Verificación de email: la guía completa 2026

Es el objetivo número 1 históricamente. Al forzar una verificación por email, un sitio encarece la creación automatizada de cuentas: un bot puede generar 10 000 cuentas en unos segundos, pero después tiene que gestionar 10 000 bandejas de email activas para validarlas. La relación coste/beneficio hace que el ataque no sea rentable en la mayoría de los casos.

Por eso mismo los sitios bloquean los emails desechables: un email desechable es, por definición, gratuito e ilimitado, así que no supone ninguna barrera. Servicios como Akismet, FraudLabs o Cloudflare mantienen listas negras actualizadas cada hora para identificar los dominios desechables conocidos.

Más pernicioso aún: la verificación por email también sirve para empezar de inmediato el marketing directo. Una vez capturada tu dirección real, recibirás: email de bienvenida, serie de onboarding (5 a 12 emails en 2 semanas), avisos de nuevas funciones, recordatorios comerciales, newsletter, alertas de «promo última oportunidad»...

Según un estudio de HubSpot (2024), el usuario medio recibe 287 emails de marketing al mes, de los cuales el 60 % procede de sitios en los que se registró voluntariamente en algún momento. El botón «darse de baja», obligatorio (artículo L34-5 del Código de Correos de Francia), no siempre funciona y algunos sitios lo eluden con dark patterns.

Algunos sectores están obligados a verificar el email por motivos regulatorios: banca (KYC europeo, USA Patriot Act), administración (impuestos, seguridad social), sanidad (RGPD artículo 9 sobre datos sensibles), juego (regulación de las apuestas online). En estos casos, eludir la verificación = fraude, lo que no es el objeto de esta guía.

Para esos sitios, usa siempre tu dirección de email real y, probablemente, tu nombre real, tu fecha de nacimiento real y tu justificante de domicilio real. El email desechable no tiene cabida en esos procesos.

Por último, la verificación por email sirve para establecer una identidad mínima rastreable. Combinado con tu IP, tu navegador y el movimiento de tu ratón (sí, también se rastrea), tu email forma una "huella digital" que permite:

• Reconocerte entre sitios asociados (cruce publicitario)
• Bloquearte si estás en una lista negra (fallo de pago, fraude anterior)
• Personalizar tu experiencia (precios dinámicos: sí, el mismo billete de avión puede costar un 20 % más según tu perfil)
• Revender el identificador a intermediarios de datos

Para limitar estos 4 usos, el email desechable es eficaz para los usos 2 y 4 (marketing y reventa), parcialmente eficaz para el uso 1 (el sitio puede bloquear el dominio) e ineficaz para el uso 3 (los sitios regulados no aceptan correos desechables).

La API analiza el contenido HTML y de texto del email recibido para identificar los patrones habituales de códigos OTP:

• Códigos numéricos de 4-8 dígitos (el más común: 6 dígitos)
• Códigos alfanuméricos de 6-10 caracteres
• Códigos con formato XX-XX o XXX-XXX (TikTok, Discord)
• Tokens en enlaces mágicos (extraídos del parámetro token= o code= de la URL)

Se aplica una heurística de puntuación para distinguir un código OTP de otro número (número de referencia, fecha, etc.) a partir del contexto del texto circundante (palabras como "code", "OTP", "vérification", "verification", "código", etc.).

Para tests E2E automatizados (Playwright, Cypress, Puppeteer):

1. Tu script crea cuenta con username@mail123.fr
2. Sitio envía OTP
3. Script llama GET /api/v1/messages/{box}
4. Lee el campo otp_code
5. Envía el código en el formulario
6. Continúa el test sin intervención humana

Flujo completo en menos de 5 segundos. Ver documentación API.

Netflix, Spotify Premium, Amazon Prime, Steam (juegos comprados), Adobe Creative Cloud, suscripciones SaaS. Si pierdes el acceso a la bandeja (nombre olvidado, correos borrados a los 7 días) y tienes un problema de pago (tarjeta caducada, rechazo del banco), ya no podrás contactar con el soporte. Consecuencias típicas:

• Cuenta suspendida imposible de reactivar
• Cargos que continúan sin poder darse de baja por tu cuenta
• Pérdida de compras (juegos de Steam = perdidos para siempre)

Qué usar en su lugar: tu dirección real O un alias permanente (Apple Hide My Email, SimpleLogin) que nunca desaparece.

Bancos (Société Générale, BNP, Boursorama, Revolut, N26), seguros, crowdfunding, brókeres en línea (Trade Republic, eToro), plataformas cripto. Estos servicios exigen KYC (Tipo 8) y de todos modos nunca aceptan un email desechable, pero aunque funcionara sería peligroso: perder el acceso a los avisos de fraude puede salir caro.

