PyPI ตรวจชื่อเสียงอีเมลใหม่ กลับมาใช้ Outlook-Hotmail ได้แล้ว

เมื่อวานนี้ (ศุกร์ 16 ตุลาคม 2026) บล็อกของ PyPI ซึ่งเป็นคลังแพ็กเกจหลักของภาษา Python ประกาศว่าตอนนี้ PyPI ตรวจ “ชื่อเสียงของอีเมล” (email reputation) เมื่อมีคนใช้อีเมลสมัครบัญชีใหม่ หรือเพิ่มอีเมลเข้าไปในบัญชีที่มีอยู่แล้ว และอีเมลที่ถูกระบุว่าเป็นแบบใช้แล้วทิ้ง (disposable) จะถูกปฏิเสธ (PyPI Blog 2026-10-16)

ผลพลอยได้ที่คนไทยน่าจะสนใจคือ ที่อยู่อีเมล @outlook.com และ @hotmail.com กลับมาใช้สมัครบัญชี PyPI หรือเพิ่มเข้าบัญชีเดิมได้อีกครั้ง หลังจากที่ PyPI สั่งห้ามโดเมนสองตัวนี้ตั้งแต่เดือนมิถุนายน 2024 เพราะมีแคมเปญมัลแวร์สมัครบัญชีเป็นกลุ่มใหญ่ด้วยอีเมลจากโดเมนเหล่านี้ (PyPI Blog 2026-10-16, PyPI Blog 2024-06-16)

ใครเคยเจอข้อความ “You can’t use an email address from this domain.” ตอนสมัคร PyPI ด้วยเมล Outlook น่าจะจำได้ ข้อความนี้ปรากฏในรายงานปัญหาบน GitHub ที่เปิดไว้ตั้งแต่เดือนสิงหาคม 2024 (GitHub Issue #16386) ส่วนการที่ตอนนี้ใช้ได้แล้ว มาจากประกาศของ PyPI เอง ไม่ใช่จากหน้า issue นั้น

สรุป 30 วินาที: เกิดอะไรขึ้น

• อดีต: เดือนมิถุนายน 2024 PyPI ห้ามโดเมน outlook.com และ hotmail.com ผูกกับบัญชี PyPI ใหม่ ทั้งการสมัครใหม่และการเพิ่มเป็นอีเมลเสริม เพื่อรับมือการสมัครบัญชีด้วยบอทจำนวนมาก (PyPI Blog 2024-06-16)
• ปัญหาของวิธีเก่า: PyPI บล็อกอีเมลใช้แล้วทิ้งด้วยลิสต์โดเมนสองชุด คือลิสต์สาธารณะ disposable-email-domains กับลิสต์ภายในของ PyPI เอง ทั้งสองเป็นลิสต์โดเมนแบบตายตัว แยกไม่ได้ว่าอีเมลบนผู้ให้บริการรายใหญ่อย่าง Outlook เป็นเมลชั่วคราวหรือเมลจริง ผลคือต้องห้ามทั้งโดเมน ผู้ใช้จริงที่สุจริตก็โดนหางเลข และยังต้องพึ่งการสืบสวนกับการตัดสินใจของเจ้าหน้าที่หรืออาสาสมัครผู้ดูแล ทำให้แก้ปัญหาช้า (PyPI Blog 2026-10-16)
• วิธีใหม่: เมื่ออีเมลผ่านการตรวจโดเมนแบบเดิมแล้ว PyPI จะถาม “บริการตรวจชื่อเสียงอีเมล” (email reputation service) ว่าอีเมลนี้เป็นแบบใช้แล้วทิ้งหรือไม่ ถ้าบริการรายงานว่าทั้งโดเมนเป็นผู้ให้บริการแบบใช้แล้วทิ้ง PyPI จะเพิ่มโดเมนนั้นเข้าลิสต์ห้ามใช้ ครั้งต่อไปจึงถูกปฏิเสธโดยไม่ต้องถามซ้ำ (PyPI Blog 2026-10-16)
• ผลตอนนี้: วันที่ประกาศ outlook.com และ hotmail.com ใช้สมัครหรือเพิ่มเข้าบัญชีได้อีกครั้ง และ PyPI รายงานว่าบล็อกโดเมนแบบใช้แล้วทิ้งเพิ่มได้ 62 โดเมน กับปฏิเสธความพยายามใช้อีเมลแบบใช้แล้วทิ้งจากโดเมนที่ดูปกติกว่า 120 ครั้ง (PyPI Blog 2026-10-16)

