Emails desechables y alias de Gmail: cómo frenar los registros multicuenta en sitios de recompensas
El formulario de registro es el primer punto que toca una granja multicuenta, y el campo de email es donde más atajos toma. Esta guía muestra los tres trucos de email que usan las granjas, cómo detectar cada uno y por qué la comprobación del email funciona mejor como una señal entre varias.
Respuesta corta
Normaliza cada dirección (minúsculas, quita la +etiqueta, elimina los puntos en Gmail), compara la dirección normalizada con tus cuentas existentes, marca los dominios desechables y los dominios sin servidor de correo, y trata todo ello como indicios para revisar, no como un baneo automático.
- Puntos y +etiquetas
- john.doe+7@gmail.com y johndoe@gmail.com llegan al mismo buzón.
- Buzones temporales
- Miles de dominios desechables, con dominios nuevos cada semana.
- Sin servidor de correo
- Un dominio sin registros MX no puede recibir el email de confirmación.
- Mejor uso
- Una señal junto a los vínculos por dispositivo, red y pago.
Por qué el campo de email importa en un sitio de recompensas
En un sitio de recompensas, GPT u offerwall cada cuenta nueva vale algo desde el primer día: un bono de registro, una recompensa por referido, un límite nuevo en las ofertas que mejor pagan. Una granja que puede abrir diez cuentas por el precio de una multiplica todo eso. Lo más barato de falsificar en una cuenta es el email, así que es ahí donde se toman los atajos.
La mayoría de los sitios piden un email y envían un enlace de confirmación. Eso frena a quien escribe una dirección inventada, pero no a quien controla el buzón, y una granja siempre controla el buzón. Lo que el paso de confirmación no te dice es si ese buzón es el mismo que hay detrás de otras veinte cuentas, o uno que se tirará mañana.
La buena noticia es que el email también es una de las señales más fáciles de comprobar, y está disponible antes de que el usuario haya ganado nada. Si lo compruebas en el registro, puedes retener la cuenta, pedir más verificación o simplemente vigilarla, mucho antes de que llegue la primera solicitud de retiro.
Los tres trucos de email que usan las granjas
| Truco | Ejemplo | Qué lo detecta |
|---|---|---|
| Alias con puntos y +etiqueta | j.ohn.doe+12@gmail.com, johndoe+13@gmail.com | Normalizar la dirección antes de compararla con las cuentas existentes |
| Buzones desechables | x7k2@mailinator.com, dominios tipo 10minutemail | Una lista de dominios desechables que se actualice a menudo |
| Dominios inventados | usuario@mi-sitio-recompensas-2025.xyz sin servidor de correo | Una consulta DNS de los registros MX (o A) |
Los alias son el truco más habitual en los sitios GPT porque no cuestan nada y parecen totalmente normales. Gmail ignora los puntos de la parte local y todo lo que va después de un signo más, así que un solo buzón puede registrarse cientos de veces con direcciones que son cadenas distintas. Outlook y muchos otros proveedores también admiten la +etiqueta, aunque solo Gmail ignora los puntos.
Los buzones desechables son el segundo truco. Las granjas rotan entre muchos proveedores temporales y cada semana aparecen dominios nuevos, así que una lista que estaba completa el año pasado no lo está hoy. Los dominios inventados son menos frecuentes, pero aparecen cuando un sitio no confirma los emails.
Normaliza antes de comparar
Comparar las cadenas tal cual no detecta nada, porque cada alias es una cadena distinta. La solución es comparar una forma normalizada: pasar la dirección a minúsculas, quitar todo lo que va después del primer signo más en la parte local y, en Gmail y Googlemail, eliminar además los puntos y tratar ambos dominios como gmail.com. Dos cuentas cuyas direcciones normalizadas coinciden pertenecen al mismo buzón, escribieran lo que escribieran.
function normalized_email(string $email): string
{
[$local, $domain] = explode('@', strtolower(trim($email)), 2);
$local = explode('+', $local, 2)[0];
if (in_array($domain, ['gmail.com', 'googlemail.com'], true)) {
$local = str_replace('.', '', $local);
$domain = 'gmail.com';
}
return $local . '@' . $domain;
}Guarda la forma normalizada (o un hash de ella) junto a cada cuenta y búscala en el registro. Si ya existe, la cuenta nueva es la misma persona que la antigua. Es un vínculo fuerte, tan fuerte como una dirección de pago compartida, y normalmente significa que el dueño intenta cobrar otra vez el bono de registro.
Dominios desechables y dominios sin servidor de correo
Un dominio desechable no es por sí solo una prueba de fraude. Algunos usuarios que cuidan su privacidad se registran con uno, y unos cuantos son honestos. En un sitio de recompensas, sin embargo, una dirección desechable en una cuenta recién creada que va directa a las ofertas que mejor pagan es un patrón que merece revisión.
Un dominio sin servidor de correo es una señal más fuerte: nadie puede recibir allí el email de confirmación, así que la cuenta nunca se pensó para ser contactada. Si tu registro no confirma los emails, esta comprobación sola elimina una parte sorprendente de las cuentas basura.
- Compara el dominio con una lista de proveedores desechables que se actualice al menos cada semana.
- Consulta los registros MX, con un registro A como alternativa, y guarda la respuesta en caché por dominio durante un día.
- Marca las direcciones de rol como admin@ o info@: raras en un usuario de recompensas, normales en una empresa.
- Nunca bloquees los proveedores gratuitos como Gmail u Outlook por sí solos: ahí están tus usuarios reales.
Puedes probar todas estas comprobaciones con una sola dirección en el comprobador de emails gratuito, que muestra el buzón normalizado, si el dominio es desechable y si tiene servidor de correo.
Por qué la comprobación del email no basta por sí sola
Una granja decidida compra o crea buzones reales, y cada uno supera todas las comprobaciones de email. Por eso el email nunca debe ser la única defensa. Las cuentas detrás de buzones reales y distintos siguen compartiendo dispositivos, redes, zonas horarias y, sobre todo, direcciones de pago.
La configuración más sólida combina el email con esos vínculos: una cuenta nueva con un email normalizado nuevo, pero cuyo navegador ya usaron otras tres cuentas y cuyo retiro va a la misma wallet, es la misma persona de antes. La comprobación del email atrapa a las granjas perezosas; los vínculos por dispositivo y pago atrapan a las cuidadosas.
Cómo lo hace CashoutGuard
Envía el email con el evento signup a /v1/evaluate. CashoutGuard lo normaliza, guarda solo un hash, marca los dominios desechables (email_disposable) y vincula las cuentas que comparten el mismo buzón (email_shared). La misma cuenta se comprueba también por dispositivos compartidos, redes de VPN y hosting, y direcciones de pago compartidas cuando retira, así que una sola puntuación lo cubre todo.
En el panel, buscar un email en Cuentas muestra todas las cuentas detrás de ese buzón, alias incluidos, junto con lo que es la dirección: desechable, alias o un buzón normal. La página de comprobación masiva acepta una lista de hasta 500 emails o IPs de una exportación y te dice cuáles de tus cuentas usan cada uno. Los sitios nuevos empiezan en modo sombra, así que ves lo que se marcaría antes de bloquear nada.