Rilevare le email usa e getta prima che diventino bounce

Per un mese la dashboard della crescita era splendida. Le iscrizioni salivano, il funnel della prova gratuita era pieno e nessuno si accorse che un quinto dei nuovi account non aveva mai aperto un’email.

Poi la sequenza di onboarding ha cominciato a rimbalzare. Gli indirizzi erano reali quando erano stati digitati. Avevano semplicemente smesso di esistere una decina di minuti dopo.

Le caselle temporanee non sono una metrica di crescita

Un servizio di email usa e getta crea una casella al volo e la cancella poco dopo, spesso nel giro di minuti. Le persone lo usano per motivi comprensibili: scaricare un contenuto, provare un prodotto o ottenere un’altra prova gratuita senza impegnare un indirizzo a cui tengono.

Per l’azienda dall’altra parte, ognuna di quelle iscrizioni è un problema che arriva in ritardo:

• L’account non è più raggiungibile. Reimpostazioni della password, ricevute e avvisi di sicurezza non arrivano da nessuna parte.
• Ogni email rimbalza o sparisce, e la sequenza di onboarding continua a provarci. Un bounce costa più di una campagna: si paga con la reputazione del dominio di invio.
• I numeri mentono. Abuso delle prove gratuite, frodi sui referral e contatori di iscrizioni gonfiati si basano tutti su indirizzi che nessuno intende tenere.

Perché una regex non basta

Un indirizzo usa e getta è formalmente perfetto. anna.meyer@ seguito da un dominio usa e getta supera qualunque controllo di formato tu possa scrivere, compreso quello del validatore di moduli del tuo framework.

L’unico indizio è il dominio, e ce ne sono migliaia. Ogni mese nascono nuovi servizi, e quelli vecchi registrano nuovi domini quando vengono bloccati.

Cosa li rileva davvero

Il rilevamento funziona a livelli:

• Un elenco aggiornato di domini usa e getta. Intercetta i servizi noti, che sono la maggior parte del traffico. Va aggiornato man mano che ne compaiono di nuovi; una copia incollata nel codice due anni fa è in gran parte superata.
• Un controllo DNS. Un dominio senza server di posta non può ricevere nulla, usa e getta o no.
• Il controllo completo della casella. Individua gli indirizzi malformati, su domini morti o rifiutati dal server, che spesso accompagnano le iscrizioni false.

BounceIntel esegue tutti e tre i livelli a ogni controllo. Un dominio usa e getta torna con misc.is_disposable: true, il codice motivo disposable e un is_reachable pari a risky. Il resto del processo è descritto in come funziona la verifica email.

Come un dominio finisce in una lista di usa e getta

Nessuno tira a indovinare. Un dominio si guadagna l'etichetta comportandosi come un servizio usa e getta, e i segnali sono sempre gli stessi:

• Accetta qualsiasi indirizzo. Le caselle usa e getta devono farlo, perché l'indirizzo viene inventato nel momento in cui qualcuno lo digita.
• I suoi record MX puntano a infrastrutture usa e getta note, spesso condivise da decine di domini apparentemente scollegati.
• È stato registrato poche settimane fa, con protezione dei dati dell'intestatario, e non ha un sito oltre a una pagina che offre caselle temporanee.
• Compare nell'elenco pubblico di domini che il servizio stesso pubblica per far scegliere ai suoi utenti un indirizzo dall'aspetto diverso.
• Ruota. Quando un dominio viene bloccato, l'operatore ne aggiunge altri cinque e tiene gli stessi server.

È per quest'ultimo punto che l'aggiornamento della lista conta più della sua dimensione. Una lista di 100.000 domini copiata in un repository due anni fa ignora tutto ciò che è nato da allora, e ogni mese compaiono nuovi servizi.

Usa e getta, relay o semplicemente gratuito: come distinguerli

Queste tre categorie vengono confuse di continuo, e trattarle allo stesso modo ti costa clienti.