หมายเหตุเรื่องเวลา: ผู้เขียนบล็อกเขียนว่าตัวเลขเหล่านี้มาจากช่วง “หนึ่งเดือนที่ผ่านมา” นับจากที่เขาเพิ่มการตรวจชื่อเสียงอีเมล แปลว่าระบบรันมาก่อนวันประกาศราวหนึ่งเดือน ส่วนที่ประกาศเมื่อวานคือการเปิดให้ Outlook กับ Hotmail กลับมาใช้ได้

ทำไมเรื่องนี้เกี่ยวกับคุณ

ลองนึกภาพนะครับ คุณเป็นนักศึกษากำลังทำโปรเจกต์จบ หรือเป็นนักพัฒนาฟรีแลนซ์ที่อยากปล่อยไลบรารีเล็ก ๆ ให้คนอื่นใช้ คุณมีเมล @hotmail.com หรือ @outlook.com ที่ใช้มาตั้งแต่สมัยมัธยม ผูกกับทุกอย่างในชีวิตอยู่แล้ว ช่วงที่ PyPI ห้ามโดเมนนี้ คุณสมัครบัญชีใหม่ด้วยเมลนี้ไม่ได้ ในรายงานบน GitHub มีผู้ใช้คนหนึ่งเล่าว่าอยากใช้อีเมลหลักที่ใช้มา 20 ปี แต่สมัครไม่ได้ (GitHub Issue #16386) ตอนนี้ตามประกาศล่าสุด ทางนั้นเปิดอีกครั้งแล้ว

เหตุผลที่อีเมลมีบทบาทกับการเผยแพร่แพ็กเกจ มีบอกไว้ในหน้า Help ของ PyPI ครับ PyPI ต้องการอีเมลที่ยืนยันแล้ว (verified email) เพื่อทำสองอย่าง คือสร้างโปรเจกต์ใหม่ และอัปโหลดเวอร์ชันหรือไฟล์ใหม่ PyPI อธิบายว่านโยบายนี้ช่วยบังคับใช้ข้อกำหนดของ PEP 541 เรื่องการติดต่อผู้ดูแลแพ็กเกจได้ (maintainer reachability) และช่วยลดโอกาสที่สแปมจะสร้างบัญชีจำนวนมากแบบอัตโนมัติ (PyPI Help) พูดง่าย ๆ คือ อีเมลบนบัญชีเป็นช่องทางที่ทำให้คนอื่นติดต่อเจ้าของแพ็กเกจได้ ส่วนการเอาไปใช้เป็นเส้นทางกู้บัญชี นั่นเป็นความเห็นของผมเอง ซึ่งหน้า Help ที่ผมอ่านไม่ได้เขียนไว้ตรง ๆ

อีกมุมหนึ่งคือความปลอดภัยของระบบนิเวศ PyPI เล่าไว้เองว่ามัลแวร์กับการละเมิดเป็นเรื่องที่ต้องรับมือมาหลายปี และการห้ามโดเมนอีเมลใช้แล้วทิ้งเป็นหนึ่งในกลไกที่ได้ผลมากที่สุดที่มี (PyPI Blog 2024-06-16) ถ้าคุณเป็นคนที่รัน pip install เป็นประจำ ไม่ว่าที่ทำงานหรือที่บ้าน การที่ผู้ดูแลคลังมีเครื่องมือกรองบัญชีสแปมได้ดีขึ้น เป็นเรื่องที่คุณน่าจะอยากให้เกิด แต่ผลจริงต่อปริมาณมัลแวร์ ผมยังไม่มีตัวเลขยืนยัน เพราะบล็อกของ PyPI ไม่ได้ให้ตัวเลขส่วนนั้น

