Geçici E-posta Tespit API’si: Sahte Kayıtları Durdurun

Her sahte hesap çoğu zaman aynı noktadan başlar: Yarın var olmayacak bir gelen kutusundan. Geçici e-posta servisleri, yalnızca bir doğrulama bağlantısına tıklamaya yetecek kadar yaşayan adresler üretir; kimi zaman on dakika, kimi zaman daha da az. Sonra adres ortadan kaybolur ve o “kullanıcıya” tekrar ulaşma ihtimaliniz de onunla birlikte silinir. Bir SaaS şirketi için bu tek e-posta adresi; ücretsiz deneme istismarı, referans dolandırıcılığı, kampanya suistimali ve spam için açılan tek kullanımlık hesapların kapısıdır.

Geçici e-posta tespit API’sinin yanıtladığı soru basittir ve tam da en kritik anda, yani kayıt sırasında sorulur: Bu adres, geçici gelen kutuları sağlayan bir servise mi ait?

Geçici adresler neden bir dolandırıcılık sinyalidir?

Geçici e-posta adresi kullanmak tek başına kötü niyet göstergesi değildir. Gizliliğine önem veren bazı kullanıcılar, bir servise henüz güvenmeden önce geçici bir gelen kutusu kullanmayı tercih edebilir; bu da meşru bir davranıştır. Ancak tabloya topluca baktığınızda desen oldukça nettir:

• Ücretsiz deneme istismarı. Bir kişi, otuz deneme hesabı. Her deneme için yeni bir adres gerekir; geçici e-posta servisleri de bunları sınırsıza yakın şekilde üretir.
• Referans ve kampanya avcılığı. Kendi kendine referans yaratmak için her “arkadaşın” benzersiz bir e-posta adresi olması gerekir. Geçici gelen kutuları bunun en ucuz yoludur.
• Tek kullanımlık kötüye kullanım hesapları. Spam, veri kazıma ve taciz amaçlı hesapları korumaktansa yenisini açmak daha kolaydır; bu yüzden kimsenin uzun süre kullanmayı düşünmediği adreslerle oluşturulurlar.
• Liste kalitesinin bozulması. Geçici adresler birkaç saat içinde hard bounce üretir. Mailing listenize giren her biri, size hiçbir fayda sağlamadan gönderici itibarınızı aşağı çeker.

Ortak nokta şudur: Kullanıcının kalıcı bir ilişki kurma niyeti yoktur. Bunu engellemek, ek doğrulama istemek ya da yalnızca işaretlemek ürüne göre değişir; ama önce bunu bilmeniz gerekir.

Bir tespit API’si gerçekte neyi kontrol eder?

Mekanik özellikle sade tutulur; çünkü sade olan hızlıdır:

• Domain’i çıkarır. @ işaretinden sonraki bölüm önemlidir. İyi tasarlanmış bir servis domain eşleştirmesi yapar ve tam e-posta adreslerini saklamaz; local part kişisel veridir ve bu kontrole gerek yoktur.
• Geçici e-posta veritabanıyla eşleştirir. Temp-mail sağlayıcıları, tek kullanımlık servisler ve dönen alias ağları tarafından kullanılan on binlerce domain kontrol edilir.
• Sonucu döndürür. disposable: true veya false, eşleşen domain ve zaman damgası ile birlikte gelir. Tek istek, aksiyon alabileceğiniz tek alan.

Tipik bir entegrasyon şöyle görünür:

bash curl "https://guarda.net/api/public/v2/email/newuser@mailinator.com?key=YOUR_API_KEY"

{ "status": "ok", "email": "newuser@mailinator.com", "domain": "mailinator.com", "disposable": true, "checked_at": "2026-08-23T12:00:00.000Z" }

Kontrol tek bir HTTP çağrısından ibaret olduğu için her yere yerleştirilebilir: kayıt formu işleyicisine, ödeme endpoint’ine, bülten aboneliği alanına ya da mevcut listeyi denetleyen bir batch job’a.

Kimsenin pek konuşmadığı false positive sorunu

Bu ürün kategorisinin rahatsız edici tarafı şu: Pek çok tespit aracının dayandığı açık blocklist’ler gürültülüdür. Yaygın kullanılan bazı open-source kaynaklar, gerçek tek kullanımlık servislerin yanına meşru freemail sağlayıcılarını da karıştırır. Bu listeleri ham haliyle kullanırsanız bir gün gerçek gelen kutusuna sahip gerçek bir müşteriye adresinin “geçici” olduğunu söylersiniz; üstelik tam da size iş vermeye çalıştığı anda onu kaybedersiniz.

