E-mails descartáveis e aliases do Gmail: como frear cadastros multicontas em sites de recompensas

Resposta curta

Normalize cada endereço (minúsculas, remova a +etiqueta, tire os pontos no Gmail), compare o endereço normalizado com suas contas existentes, marque domínios descartáveis e domínios sem servidor de e-mail, e trate tudo isso como evidência para revisar, não como banimento automático.

Pontos e +etiquetas

john.doe+7@gmail.com e johndoe@gmail.com chegam na mesma caixa.

Caixas temporárias

Milhares de domínios descartáveis, com novos toda semana.

Sem servidor de e-mail

Um domínio sem registros MX não recebe o e-mail de confirmação.

Melhor uso

Um sinal ao lado dos vínculos por dispositivo, rede e pagamento.

Por que o campo de e-mail importa num site de recompensas

Num site de recompensas, GPT ou offerwall, cada conta nova vale algo desde o primeiro dia: um bônus de cadastro, uma recompensa de indicação, um novo limite nas ofertas que pagam mais. Uma fazenda que consegue abrir dez contas pelo preço de uma multiplica tudo isso. A parte mais barata de falsificar numa conta é o e-mail, e é aí que se corta caminho.

A maioria dos sites pede um e-mail e envia um link de confirmação. Isso barra quem digita um endereço inventado, mas não quem controla a caixa, e uma fazenda sempre controla a caixa. O passo de confirmação não diz se essa caixa é a mesma por trás de outras vinte contas, ou uma que será jogada fora amanhã.

A boa notícia é que o e-mail também é um dos sinais mais fáceis de verificar, e está disponível antes que o usuário ganhe qualquer coisa. Verificando no cadastro, você pode segurar a conta, pedir mais verificação ou só acompanhá-la de perto, bem antes do primeiro pedido de saque.

Os três truques de e-mail das fazendas

Os aliases são o truque mais comum em sites GPT porque não custam nada e parecem totalmente normais. O Gmail ignora os pontos da parte local e tudo depois de um sinal de mais, então uma única caixa pode se cadastrar centenas de vezes com endereços que são textos diferentes. Outlook e muitos outros provedores também aceitam a +etiqueta, embora só o Gmail ignore os pontos.

As caixas descartáveis são o segundo truque. As fazendas alternam entre muitos provedores temporários e surgem domínios novos toda semana, então uma lista que estava completa no ano passado não está hoje. Domínios inventados são mais raros, mas aparecem quando um site não confirma e-mails.

Normalize antes de comparar

Comparar os textos como estão não detecta nada, porque cada alias é um texto diferente. A solução é comparar uma forma normalizada: passar o endereço para minúsculas, remover tudo depois do primeiro sinal de mais na parte local e, no Gmail e Googlemail, remover também os pontos e tratar os dois domínios como gmail.com. Duas contas com o mesmo endereço normalizado pertencem à mesma caixa, seja o que for que digitaram.

function normalized_email(string $email): string
{
    [$local, $domain] = explode('@', strtolower(trim($email)), 2);
    $local = explode('+', $local, 2)[0];
    if (in_array($domain, ['gmail.com', 'googlemail.com'], true)) {
        $local = str_replace('.', '', $local);
        $domain = 'gmail.com';
    }
    return $local . '@' . $domain;
}

Guarde a forma normalizada (ou um hash dela) junto de cada conta e procure por ela no cadastro. Se já existir, a conta nova é a mesma pessoa da antiga. É um vínculo forte, tão forte quanto um endereço de pagamento compartilhado, e normalmente significa que o dono tenta receber de novo o bônus de cadastro.

Domínios descartáveis e domínios sem servidor de e-mail

Um domínio descartável sozinho não prova fraude. Alguns usuários preocupados com privacidade se cadastram com um, e alguns são honestos. Num site de recompensas, porém, um endereço descartável numa conta recém-criada que vai direto às ofertas que pagam mais é um padrão que merece revisão.

Um domínio sem servidor de e-mail é um sinal mais forte: ninguém consegue receber ali o e-mail de confirmação, então a conta nunca foi pensada para ser contatada. Se o seu cadastro não confirma e-mails, essa verificação sozinha remove uma parte surpreendente das contas lixo.

• Compare o domínio com uma lista de provedores descartáveis atualizada pelo menos toda semana.
• Consulte os registros MX, com um registro A como alternativa, e guarde a resposta em cache por domínio durante um dia.
• Marque endereços de função como admin@ ou info@: raros num usuário de recompensas, normais numa empresa.
• Nunca bloqueie provedores gratuitos como Gmail ou Outlook sozinhos: é lá que estão seus usuários reais.

Você pode testar todas essas verificações com um único endereço no verificador de e-mail gratuito, que mostra a caixa normalizada, se o domínio é descartável e se tem servidor de e-mail.

Por que a verificação de e-mail não basta sozinha

Uma fazenda determinada compra ou cria caixas reais, e cada uma passa em todas as verificações de e-mail. Por isso o e-mail nunca deve ser a única defesa. As contas por trás de caixas reais e diferentes continuam compartilhando dispositivos, redes, fusos horários e, sobretudo, endereços de pagamento.

A configuração mais sólida combina o e-mail com esses vínculos: uma conta nova com e-mail normalizado novo, mas cujo navegador já foi usado por outras três contas e cujo saque vai para a mesma carteira, é a mesma pessoa de antes. A verificação de e-mail pega as fazendas preguiçosas; os vínculos por dispositivo e pagamento pegam as cuidadosas.

Como o CashoutGuard faz isso

Envie o e-mail com o evento signup para /v1/evaluate. O CashoutGuard normaliza, guarda só um hash, marca domínios descartáveis (email_disposable) e liga contas que compartilham a mesma caixa (email_shared). A mesma conta também é verificada por dispositivos compartilhados, redes de VPN e hospedagem, e endereços de pagamento compartilhados quando saca, então uma única pontuação cobre tudo.

No painel, buscar um e-mail em Contas mostra todas as contas por trás dessa caixa, aliases incluídos, junto com o que o endereço é: descartável, alias ou uma caixa normal. A página de verificação em massa aceita uma lista de até 500 e-mails ou IPs de uma exportação e diz quais das suas contas usam cada um. Sites novos começam no modo sombra, então você vê o que seria marcado antes de bloquear qualquer coisa.