ทำงานยังไง

เริ่มจากความหมายของคำก่อนครับ “อีเมลแบบใช้แล้วทิ้ง” (disposable / throw-away email) คือที่อยู่อีเมลที่สร้างได้ง่ายมาก ไม่ผูกกับตัวตนจริง และมักสร้างมาเพื่อใช้ครั้งเดียว บริการที่แจกอีเมลลักษณะนี้มีเป็นจำนวนมาก PyPI อธิบายว่าบางรายจดโดเมนใหม่เร็วกว่าที่ลิสต์ไหนจะตามทัน และบางครั้งก็เป็นแค่ alias ชั่วคราวบนผู้ให้บริการสาธารณะ (PyPI Blog 2026-10-16)

วิธีเก่า: ลิสต์โดเมนแบบตายตัว

PyPI ใช้ลิสต์สองชุด ชุดแรกคือลิสต์สาธารณะ disposable-email-domains ชุดที่สองคือลิสต์โดเมนต้องห้ามภายในของ PyPI เอง วิธีนี้ทำงานง่าย แต่มีข้อจำกัดชัดเจน คือถ้าโดเมนไหนเป็นผู้ให้บริการรายใหญ่ที่ทั้งคนจริงและบอทใช้ ลิสต์โดเมนจะแยกคนสองกลุ่มนี้ไม่ได้ ทางเลือกเดียวคือห้ามทั้งโดเมนหรือไม่ห้ามเลย (PyPI Blog 2026-10-16)

เมื่อเดือนมิถุนายน 2024 PyPI เลือกห้ามทั้งโดเมน เหตุผลที่ให้ไว้คือ ในแคมเปญวันนั้นมีมากกว่า 160 โปรเจกต์และการสมัครผู้ใช้ใหม่ที่เกี่ยวข้อง โดยบัญชีเหล่านั้นใช้ outlook.com และ hotmail.com PyPI ประเมินว่าบริการอีเมลของ Outlook สู้ผู้ให้บริการรายใหญ่รายอื่นไม่ได้ในเรื่องการป้องกันการสมัครอัตโนมัติและสมัครเป็นจำนวนมาก และระบุว่าผู้ที่พยายามเลี่ยงการป้องกันมักใช้หรือจ้างฟาร์มบอทที่ผ่านการตรวจจับระบบอัตโนมัติของบัญชี Outlook ได้ ตรงนี้เป็น “การประเมินของ PyPI” ครับ ผมไม่ได้ยืนยันเรื่องการทำงานภายในของ Outlook เอง (PyPI Blog 2024-06-16)

บล็อกปี 2024 ยังบอกด้วยว่า ก่อนหน้านั้น PyPI เพิ่มชั้นป้องกันหลายอย่าง เช่น captcha เพื่อกันบอท การบังคับให้ใช้อีเมลที่ยืนยันแล้วเมื่อจะทำบางอย่างด้วยบัญชีใหม่ การปรับขั้นตอนเริ่มต้นใช้ 2FA รวมถึง rate limit และวิธี “พื้นฐาน” อื่น ๆ และทิ้งท้ายว่า “หวังว่าการเปลี่ยนแปลงนี้ไม่จำเป็นต้องถาวร” (PyPI Blog 2024-06-16)

วิธีใหม่: ถามบริการตรวจชื่อเสียง

ตามบล็อกปี 2026 ลำดับการตรวจเป็นแบบนี้

1. เมื่อมีคนใช้อีเมลสมัคร หรือเพิ่มอีเมลเข้าบัญชี ระบบตรวจกับลิสต์โดเมนที่มีอยู่เดิมก่อน
2. ถ้าผ่านการตรวจโดเมนแล้ว PyPI จะถามบริการตรวจชื่อเสียงว่าอีเมลนี้เป็นแบบใช้แล้วทิ้งหรือไม่ ซึ่งรวมถึงผู้ให้บริการใช้แล้วทิ้งที่จดโดเมนใหม่เร็ว และ alias ชั่วคราวบนผู้ให้บริการอีเมลสาธารณะ
3. ถ้าบริการระบุว่าอีเมลเป็นแบบใช้แล้วทิ้ง ที่อยู่นั้นจะถูกปฏิเสธ
4. ถ้าบริการรายงานว่าทั้งโดเมนเป็นผู้ให้บริการใช้แล้วทิ้ง PyPI จะเพิ่มโดเมนนั้นเข้าลิสต์ต้องห้ามของตัวเอง ครั้งต่อไปจึงถูกปฏิเสธโดยไม่ต้องถามบริการอีก
5. กระบวนการนี้ทำงานอัตโนมัติ ไม่ต้องใช้เวลาของอาสาสมัครหรือเจ้าหน้าที่มาเพิ่มรายการเอง