Çözüm kozmetik değil, mimaridir: her zaman öncelikli olan bir allowlist. Doğrulanmış meşru sağlayıcılar — büyük freemail servisleri, bölgesel sağlayıcılar, ISP’ler, üniversiteler — bağımsız trafik sıralamalarıyla çapraz kontrol edilerek allowlist’e sabitlenir. Bir kaynak bu domain’lerden birini yanlışlıkla işaretlediğinde allowlist sonucu ezer. Tespit kalitesi, kaç domain engellediğinizden çok, izin verdiklerinizin gerçekten meşru olduğundan ne kadar emin olduğunuzla ilgilidir.

Güncellik de en az bunun kadar önemlidir. Temp-mail operatörleri, statik listelerden kaçmak için domain’leri özellikle döndürür. Bu yüzden geçen ay indirdiğiniz bir veritabanı, en kritik olduğu yerde çoktan bayatlamış olabilir. Birden fazla kaynaktan günlük senkronizasyon yapan ve her domain için kaynak bilgisini izleyen bir sağlayıcı arayın; böylece yalnızca sonucun ne olduğunu değil, neden döndüğünü de denetleyebilirsiniz.

Dönüşümü bozmadan nasıl entegre edilir?

Geçici e-posta kontrolünü kullanmanın en kötü yolu, her pozitif sonucu sert biçimde engelleyip kullanıcıyı çıkmaz sokakta bırakmaktır. Daha iyi yaklaşım, sürtünmeyi kademeli artırmaktır:

• Sessizce işaretleyin. Sinyali hesap üzerinde kaydedin ve sonraki kararları beslemesine izin verin; örneğin doğrulanmamış geçici e-posta kullanan bir hesaba referans bonusu vermeyin.
• Ek doğrulama isteyin. Herhangi bir değer sunulmadan önce e-posta doğrulamasını zorunlu kılın: deneme erişimi, promo kodu, API key gibi. Gerçek kullanıcı bunu saniyeler içinde tamamlar; istismarcılar çoğu zaman vazgeçer.
• Açıklamayla engelleyin. Sert reddi, tek kullanımlık adresin asla meşru olmadığı senaryolara saklayın: ödeme, faturalama, B2B denemeleri gibi. Her zaman nedenini açıklayın ve destekle iletişim yolu bırakın.

Sinyalleri birlikte değerlendirin. Geçici e-posta adresiyle birlikte datacenter IP kullanımı, konut bağlantısından gelen geçici e-posta adresinden çok farklı bir durumdur. E-posta istihbaratı ve IP intelligence aynı sorunun farklı yarılarını yanıtlar; bu yüzden ayrı araçlarda değil, aynı istek akışında birlikte çalışmaları gerekir.

Tespit neleri yapamaz?

Sınırları dürüstçe bilmek, sahte bir güven duygusundan korur. Domain tabanlı bir kontrol şunları yakalayamaz:

• Geçici altyapı üzerinde çalışan özel domain’ler. Yeni açılmış, henüz hiçbir listede olmayan bir domain üzerindeki burner servisi keşfedilene kadar geçer. Bu çözülmüş bir problem değil, sürekli devam eden bir keşif yarışıdır.
• Gmail tarzı alias kullanımı. name+anything@gmail.com ve noktalı varyantlar aynı gelen kutusuna gider. Bu bir tespit problemi değil, veritabanınız için deduplikasyon problemidir.
• Kararlı gerçek kullanıcılar. Gerçek bir domain kaydedip gerçekten e-posta almayı göze alan biri kontrolden geçer. Amaç kusursuzluk değil, kötüye kullanımın maliyetini değerinin üzerine çıkarmaktır.

Geçici e-posta tespiti tek başına bir katmandır. IP tehdit sinyalleri ve makul doğrulama akışlarıyla birleştiğinde, sahte kayıtların en ucuz ve en yüksek hacimli türünü — otomatik olanları — büyük ölçüde ortadan kaldırır. Çoğu ürün için problemin önemli kısmı da zaten buradadır.

Guarda.net üzerindeki ücretsiz geçici e-posta kontrol aracıyla herhangi bir adresi hemen test edebilir; hazır olduğunuzda API’yi kayıt akışınıza bağlayarak bu kuralı otomatik uygulamaya alabilirsiniz.