Doctolib, Maiia, Qare, plataformas de teleconsulta, seguros de salud, aplicaciones de seguimiento médico (glucemia, tensión, fertilidad). Estos datos están protegidos por el artículo 9 del RGPD (categoría especial). Perder el acceso = perder el historial médico = potencialmente peligroso.

LinkedIn, Stack Overflow, GitHub (si es profesional), Slack workspaces, herramientas SaaS de empresa. Tu carrera depende de la continuidad de estas cuentas. Aunque LinkedIn no acepta emails desechables (Tipo 7), sería una mala idea incluso si los aceptara.

Impôts.gouv, FranceConnect, Pôle Emploi, Ameli, seguridad social, Caf, prefectura, Urssaf. Estos servicios exigen tu identidad real de todos modos, y perder el acceso puede tener graves consecuencias administrativas (pérdida de derechos, retrasos en los pagos, regularizaciones).

El RGPD (artículo 5.1.c) impone el principio de minimización de datos: un servicio solo debe recopilar los datos estrictamente necesarios para su finalidad. La CNIL ha animado públicamente al uso de emails desechables y de alias en sus recomendaciones "Maîtriser ses données personnelles", publicadas en 2023.

Usar un email desechable nunca constituye un delito penal. Como mucho, es una infracción de las Condiciones Generales de Uso de un servicio, lo que pertenece al derecho contractual (sanción máxima: que el servicio elimine la cuenta, nunca una sanción penal).

El email desechable solo resulta problemático desde el punto de vista legal en estos casos concretos:

• Fraude en la contratación: abrir una cuenta bancaria o un seguro con una identidad falsa (el email es solo una señal; el delito es la declaración falsa de identidad)
• Evasión fiscal: crear una empresa con un email o una identidad ficticios para eludir impuestos
• Ciberdelincuencia: phishing, ransomware, acoso, doxxing, donde el email desechable sirve para ocultar al autor
• Elusión de sanciones: por ejemplo, crear una cuenta en un servicio con el que estás en litigio judicial

En estos 4 casos, lo ilegal no es el email desechable, sino el acto criminal que ayuda a cometer. El servicio mail123 no ofrece ninguna información ni ningún servicio para ese tipo de uso.

En EE. UU., la situación es parecida pero con algunas particularidades: la CAN-SPAM Act (2003) regula el envío de emails publicitarios pero no prohíbe que el usuario use emails desechables. La COPPA (Children's Online Privacy Protection Act) impone normas para los menores de 13 años, y el email desechable puede, paradójicamente, ayudar a PROTEGER la privacidad de los menores.

Endpoints principales para tests E2E:

• POST /api/v1/inboxes, crear bandeja temporal
• GET /api/v1/messages/{{box}}, listar mensajes
• GET /api/v1/messages/{{box}}/{{id}}, detalles con campo otp_code
• DELETE /api/v1/inboxes/{{box}}, limpiar después del test

Sin autenticación ni clave API. CORS abierto. Rate limit: 30 req/h por IP.

test('signup with OTP', async ({ page }) => {
  const username = `test-${Date.now()}`;
  const email = `${username}@mail123.fr`;

  // Registro
  await page.goto('https://exemple.com/signup');
  await page.fill('[name=email]', email);
  await page.click('button[type=submit]');

  // Obtención del OTP
  await page.waitForTimeout(3000); // esperar la entrega
  const res = await fetch(`https://mail123.fr/api/v1/messages/${username}`);
  const messages = await res.json();
  const otp = messages[0].otp_code;

  // Validación
  await page.fill('[name=otp]', otp);
  await page.click('button[type=submit]');
  await expect(page).toHaveURL(/dashboard/);
});

Para Cypress / Puppeteer / Selenium, el patrón es idéntico: crear una bandeja única, esperar la entrega, consultar la API, extraer el OTP y validarlo.

Para integrar estas pruebas en un pipeline de CI (GitHub Actions, GitLab CI, Jenkins):

• Sin gestión de credenciales: sin claves de API ni contraseñas que guardar
• Sin efectos secundarios: cada prueba usa una bandeja única, sin contaminación
• Reinicio automático: los correos se borran a los 7 días, sin necesidad de limpieza explícita
• Pruebas en paralelo: 30 req/h por IP bastan para más de 50 pruebas en paralelo con reparto de tiempo

Coste: 0 €. Es uno de los pocos servicios de email temporal realmente utilizables en CI sin pagar (frente a servicios competidores a 30-100 €/mes por el mismo volumen).