บล็อกให้เหตุผลว่าความเร็วสำคัญมากในยุคของ “autonomous exploits” (การโจมตีที่ทำงานอัตโนมัติ) เพราะเวลาที่ใช้ตอบสนองมีผลมาก (PyPI Blog 2026-10-16)

ภาพเปรียบเทียบ

ลองนึกถึง รปภ. คอนโดครับ แต่ก่อนมีป้ายว่า “คนจากซอยนั้นห้ามเข้าทั้งซอย” เพราะเคยมีคนจากซอยนั้นก่อเรื่องหลายครั้ง วิธีนี้ง่ายและเด็ดขาด แต่คนดีในซอยเดียวกันก็เข้าไม่ได้ ตอนนี้เปลี่ยนเป็นให้ รปภ. ดูประวัติทีละคน คนที่ประวัติไม่ดีเข้าไม่ได้ ส่วนคนทั่วไปในซอยเดียวกันเข้าได้ เป็นภาพเปรียบเทียบของผมนะครับ เพื่อให้เห็นความต่างระหว่างการห้ามทั้งโดเมนกับการตรวจเป็นรายที่อยู่อีเมล ไม่ได้เป็นคำอธิบายของ PyPI

จุดน่าสนใจ: ไม่ใช่แค่เปิด Outlook แต่คือเปลี่ยนวิธีตัดสินใจ

ข่าวนี้อ่านผ่าน ๆ จะเหมือนเรื่อง “PyPI ยกเลิกแบน Outlook” แต่ตามที่บล็อกเล่า สิ่งที่เปลี่ยนจริงคือวิธีตัดสิน จากการห้ามทั้งโดเมนด้วยลิสต์ตายตัว มาเป็นการตรวจที่อยู่อีเมลเป็นรายตัวผ่านบริการตรวจชื่อเสียง และเมื่อมีการตรวจแบบนี้แล้ว PyPI จึงระบุว่า outlook.com และ hotmail.com กลับมาใช้ได้ (PyPI Blog 2026-10-16)

ผมขอเตือนตัวเองว่า บล็อกไม่ได้บอกว่าบอทหายไปแล้ว หรือ Outlook แก้ปัญหาฝั่งตัวเองแล้ว เหตุผลที่ให้ไว้มีเพียงว่าเมื่อมีการตรวจชื่อเสียงแล้ว ก็เปิดโดเมนเหล่านี้กลับมาได้

เรื่องเงิน / ผลกระทบ

เรื่องเงินตรง ๆ ก่อนครับ แหล่งข้อมูลที่ผมมีไม่ได้พูดถึงค่าใช้จ่ายของผู้ใช้เลย การสมัครและเพิ่มอีเมลบน PyPI ไม่มีตัวเลขราคาในแหล่งเหล่านี้ ผมจึงไม่ใส่ตัวเลขเงินหรือเวลาที่ “ประหยัดได้”

ผลกระทบที่ระบุได้จากแหล่งข้อมูลคือเรื่องความสะดวก ในรายงานบน GitHub ช่วงปี 2024 ผู้ดูแลตอบผู้ใช้คนหนึ่งว่า ตอนนั้นยังรับมือสแปมและบอทจากเมล Outlook กับ Hotmail ไม่ไหว จึงจะคงการแบนไว้ และแนะนำให้สร้างอีเมลเพิ่มจากที่อื่นแล้วตั้งการส่งต่อมายังกล่องจดหมายหลัก (GitHub Issue #16386) ผู้ใช้ที่เปิด issue ตอบกลับว่าไม่อยากสร้างอีเมลสุ่มหรือส่งต่อเพียงเพื่อสมัครบัญชี เพราะจะยิ่งดูไร้เหตุผล วิธีแก้ชั่วคราวนั้นจึงเป็นภาระ ถ้าเมลหลักของคุณเป็น Outlook ตอนนี้คุณไม่ต้องหาทางอ้อมแบบนั้นอีกแล้ว อย่างน้อยตามที่ประกาศไว้

