Verificación de email: la guía completa 2026

Objetivo nº1 históricamente. Al forzar verificación, un sitio encarece la creación automatizada de cuentas. Un bot puede generar 10.000 cuentas en segundos, pero debe gestionar 10.000 buzones para validarlas. La relación coste/beneficio hace el ataque no rentable.

Por eso los sitios bloquean los emails desechables: son gratis e ilimitados por definición, no actúan como barrera.

Más pernicioso: la verificación email también sirve para empezar inmediatamente el marketing directo. Email de bienvenida, serie de onboarding, notificaciones, newsletters, alertas "última oportunidad"...

Según un estudio HubSpot (2024), el usuario medio recibe 287 emails de marketing al mes, 60% de sitios donde se registró voluntariamente.

Algunos sectores están obligados por regulación: banca (KYC), gobierno (impuestos), salud (RGPD artículo 9), apuestas online. En estos casos, evitar la verificación = fraude.

La verificación email establece una identidad mínima rastreable. Combinada con tu IP, navegador y comportamiento de ratón forma un "fingerprint" que permite recoñocerte entre sitios, bloquearte si estás en lista negra, personalizar tu experiencia (precios dinámicos), y revender el identificador a brokers de datos.

La API analiza el contenido HTML y texto para identificar patrones OTP comunes: códigos numéricos 4-8 dígitos, alfanuméricos 6-10, formatos XX-XX (TikTok, Discord), tokens en enlaces mágicos. Heurística de scoring basada en contexto (palabras como "code", "OTP", "código").

Para tests E2E automatizados (Playwright, Cypress, Puppeteer):

1. Tu script crea cuenta con username@mail123.fr
2. Sitio envía OTP
3. Script llama GET /api/v1/messages/{box}
4. Lee el campo otp_code
5. Envía el código en el formulario
6. Continúa el test sin intervención humana

Flujo completo en menos de 5 segundos. Ver documentación API.

Netflix, Spotify Premium, Amazon Prime, Steam, Adobe. Si la bandeja expira y hay problema de pago, no podrás contactar soporte. Consecuencias: cuenta suspendida sin reactivación, cargos continuos, pérdida de compras (juegos Steam definitivamente perdidos).

Bancos, seguros, crowdfunding, brokers online, plataformas crypto. Exigen KYC (Tipo 8) y no aceptan desechable.

Doctolib, telemedicina, seguro médico, apps de tracking (glucosa, tensión, fertilidad). Datos protegidos por RGPD artículo 9.

LinkedIn, Stack Overflow, GitHub (si pro), Slack workspaces, SaaS empresarial. Tu carrera depende de la continuidad.

Hacienda, seguridad social, desempleo, sanidad. Estos servicios exigen tu identidad real.

El RGPD (artículo 5.1.c) impone minimización de datos: un servicio solo debe recoger datos estrictamente necesarios. La AEPD ha animado públicamente al uso de emails desechables y alias.

Usar email desechable nunca constituye infracción penal. Como máximo violación de Términos de Uso, lo que es contractual (sanción máxima: cierre de cuenta).

El email desechable es problemático legalmente solo en estos casos: fraude de suscripción (cuenta bancaria/seguro con identidad falsa), evasión fiscal, cibercrimen (phishing, ransomware, acoso), elusión de sanciones. En estos casos no es el email lo ilegal, sino el acto criminal que ayuda a cometer.

Situación similar en EE.UU. CAN-SPAM Act (2003) regula el envío de marketing pero no prohíbe el uso de desechables. COPPA impone reglas para menores de 13 años, donde el desechable puede paradójicamente ayudar a PROTEGER su privacidad.

Endpoints principales para tests E2E:

• POST /api/v1/inboxes — crear bandeja temporal
• GET /api/v1/messages/{{box}} — listar mensajes
• GET /api/v1/messages/{{box}}/{{id}} — detalles con campo otp_code
• DELETE /api/v1/inboxes/{{box}} — limpiar después del test

Sin autenticación ni clave API. CORS abierto. Rate limit: 30 req/h por IP.

test('signup with OTP', async ({ page }) => {
  const username = `test-${Date.now()}`;
  const email = `${username}@mail123.fr`;

  await page.goto('https://ejemplo.com/signup');
  await page.fill('[name=email]', email);
  await page.click('button[type=submit]');

  await page.waitForTimeout(3000);
  const res = await fetch(`https://mail123.fr/api/v1/messages/${username}`);
  const messages = await res.json();
  const otp = messages[0].otp_code;

  await page.fill('[name=otp]', otp);
  await page.click('button[type=submit]');
  await expect(page).toHaveURL(/dashboard/);
});

Para integrar estos tests en pipeline CI:

• Sin gestión de credenciales
• Sin efectos secundarios: cada test usa bandeja única
• Reset automático: bandejas expiran en 7 días
• Tests paralelos: 30 req/h por IP suficiente para 50+ tests paralelos

Coste: 0 €.