是出現在你「看」的那一刻。很多電子郵件不只是文字，它可能包含外部圖片、追蹤像素、嵌入式樣式、跳轉連結，甚至用很像正常排版的方式，偷偷做一些你看不到的事情。
因此，我們在設計郵件檢視器（Viewer）時，採用了一個核心策略：Viewer 沙箱隔離（Viewer Sandboxing）。用一句話來說就是——把你正在看的郵件內容，關在一個獨立、受限制的小房間裡，讓它「只能乖乖顯示」，不能越界做其他事情。
這篇文章會用白話帶你理解：沙箱隔離是什麼、它能保護你什麼、它不能做什麼，以及你在使用時有哪些小技巧能把隱私保護做到更好。
先用白話講清楚：什麼是「Viewer 沙箱隔離」？
你可以把一般的郵件內容想成一個「包裹」。有些包裹裡只有紙張（純文字），但更多包裹裡會放一些「會動的東西」：例如圖片要從外部載入、按鈕會連到外部網站、排版可能會呼叫特定字型或資源。
如果你的檢視器把這些內容直接放到正常頁面裡顯示，就像把包裹直接拆在客廳地板上：它裡面如果有會跑的小東西，你可能來不及反應。
而「沙箱隔離」就像你準備了一個透明的防護箱，把包裹放進去再拆：你看得到內容，但它被限制在箱子裡，不能隨便碰到你的其他資料、不能亂連外、不能執行危險動作。這就是我們所說的 Viewer 沙箱隔離。
為什麼「看一封信」也會暴露隱私？常見的隱形追蹤
很多追蹤不需要你點任何東西，只要你把信打開，它就可能開始記錄。最常見的是這幾種：
1) 追蹤像素（Tracking Pixel）
這是一張非常小、甚至透明的圖片（常見 1×1），放在信件裡。當郵件客戶端去抓這張圖時，寄件方就可以知道：你什麼時間開信、你的裝置可能是什麼、你所在的大概區域、你是否重複開啟等。它不一定會直接取得你的真實身份，但會把你的行為資料「串起來」。
2) 外部圖片載入（Remote Images）
很多行銷信的圖片不是放在信裡，而是放在外部伺服器。你一開信，畫面看起來很漂亮，但其實同時也在對外發出請求。這些請求可以被用來建立追蹤紀錄，甚至做到「不同信件、不同活動的關聯」。
3) 釣魚連結與偽裝跳轉（Phishing / Redirect）
看起來像「查看訂單」「重設密碼」的按鈕，實際上可能導向與官方很像的假網站，或先跳到某個追蹤站，再轉到真正網站。你如果沒有看清楚網址，可能不知不覺把密碼交出去。
4) 惡意 HTML 結構（Malicious HTML Patterns）
多數郵件客戶端會限制腳本，但攻擊者仍可能用各種手法嘗試繞過：例如利用複雜的 HTML 結構、CSS 技巧、或讓你誤點的覆蓋層。它不一定能直接「入侵」，但會提高你誤觸、誤信的機率。
因此，我們的目標不是讓你「永遠不收信」，而是讓你在查看內容時把風險降到更低。
沙箱隔離到底做了什麼？用人話拆解 5 個重點
重點一：把郵件內容放進獨立的 Viewer 容器
我們不把郵件的 HTML 內容直接混在你正常的頁面裡，而是用獨立的檢視環境來呈現。這代表就算信件內容很「花」，也不應該影響到你的主要介面或其他資料。
重點二：限制可執行的行為（能顯示，但不能亂跑）
在沙箱中，郵件內容被限制它能做的事情。它應該只負責「顯示」，而不是隨意執行互動、存取資料、或改動外部狀態。你可以把它理解成：它被允許講話，但不被允許拿你的鑰匙。
重點三：降低外部資源請求（特別是追蹤圖片）
外部圖片與資源請求，是追蹤最常用的入口之一。我們會盡量把這類行為壓到最低，避免你「只是看一下」就把開信紀錄送出去。即使你看到一封很像正常通知的信，背後也可能藏著追蹤。
重點四：讓連結行為更可控
郵件中的連結常常是釣魚與追蹤的重災區。沙箱隔離的思路是：郵件內容本身不應該能偷偷把你帶走。你若要開啟連結，也應該是清楚、明確的動作，並且能讓你更容易辨識連到哪裡。
重點五：減少跨內容的「關聯」
很多追蹤不是只看你開了某一封信，而是想把你在不同信件、不同活動的行為串在一起。隔離檢視能降低這種「被串連」的可能性，讓每封信更像一次獨立事件，而不是你線上身份的延伸。
這對你有什麼好處？最直接的 6 個保護
