使い捨てメールAPIによる検証の仕組み
使い捨てメール検証とは、メールアドレスが一時的な(使い捨ての)プロバイダーのものかどうかを確認する処理です。通常は、アドレスの形式が正しいか、そのドメインが実際にメールを受信できるかの確認も併せて行います。優れた使い捨てメールAPIは、これらを別々の層として実行するため、どこで失敗したのかを確認したうえで、どこまで厳しくするかを判断できます。
メール検証の3つの層
ipto のメールチェッカーは、コストの低い順にアドレスを検証します。最初は構文チェックで、文字列がローカル部、アットマーク、妥当なドメインを備えた正しいアドレスの形をしているかを確認します。ドットの欠落や@の重複といった、バウンスの大半を占める入力ミスはここで検出でき、ネットワークアクセスも不要です。
2番目はドメインチェックです。チェッカーは、そのドメインのメールエクスチェンジャー(MX)レコードに対して実際のDNSクエリを実行します。MXレコードがなく、メールを受け付けられるフォールバック用のアドレスレコードもないドメインはメッセージを受信できないため、構文がどれほど正しくても、そのドメインのアドレス宛ては必ずバウンスします。有名プロバイダー名の文字を入れ替えたようなスペルミスのドメインも、ここで検出されます。
3番目は使い捨てチェックです。アカウント不要で10分や1日だけ有効なアドレスを発行する、一時受信箱サービスのドメインかどうかを判定します。ipto はドメインを、毎日同期される使い捨てドメインリストと照合します。結果は各チェックごとに個別に報告されるため、不透明な単一の判定ではなく、どの層で失敗したのかが分かります。
使い捨てドメインが問題になる理由
ニュースレターを避けるなど、使い捨てアドレスを使う正当な理由もあります。一方で、無料トライアルの悪用、重複アカウントの作成、紹介クレジットの不正取得、ボットの登録といった不正の定番手段でもあります。無料プランや登録ボーナスのあるプロダクトでは、使い捨てアドレスは新しい身元を得るもっとも手軽な方法であることが少なくありません。メーリングリストにとっては到達率の問題にもなります。メールボックスが消えるとメッセージがバウンスし、バウンス率が高くなると受信側プロバイダーに対する送信者の評判が損なわれます。
リストに基づくあらゆる手法に共通する弱点は、新しい使い捨てプロバイダーが次々に登場し、中には多数のドメインを入れ替えながら運用するものもあることです。定期的に更新されるリストなら、規模の大きい老舗サービスとロングテールの大部分は検出できますが、最新のものには常に遅れが生じます。そのため、使い捨てフラグは確実な証拠ではなく強いシグナルとして扱い、他の証拠と組み合わせるべきです。
チェックを通過した結果が意味すること、意味しないこと
構文、MX、使い捨ての各チェックを通過したということは、アドレスの形式が正しく、ドメインがメールを受信でき、既知の使い捨てプロバイダーではないことを意味します。特定のメールボックスが存在することは証明されません。多くのメールサーバーはすべての宛先を受け付けたうえで、後からバウンスするためです。また、本人が名乗るとおりの人物であることも証明されません。メッセージを送らずにメールボックスを確定的に検証することは、一般には不可能です。利用できる場合には、チェッカーでライブのメールボックス検証を追加することもできますが、その結果もあくまで確率であり、保証ではありません。所有権の確かな証明は、今もアドレス宛てに送る確認リンクです。
実運用での使い方
方針は二者択一ではなく、段階的にするのが賢明です。構文エラーやメールサーバーのないドメインはただちに拒否し、入力ミスの可能性が高い場合は「もしかして」という親切なメッセージを表示します。使い捨てドメインについては文脈に応じて判断します。トライアル登録ではブロックし、ゲートの先にある公開記事の閲覧なら許可し、あるいは通したうえで追加の認証を求めます。どの層で失敗したかをログに残しておけば、実データをもとに方針を調整できます。
メールは数あるシグナルの一つにすぎません。より良い判断のために、ネットワークやデバイスの証拠と組み合わせてください。登録時のIPはVPN・プロキシチェッカーでVPN、Tor、データセンターホスティングを確認し、電話番号は電話番号チェッカーで形式と回線種別を確認できます。不正スコアチェッカーはこれを一度に行い、使い捨てメールの検出をIP、電話番号、User-Agentのシグナルと合わせて0〜100のスコアにまとめ、寄与した要因の内訳も表示します。これらのシグナルの組み合わせについては、IP・電話番号・メールによる不正スコアリングも参照してください。
試すには、メールチェッカーのページにアドレスを入力するか、APIドキュメントに記載のメール用エンドポイントを呼び出します。無料枠はサインアップ不要で1日1,000リクエストまで利用できるため、フォームに組み込む前に、自社の登録データのサンプルでチェックを試すには十分です。