Validation d’e-mail jetable par API : explications
La validation d’e-mail jetable consiste à vérifier si une adresse appartient à un fournisseur temporaire ou jetable, en général en complément de contrôles confirmant que l’adresse est bien formée et que son domaine peut réellement recevoir du courrier. Une bonne API de détection d’e-mails jetables exécute ces contrôles en couches distinctes, pour que vous voyiez ce qui a échoué et décidiez du niveau de rigueur à appliquer.
Les trois couches de la validation d’e-mail
Le vérificateur d’e-mail d’ipto valide une adresse par ordre de coût croissant. La syntaxe vient d’abord : la chaîne ressemble-t-elle à une adresse valide, avec une partie locale, un arobase et un domaine plausible ? Ce contrôle détecte les fautes de frappe responsables de la plupart des rebonds, comme un point manquant ou un arobase doublé, et ne nécessite aucun accès réseau.
Vient ensuite le contrôle du domaine. Le vérificateur effectue une véritable requête DNS pour obtenir les enregistrements de serveur de messagerie (MX) du domaine. Un domaine sans enregistrement MX, et sans enregistrement d’adresse de repli pouvant accepter du courrier, ne peut pas recevoir de messages ; une adresse sur ce domaine rebondira donc quelle que soit la propreté de sa syntaxe. C’est aussi à cette étape que sont détectés les domaines mal orthographiés, par exemple une lettre inversée dans le nom d’un fournisseur populaire.
Enfin vient le contrôle de jetabilité : le domaine appartient-il à un fournisseur de boîtes temporaires, de ceux qui distribuent une adresse valable dix minutes ou une journée sans création de compte ? ipto compare le domaine à une liste de domaines jetables synchronisée quotidiennement, et le résultat présente chaque contrôle séparément : une réponse vous indique donc quelle couche a échoué au lieu de renvoyer un verdict unique et opaque.
Pourquoi les domaines jetables comptent
Les gens utilisent des adresses jetables pour des raisons légitimes, notamment pour éviter les newsletters, mais c’est aussi l’outil classique pour abuser des essais gratuits, créer des comptes en double, accumuler des crédits de parrainage et enregistrer des bots. Pour un produit doté d’une offre gratuite ou d’un bonus d’inscription, une adresse jetable est souvent le moyen le moins coûteux d’obtenir une nouvelle identité. Pour une liste de diffusion, elles posent un problème de délivrabilité : la boîte disparaît, le message rebondit, et un taux de rebond élevé nuit à votre réputation d’expéditeur auprès des fournisseurs destinataires.
La faiblesse de toute approche fondée sur une liste est que de nouveaux fournisseurs jetables apparaissent en permanence, et que certains opèrent sur de nombreux domaines en rotation. Une liste régulièrement actualisée détectera les grands services établis et la plupart de la longue traîne, mais elle aura toujours un temps de retard sur les plus récents. C’est une raison de traiter l’indicateur de jetabilité comme un signal fort, et non comme une certitude, et de le combiner avec d’autres éléments.
Ce que signifie, ou non, un résultat positif
Réussir les contrôles de syntaxe, de MX et de jetabilité signifie que l’adresse est bien formée, que le domaine peut recevoir du courrier et qu’il n’est pas un fournisseur jetable connu. Cela ne prouve pas qu’une boîte précise existe, car de nombreux serveurs de messagerie acceptent tous les destinataires et renvoient un rebond plus tard, et cela ne prouve pas que la personne est celle qu’elle prétend être. Une vérification définitive de la boîte sans envoyer de message n’est pas possible en général. Lorsqu’elle est disponible, le vérificateur peut ajouter une passe de vérification de boîte en direct, mais le résultat d’une telle passe reste une probabilité, pas une garantie. La preuve fiable de propriété reste un lien de confirmation envoyé à l’adresse.
Utiliser le résultat en pratique
Une politique raisonnable est graduée plutôt que binaire. Rejetez immédiatement les erreurs de syntaxe et les domaines sans serveur de messagerie, avec un message aimable du type « vouliez-vous dire » pour les fautes de frappe probables. Pour les domaines jetables, décidez selon le contexte : bloquez-les pour les inscriptions à un essai, autorisez-les pour lire un article public derrière un portail, ou laissez-les passer en exigeant une vérification supplémentaire. Journalisez la couche qui a échoué pour ajuster la politique à partir de données réelles.
L’e-mail n’est qu’un signal parmi d’autres. Combinez-le avec des éléments réseau et appareil pour de meilleures décisions : vérifiez l’IP d’inscription avec le vérificateur de VPN et de proxy pour détecter VPN, Tor et hébergement en datacenter, et utilisez le vérificateur de téléphone pour le format du numéro et le type de ligne. Le vérificateur de score de fraude fait tout cela en une seule étape, en regroupant la détection d’e-mail jetable avec les signaux d’IP, de téléphone et de User-Agent dans un score de 0 à 100 accompagné du détail des contributions. Pour aller plus loin sur la combinaison de ces signaux, voir le scoring de fraude par IP, téléphone et e-mail.
Pour l’essayer, saisissez une adresse dans la page du vérificateur d’e-mail, ou appelez le point de terminaison e-mail décrit dans la documentation de l’API. L’usage gratuit est de 1 000 requêtes par jour sans inscription, ce qui suffit pour tester les contrôles sur un échantillon de vos propres données d’inscription avant de les intégrer à un formulaire.