ด้านความปลอดภัย PyPI รายงานผลลัพธ์ของการตรวจช่วงหนึ่งเดือนที่ผ่านมาว่า ผู้เขียนบล็อกเห็นว่าผลส่วนใหญ่เป็น “positive” ซึ่งเขาว่าเป็นสัญญาณที่ดี จากนั้นตัดผลแบบ “Valid” ออกเพื่อดูรายละเอียด ได้ว่าบล็อกโดเมนแบบใช้แล้วทิ้ง 62 โดเมน และปฏิเสธความพยายามใช้อีเมลแบบใช้แล้วทิ้งจากโดเมนที่ในตัวมันเองใช้ได้กว่า 120 ครั้ง (PyPI Blog 2026-10-16)

ตัวเลขนี้บอกได้ว่าระบบจับอะไรได้บ้างในช่วงนั้น แต่ไม่ได้บอกว่าจับพลาดบ้างหรือเปล่า เช่นปฏิเสธอีเมลจริงโดยไม่ตั้งใจ หรือปล่อยอีเมลไม่ดีผ่านไป บล็อกไม่ได้ให้อัตราส่วนนั้น ผมจึงไม่สรุปว่าระบบ “ได้ผลดีจริง” มากกว่าที่บล็อกพูด

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

• บริการตรวจชื่อเสียงตัวไหน: บล็อกเรียกว่า “email reputation service” และตอนท้ายขอบคุณ UserCheck ที่บริจาคบริการเพื่อช่วยปกป้องระบบนิเวศ Python ซึ่งอ่านได้ว่าเป็นบริการที่ใช้ตรวจนี้ แต่ไม่ได้อธิบายว่าบริการตัดสินด้วยเกณฑ์อะไร (PyPI Blog 2026-10-16)
• อัตราปฏิเสธผิด (false positive): บล็อกไม่ได้ระบุ มีแค่จำนวนโดเมนที่บล็อกและจำนวนครั้งที่ปฏิเสธ จึงยังไม่ทราบว่ามีอีเมลจริงถูกปฏิเสธมากน้อยแค่ไหน
• จังหวะการประกาศกับผลที่นับ: ผู้เขียนบล็อกเขียนว่านับผลมาประมาณหนึ่งเดือนนับจากที่เพิ่มระบบตรวจ แต่วันที่ Outlook กลับมาใช้ได้ถูกระบุว่า “as of today” คือวันที่ประกาศ ผมจึงไม่ฟันธงว่าระบบเปิดใช้ตรงวันไหนกันแน่
• เรื่อง issue บน GitHub: ในหน้า issue #16386 ผู้ใช้หลายคนยังรายงานว่าสมัครด้วยเมล Outlook ไม่ได้ในปี 2025 (เห็นความเห็นลงวันที่ 9 กรกฎาคม และ 1 สิงหาคม 2025) ซึ่งตรงกับช่วงที่การแบนยังมีผล ไม่ขัดกับประกาศเมื่อวาน เพราะประกาศเป็นเหตุการณ์หลังจากนั้น หน้านั้นก็ไม่ได้ถูกอัปเดตเป็นบันทึกว่าแก้แล้ว (GitHub Issue #16386)
• อีกข้อสังเกตจาก issue: ผู้รายงานบอกว่าสมัครบน test.pypi.org ด้วยอีเมล @outlook.com ได้ตามปกติ (GitHub Issue #16386) ผมไม่ทราบสถานะปัจจุบันของ test.pypi.org
• 2FA และ Trusted Publishing: หน้า Help ระบุว่าการยืนยันตัวตนสองปัจจัย (2FA) “ต้องใช้” กับบัญชี PyPI และสำหรับการเผยแพร่จาก CI ที่รองรับ Trusted Publishing PyPI “แนะนำอย่างยิ่ง” ให้ใช้แทน API token (PyPI Help) ฉะนั้นเรื่องนี้ไม่ใช่จุดที่แหล่งข้อมูลพูดไม่ตรงกัน แค่ไม่ได้เกี่ยวกับกฎอีเมลใหม่โดยตรง