Un esito di verifica ti dice quale hai davanti: misc.is_disposable, misc.is_role_account e il codice free_provider rispondono a domande diverse, così puoi decidere in modo diverso per ciascuna.

Non bloccare i relay per la privacy

Alcuni indirizzi sembrano insoliti ma appartengono a persone che vogliono restare: Nascondi la mia email di Apple, gli indirizzi duck.com di DuckDuckGo e gli alias SimpleLogin inoltrano a una casella reale che la persona tiene per anni.

Sono una scelta di privacy, non un modo per evitarti, e bloccarli respinge proprio i clienti attenti che vuoi. BounceIntel non segnala questi domini relay come usa e getta.

Collegarlo al modulo di iscrizione

Controlla l’indirizzo sul tuo server quando il modulo viene inviato, mai da codice nel browser che contiene la tua chiave, e decidi in base al risultato:

async function checkSignupEmail(email: string) {
  try {
    const res = await fetch("https://api.bounceintel.com/v1/check_email", {
      method: "POST",
      headers: {
        Authorization: `Bearer ${process.env.BOUNCEINTEL_KEY}`,
        "Content-Type": "application/json",
      },
      body: JSON.stringify({ email }),
      signal: AbortSignal.timeout(3000),
    });
    const result = await res.json();

    if (result.misc?.is_disposable) return { allow: false, reason: "disposable" };
    if (result.is_reachable === "invalid") return { allow: false, reason: "invalid" };
    return { allow: true };
  } catch {
    // Fail open: never lose a real signup because a check was slow.
    return { allow: true, recheckLater: true };
  }
}

Due decisioni contano più del codice:

• Lasciar passare in caso di errore. Se il controllo va in timeout, fai entrare la persona e verifica l’indirizzo in background. Un server di posta lento non è un motivo per perdere un cliente.
• Decidi cosa significa risky per te. Usa e getta è un tipo di rischio. Gli indirizzi catch-all e generici sono altri, e di solito meritano un avviso, non un blocco.

Blocca con garbo, con parole comprensibili

Un secco «email non valida» spinge le persone a provare un secondo indirizzo usa e getta. Spiega perché ti serve un indirizzo vero:

Sembra una casella temporanea. Usa un indirizzo che terrai, così non perdi l’accesso al tuo account né alle tue ricevute.

Lascia il modulo compilato, metti il messaggio accanto al campo e non accusare nessuno.

Dove bloccare, dove avvisare, dove non fare nulla

Bloccare è una decisione di prodotto, non un'impostazione di sicurezza. La risposta giusta cambia con l'uso dell'indirizzo.

Qualunque cosa scegli, registra la decisione. Un campo sull'account che dice che l'indirizzo è stato segnalato vale più, in seguito, di un'iscrizione bloccata che nessuno sa spiegare.

Controlla quelli che hai già

Prima di toccare il modulo, misura il problema. Esporta la tabella utenti, verificala in blocco e raggruppa per dominio.

Di solito emergono tre cose:

• Una classifica dei domini usa e getta dove i primi cinque fanno quasi tutto il volume, il che dice se si tratta di abuso o di curiosità.
• Una coorte che non ha mai interagito. Gli account su domini usa e getta aprono raramente qualcosa. Confronta la loro attività a 30 giorni con il resto e hai il caso aziendale.
• Una fonte di marketing responsabile della maggior parte. Un concorso, un accordo di affiliazione o un download con modulo salta quasi sempre all'occhio.

Metti in soppressione gli indirizzi usa e getta perché la sequenza di benvenuto smetta di scrivergli, tieni gli account se ti serve lo storico, e sistema la fonte prima di rifare la stessa pulizia il trimestre prossimo. La verifica massiva gestisce l'export in un passaggio.

Provalo

Per il flusso di iscrizione completo, vedi il caso d’uso protezione delle iscrizioni e la documentazione dell’API.