Verificação de email: o guia completo 2026

Objectivo nº1 historicamente. Ao forçar verificação, um site torna cara a criação automatizada de contas. Por isso os sites bloqueiam os emails descartáveis: são gratuitos e ilimitados por definição.

Mais pernicioso: a verificação email também serve para iniciar imediatamente o marketing directo. Email de boas-vindas, série de onboarding, notificações, newsletters. Um utilizador médio recebe 287 emails de marketing por mês.

Alguns sectores são obrigados pela regulação: banca (KYC), governo, saúde (RGPD artigo 9), apostas online. Nesses casos, contornar a verificação = fraude.

A verificação email estabelece uma identidade mínima rastreável. Combinada com o IP, o navegador, e o comportamento do rato, forma um "fingerprint" que permite reconhecer entre sites, bloquear se estiver em lista negra, personalizar (preços dinâmicos), e revender.

A API analisa o conteúdo para identificar padrões OTP: códigos numéricos 4-8 dígitos, alfanuméricos, formatos XX-XX (TikTok, Discord), tokens em links mágicos. Heurística baseada em contexto.

Para testes E2E automatizados:

1. O seu script cria conta com username@mail123.fr
2. Site envia OTP
3. Script chama GET /api/v1/messages/{box}
4. Lê o campo otp_code
5. Envia o código no formulário

Fluxo completo em menos de 5 segundos. Ver documentação API.

Netflix, Spotify Premium, Amazon Prime, Steam. Se a caixa expirar e houver problema de pagamento, não poderá contactar suporte. Compras Steam = perdidas para sempre.

Bancos, seguros, crowdfunding, brokers online, plataformas crypto. Exigem KYC.

Plataformas de teleconsulta, seguro de saúde, apps de tracking médico. Dados protegidos por RGPD artigo 9.

LinkedIn, Stack Overflow, GitHub (se pro), Slack, SaaS empresarial. A sua carreira depende da continuidade.

Finanças, Segurança Social, IRS, SNS. Estes serviços exigem a sua identidade real.

O RGPD (artigo 5.1.c) impõe minimização de dados. A CNPD encorajou publicamente o uso de emails descartáveis e aliases.

Usar email descartável nunca é infracção penal. No máximo violação dos Termos de Uso.

Apenas problemático nestes casos: fraude de subscrição (banca com identidade falsa), evasão fiscal, cibercrime (phishing, ransomware), evasão de sanções. Nestes casos não é o email que é ilegal, mas o acto criminal.

Situação semelhante. CAN-SPAM Act (2003) regula envio de marketing mas não proíbe uso de descartáveis pelo utilizador. COPPA impõe regras para menores de 13 anos, onde o descartável pode paradoxalmente ajudar a PROTEGER a privacidade.

Endpoints principais:

• POST /api/v1/inboxes, criar caixa temporária
• GET /api/v1/messages/{{box}}, listar mensagens
• GET /api/v1/messages/{{box}}/{{id}}, detalhes com otp_code
• DELETE /api/v1/inboxes/{{box}}, limpar após teste

Sem autenticação. CORS aberto. 30 req/h por IP.

test('signup with OTP', async ({ page }) => {
  const username = `test-${Date.now()}`;
  const email = `${username}@mail123.fr`;

  await page.goto('https://exemplo.com/signup');
  await page.fill('[name=email]', email);
  await page.click('button[type=submit]');

  await page.waitForTimeout(3000);
  const res = await fetch(`https://mail123.fr/api/v1/messages/${username}`);
  const otp = (await res.json())[0].otp_code;

  await page.fill('[name=otp]', otp);
  await page.click('button[type=submit]');
});

Vantagens: sem gestão de credenciais, sem efeitos secundários, reset automático em 7 dias, testes paralelos. Custo: 0 €.