แล้วเราควรทำอะไร

สำหรับนักพัฒนาและผู้เขียนแพ็กเกจ

1. ใช้อีเมลที่คุณควบคุมได้ในระยะยาว และยืนยันอีเมลนั้นในบัญชี เพราะ PyPI ต้องการอีเมลที่ยืนยันแล้วเพื่อสร้างโปรเจกต์ใหม่และอัปโหลดเวอร์ชันใหม่ จัดการอีเมลได้ที่หน้า account settings (PyPI Help) อย่าใช้ที่อยู่แบบชั่วคราวหรือใช้แล้วทิ้ง ซึ่งตอนนี้ก็ถูกปฏิเสธอยู่แล้ว
2. เปิดและดูแล 2FA ตามที่หน้า Help แนะนำ คือตั้งอย่างน้อยสองวิธีที่รองรับ และสร้าง recovery codes เก็บไว้ในที่ปลอดภัย (หน้า Help เตือนว่าถ้าทำเครื่องมือยืนยันตัวตนหาย อาจเสียการเข้าถึงบัญชีถาวร) (PyPI Help)
3. ถ้าคุณอัปโหลดจากบริการ CI ที่รองรับ Trusted Publishing ให้พิจารณาใช้แทน API token ตามที่ PyPI แนะนำอย่างยิ่ง ถ้ายังต้องใช้ token ควรจำกัดขอบเขต token ให้เหลือเฉพาะโปรเจกต์ที่จำเป็น (PyPI Help)
4. ถ้าสมัครหรือเพิ่มอีเมลแล้วเจอปัญหา PyPI ขอให้เปิด issue ที่ support tracker ก่อน และถ้าไม่มีหมวดไหนตรงกับปัญหาของคุณ ให้อีเมลไปที่ support (สะกดในบล็อกว่า support at pypi dot org) พร้อมรายละเอียดครบถ้วน (PyPI Blog 2026-10-16)

สำหรับทีมพัฒนาหรือบริษัท

1. ใช้ role mailbox (เช่น กล่องอีเมลกลางของทีม) แทนเมลส่วนตัวของพนักงานคนใดคนหนึ่ง ข้อนี้เป็นคำแนะนำของผมเอง เหตุผลต่อเนื่องจากที่หน้า Help เน้นเรื่องความสามารถติดต่อผู้ดูแลแพ็กเกจ (PEP 541) เมื่อคนเปลี่ยนงาน อีเมลกลางของทีมไม่หายไปด้วย
2. กำหนดนโยบายให้ทุกคนที่เกี่ยวข้องกับการเผยแพร่แพ็กเกจมี 2FA และเก็บ recovery codes อย่างปลอดภัย (PyPI Help)
3. ตรวจ security history ในหน้า account settings เป็นระยะ หน้า Help บอกว่าเหตุการณ์ผู้ใช้ทั้งหมดถูกเก็บไว้ตรงนั้น ถ้าเห็นอะไรน่าสงสัย ให้รีเซ็ตรหัสผ่านและแจ้ง PyPI admins ที่ [email protected] (PyPI Help)

สำหรับผู้ใช้ทั่วไปที่ติดตั้งแพ็กเกจ

1. ข่าวนี้ไม่ได้ทำให้คุณต้องเปลี่ยนวิธีติดตั้งแพ็กเกจ วิธีติดตั้งอยู่ใน installation tutorial ของ Python Packaging User Guide ตามที่หน้า Help ชี้ไว้ (PyPI Help)
2. คำแนะนำทั่วไปที่ผมเพิ่มเอง ไม่ได้มาจากแหล่งข้อมูลข้างต้น คือสะกดชื่อแพ็กเกจให้ตรงก่อนติดตั้งเสมอ เพราะแพ็กเกจที่ตั้งชื่อเลียนแบบแพ็กเกจดัง (typosquat) เป็นกลลวงที่เกิดได้ทุกเมื่อ ไม่ว่ากฎเรื่องอีเมลจะเป็นอย่างไร