- 降低開信即被追蹤的機率：特別是追蹤像素與外部圖片請求。
- 降低惡意內容干擾介面的機率：內容被關在獨立環境，不應該影響其他頁面。
- 降低誤點風險：把可疑互動收斂到更可控的行為上。
- 更容易保持匿名感：你用臨時信箱的目的，就是不要被過度建立行為檔案。
- 減少資料被關聯：讓每次查看更像一次性事件，而不是長期追蹤的一部分。
- 更符合「收信專用」的安全直覺：你只需要接收資訊，不需要額外暴露。
對多數人來說，這些保護不是什麼高深技術，而是很實際的體感：看信更安心、主信箱更乾淨、線上行為更不容易被黏住。
沙箱隔離不是魔法：它不能保證什麼？
我們希望你對保護機制有正確期待。沙箱隔離能降低風險，但它不是「萬能盾牌」。以下幾點需要講清楚：
1) 你如果主動點開釣魚連結，仍可能被騙
沙箱隔離的重點是讓內容不亂跑，但如果你看到「立即登入」就點，並在外部網站輸入密碼，那仍可能中招。真正的安全習慣是：不要從信件按鈕登入重要服務，而是自己手動打開官方網站或 App。
2) 它不等於消除所有追蹤
追蹤手法非常多樣，有些是靠你點擊、有些是靠你回覆、有些是靠你留下資料。沙箱隔離主要降低「開信就暴露」的風險，但你在其他地方的行為仍可能被記錄。
3) 它不取代你對內容真偽的判斷
假冒客服、假冒物流、假冒銀行的郵件，文字往往非常像真的。你看到緊急通知、退款、異常登入時，最安全的做法是：不要相信信裡的流程，改走官方管道查證。
我們把門做得更牢固，但你仍要避免把鑰匙交給陌生人。這就是最務實的安全觀。
你可以怎麼做，讓保護效果更好？（超實用）
做法一：把臨時信箱當成「隔離層」，不要當主帳號
臨時信箱很適合用在註冊試用、領驗證碼、加入一次性活動。但不建議用在金流、政府服務、或你確定要長期使用的主帳號。你越把它用在「隔離」用途，它就越安全。
做法二：看到要求輸入密碼、付款、個資的信，一律當高風險
不論信件看起來多官方，只要它要求你輸入敏感資訊，就要提高警覺。真正需要處理的事情，請用你熟悉的官方 App 或官方網站入口去做。
做法三：留意連結的網域，不要只看按鈕文字
釣魚信最常用「漂亮按鈕」掩蓋真實網址。你可以養成一個簡單習慣：按下之前先確認它要去哪裡。如果網址很怪、很長、或跟品牌不一致，就不要點。
做法四：把你不確定的服務「分流」到不同的臨時地址
如果你常註冊網站，你會發現有些地方就是特別愛寄信、特別愛追蹤。把它們分流到不同地址，某個地址變髒了就換掉。這樣你永遠不用拿主信箱去承受這些噪音。
做法五：把「只收不寄」視為更安全的使用路線
很多人其實只需要收驗證碼、收通知，不需要寄信。只收不寄的設計在風險上更直覺：少一個功能，就少一個被濫用與被牽連的可能。
常見疑問（FAQ）
Q1：為什麼不直接把信件內容原樣顯示就好？
因為「原樣」通常包含外部資源與可疑結構。原樣顯示等於給內容更大的活動空間，而沙箱隔離的目標是讓它只負責顯示，降低外部請求與干擾的可能性。
Q2：追蹤像素真的那麼常見嗎？
非常常見，尤其是行銷、活動、註冊導流相關郵件。它不一定是惡意，但它確實在記錄「你有沒有打開」以及「什麼時候打開」。如果你重視隱私，這就是你會在意的細節。
Q3：沙箱隔離會讓某些信件顯示怪怪的嗎？
有可能。因為有些郵件排版很依賴外部資源或特殊樣式。安全與完美排版之間，我們會更優先保護你的隱私與安全。你仍能看到內容重點，例如驗證碼、主要文字與關鍵資訊。
Q4：那我還需要做什麼？你們做了不就好了？
沙箱隔離能降低「被動風險」，但你主動點擊、輸入資料、或在外部網站操作時，仍需要你自己的安全判斷。最安全的習慣是：重要服務請走官方入口，不要從信件按鈕直接登入。
最後用一句話總結
Viewer 沙箱隔離的核心概念很簡單：你可以看到信件內容，但信件內容不應該有能力「看到你」或「影響你」。把內容關在受限制的環境裡，是我們用來降低追蹤與惡意風險的基本功，也是隱私保護裡最值得投資的一步。
當你只是想收一封驗證碼、想完成一次註冊、想避免主信箱被騷擾時，你應該得到的是快速與安心，而不是一連串看不見的追蹤與風險。這就是我們做 Viewer 沙箱隔離的理由。