API de detección de correos desechables: frena los registros falsos

Toda cuenta falsa empieza igual: con un buzón que mañana ya no existirá. Los servicios de correo desechable entregan direcciones que viven lo justo para hacer clic en un enlace de confirmación —diez minutos, a veces menos— y después desaparecen, llevándose con ellas cualquier opción de volver a contactar con ese "usuario". Para una empresa SaaS, esa simple dirección puede ser la puerta de entrada al abuso de pruebas gratuitas, fraude en referidos, uso indebido de promociones y cuentas de usar y tirar empleadas para enviar spam.

Una API de detección de correos desechables existe para responder a una pregunta justo en el momento en que importa —durante el registro—: ¿esta dirección pertenece a un proveedor que ofrece buzones temporales?

Por qué las direcciones desechables son una señal de fraude

Una dirección desechable no es maliciosa por definición. Hay usuarios preocupados por su privacidad que recurren a un buzón temporal cuando todavía no confían en un servicio, y es una decisión legítima. Pero, cuando se observa el patrón en conjunto, la señal es clara:

• Abuso de pruebas gratuitas. Una persona, treinta trials. Cada prueba necesita una dirección nueva, y los proveedores desechables las generan sin parar.
• Granjas de referidos y promociones. Los autorreferidos solo funcionan si cada "amigo" tiene un email único. Los buzones temporales son la fuente más barata.
• Cuentas abusivas de usar y tirar. Las cuentas para spam, scraping o acoso son más fáciles de reemplazar que de proteger, así que se crean con direcciones que nadie piensa conservar.
• Deterioro de listas. Las direcciones desechables rebotan en cuestión de horas. Cada una que entra en tu lista de correo perjudica tu reputación como remitente sin aportar nada a cambio.

El hilo común es sencillo: el usuario no busca una relación duradera. Que eso sea motivo para bloquear, pedir una verificación adicional o simplemente marcar la cuenta dependerá de tu producto. Pero no puedes tomar esa decisión si no lo sabes.

Qué comprueba realmente una API de detección

La mecánica es deliberadamente simple, porque lo simple es rápido:

• Extrae el dominio. Solo importa la parte que va después de la @. Un servicio bien diseñado compara dominios y nunca almacena direcciones completas: la parte local es un dato personal que no necesitas.
• Compara con una base de datos de correos desechables. Decenas de miles de dominios utilizados por proveedores de temp-mail, servicios de buzones temporales y redes de alias rotativos.
• Devuelve un veredicto. disposable: true o false, junto con el dominio detectado y una marca temporal. Una llamada, un campo sobre el que puedes actuar.

Una integración típica tiene este aspecto:

bash curl "https://guarda.net/api/public/v2/email/newuser@mailinator.com?key=YOUR_API_KEY"

{ "status": "ok", "email": "newuser@mailinator.com", "domain": "mailinator.com", "disposable": true, "checked_at": "2026-08-23T12:00:00.000Z" }

Como la comprobación es una única llamada HTTP, encaja en cualquier punto: el manejador de un formulario de registro, un endpoint de checkout, la captación de una newsletter o un proceso batch para auditar una lista existente.

El problema de los falsos positivos del que casi nadie habla

Esta es la parte incómoda de esta categoría de producto: muchas listas públicas de bloqueo en las que se apoyan los detectores son ruidosas. Varios feeds open source muy utilizados mezclan proveedores legítimos de correo gratuito con auténticos servicios de usar y tirar. Si los consumes tal cual, antes o después le dirás a un cliente real, con un buzón real, que su dirección es "desechable". Y lo perderás justo en el momento en que intentaba hacer negocio contigo.

La solución es arquitectónica, no cosmética: una allowlist que siempre tenga prioridad. Los proveedores legítimos verificados —grandes servicios de freemail, proveedores regionales, ISP, universidades— deben quedar fijados en una allowlist contrastada con rankings de tráfico independientes. Cuando un feed marca erróneamente uno de esos dominios, la allowlist lo corrige. La calidad de la detección no consiste solo en cuántos dominios bloqueas, sino en la seguridad con la que puedes afirmar que los que permites son reales.

La frescura de los datos importa igual. Los operadores de temp-mail rotan dominios precisamente para esquivar listas estáticas, así que una base de datos descargada el mes pasado ya estará desactualizada donde más importa. Conviene buscar un proveedor que sincronice a diario desde varios feeds y conserve la procedencia de cada dominio, para poder auditar por qué se devolvió un veredicto, no solo cuál fue.

Cómo integrarlo sin perjudicar la conversión

La peor forma de usar una comprobación de correos desechables es bloquear en seco cualquier resultado positivo y mostrar un callejón sin salida. Hay patrones mejores, de menor a mayor fricción:

• Marcar en silencio. Guarda la señal en la cuenta y úsala para decisiones posteriores: por ejemplo, una cuenta no verificada con correo desechable no recibe una bonificación por referido.
• Lanzar un reto. Exige verificación por email antes de entregar valor —acceso a la prueba, código promocional, clave de API—. Los usuarios reales lo completan en segundos; las granjas abandonan.
• Bloquear con una explicación. Reserva el rechazo directo para contextos donde una dirección temporal nunca es legítima —pagos, facturación, pruebas B2B— y explica siempre por qué, con una vía para contactar con soporte.

Y combina señales. Una dirección desechable junto a una IP de datacenter no significa lo mismo que una dirección desechable desde una conexión residencial. La inteligencia de email y la inteligencia de IP responden a dos mitades de la misma pregunta, por eso deberían convivir en el mismo flujo de decisión y no en herramientas separadas.

Qué no puede hacer la detección

Ser honesto con los límites evita una falsa sensación de seguridad. Una comprobación basada en dominios no puede detectar:

• Dominios personalizados sobre infraestructura desechable. Un servicio temporal montado sobre un dominio nuevo, nunca listado, pasará hasta que sea descubierto. Es una carrera de descubrimiento, no un problema resuelto.
• Alias al estilo Gmail. name+anything@gmail.com y las variantes con puntos apuntan al mismo buzón; eso es un problema de deduplicación en tu base de datos, no de detección.
• Humanos decididos. Alguien dispuesto a registrar un dominio real y recibir correo real pasará el filtro. El objetivo es elevar el coste del abuso por encima de su beneficio, no alcanzar la perfección.

La detección de correos desechables es una capa más. Combinada con señales de riesgo de IP y flujos de verificación sensatos, elimina la categoría más barata y masiva de registros falsos: la automatizada. Y, en la práctica, suele ser la mayor parte del problema.

Puedes probar cualquier dirección ahora mismo con el comprobador gratuito de correos desechables de guarda.net, sin necesidad de crear una cuenta, e integrar la API en tu flujo de registro cuando quieras empezar a aplicar la política.