ผมมองว่า…

ผมมองว่าทิศทางนี้สมเหตุสมผลครับ การห้ามทั้งโดเมนมีต้นทุนจริง ดูได้จากผู้ใช้ที่เล่าไว้ใน issue ว่าเมลที่ใช้มา 20 ปีสมัครไม่ได้ และ PyPI ก็เขียนไว้เองตั้งแต่ปี 2024 ว่าหวังว่าจะไม่ต้องถาวร การเปลี่ยนมาตรวจเป็นรายที่อยู่ จึงดูเป็นการแก้ปัญหาที่ตรงจุดกว่า และมีข้อดีที่ลดงานให้คนดูแลลงด้วย

แต่นี่เป็นความเห็นของผมบนข้อมูลที่เปิดเผยแล้วเท่านั้น สิ่งที่ผมยังตอบไม่ได้คือระบบใหม่พลาดบ่อยแค่ไหน ทั้งฝั่งปฏิเสธคนจริงและฝั่งปล่อยอีเมลไม่ดีผ่านไป เพราะบล็อกไม่ได้เปิดตัวเลขส่วนนั้น ผมจึงเห็นว่ายังไม่ควรสรุปว่าปัญหาบอทจบแล้ว ควรดูผลระยะยาวต่อไป

ปิดท้าย: สิ่งที่ต้องจับตา

• ตัวเลขเพิ่มเติมจาก PyPI: บล็อกรอบนี้ให้จำนวนโดเมนที่บล็อกและจำนวนครั้งที่ปฏิเสธ ถ้า PyPI รายงานเพิ่ม เช่นกรณีปฏิเสธผิด จะช่วยให้ประเมินได้ดีขึ้น
• ผู้ให้บริการที่บริจาค: บล็อกขอบคุณ UserCheck ที่บริจาคบริการ ผมไม่ทราบเงื่อนไขหรือระยะเวลา จึงไม่คาดเดาว่าจะเป็นอย่างไรต่อ
• ผู้ไม่หวังดีปรับตัวไหม: นี่เป็นข้อสังเกตของผม ไม่ใช่ข้อมูลจากแหล่งข่าว ระบบตรวจแบบใหม่อาจถูกลองเลี่ยงอีก และคงต้องดูว่า PyPI ปรับต่อไปอย่างไร
• ถ้าคุณใช้เมล Outlook อยู่: ลองสมัครหรือเพิ่มอีเมลดูครับ ถ้ายังติดปัญหา ให้เปิด issue ที่ support tracker ของ PyPI พร้อมรายละเอียดครบถ้วน

Recap

• PyPI ตรวจชื่อเสียงอีเมลตอนสมัครหรือเพิ่มอีเมล และปฏิเสธอีเมลที่ระบุว่าเป็นแบบใช้แล้วทิ้ง
• outlook.com และ hotmail.com ใช้สมัครหรือเพิ่มเข้าบัญชีได้อีกครั้ง หลังห้ามตั้งแต่มิถุนายน 2024
• ใช้อีเมลที่ยืนยันแล้วและควบคุมได้ในระยะยาว เพราะ PyPI ต้องใช้อีเมลที่ยืนยันแล้วเพื่อสร้างโปรเจกต์และอัปโหลด
• เปิด 2FA อย่างน้อยสองวิธีที่รองรับ และเก็บ recovery codes ไว้ให้ดี
• ถ้าใช้ CI ที่รองรับ Trusted Publishing ให้พิจารณาใช้แทน API token ตามที่ PyPI แนะนำ
• ทีมงานควรใช้ role mailbox แทนเมลส่วนตัว (คำแนะนำของผู้เขียน)
• ถ้าสมัครหรือเพิ่มอีเมลไม่ได้ ให้เปิด issue ที่ support tracker ก่อน ถ้าไม่มีหมวดตรงกับปัญหา ค่อยส่งอีเมลหา support พร้อมรายละเอียดครบ
• ยังไม่ทราบอัตราปฏิเสธผิด และเกณฑ์ที่บริการตรวจชื่อเสียงใช้ตัดสิน