Woher die Listen kommen
Eine Sperrliste für Wegwerf-Domains ist eine Textdatei: eine Domain pro Zeile, zehntausende Zeilen. Mehrere davon sind öffentlich und werden auf GitHub gepflegt, kommerzielle Validierungs-APIs führen ihre eigenen, und die meisten Anwendungs-Frameworks haben ein Paket, das eine mitliefert. Eine Domain gelangt auf drei Arten darauf:
- Sie taucht auf einer Temp-Mail-Website auf. Die Maintainer crawlen die Startseiten von Wegwerf-Diensten und fügen jede Domain hinzu, die sie anbieten.
grabmail.iosteht genau aus diesem Grund auf den Listen, und so auch jede öffentliche Domain hier — sie steht auf der eigenen Startseite dieser Website gedruckt. - Sie verhält sich wie eine. Eine Domain, deren MX auf einen bekannten Wegwerf-Dienst zeigt, oder die jede zufällige Adresse akzeptiert, wird durch die unten beschriebenen Proben hinzugefügt.
- Jemand hat sie gemeldet. Eine Website, die einen Schwall von Anmeldungen von einer Domain gesehen hat, reicht sie ein, und die nächste Version trägt sie.
Die Listen sind groß, öffentlich und ändern sich in beide Richtungen nur langsam: Eine versehentlich hinzugefügte Domain bleibt monatelang, und eine wirklich als Wegwerf-Domain gedachte Domain kann Wochen brauchen, um zu erscheinen. Die einzig verlässliche Eigenschaft ist, dass eine Domain, die auf einer Temp-Mail-Website gedruckt steht, auf ihnen steht, und eine Domain, die nirgends öffentlich auftaucht, nicht.
Die vier Prüfungen, die ein Formular durchführen kann
„Bitte geben Sie eine gültige E-Mail-Adresse ein“ ist eine Meldung für vier verschiedene Prüfungen, und welche davon Sie abgelehnt hat, entscheidet, was stattdessen funktionieren wird:
| Prüfung | Wie sie funktioniert | Was sie erfasst | Was daran vorbeikommt |
|---|---|---|---|
| Domain-Liste | Die Domain der Adresse wird in einer Sperrliste nachgeschlagen, meist schon bevor das Formular überhaupt abgeschickt wird. | Jede öffentliche Wegwerf-Domain, an dem Tag, an dem sie gelistet wurde. | Jede Domain, die nicht auf der Liste steht: die eigene, oder eine, die nie veröffentlicht wird. |
| MX-Nachschlag | DNS wird gefragt, wohin die Mail der Domain geht. Nennt der MX einen bekannten Wegwerf-Provider, wird die Adresse abgelehnt. | Domains, die auf den Mailserver eines gelisteten Providers zeigen — manchmal auch die eigene Domain, wenn sie hierher ausgerichtet ist. | Eine Domain, deren MX nicht auf der Provider-Liste steht. Seltener als die Domain-Prüfung, weil sie pro Anmeldung eine DNS-Abfrage kostet. |
| Catch-all-Probe | Der Server der Website öffnet eine SMTP-Unterhaltung und fragt den MX, ob eine zufällige Adresse auf der Domain akzeptiert würde. | Jede Catch-all-Domain, ob Wegwerf oder nicht — einschließlich des eigenen Catch-all einer Firma. | Eine Domain, die unbekannte Adressen ablehnt, was ein Catch-all-Postfach per Definition nicht tut. |
| Risiko-Score des Providers | Die Adresse wird an eine Validierungs-API geschickt, die all das oben Genannte mit ihrer eigenen Historie kombiniert und einen Score zurückgibt. | Was auch immer dieser Provider schon gesehen hat, und das ist eine Menge. | Adressen, zu denen der Provider keine Historie hat — was die meisten Adressen auf einer Domain sind, die noch niemand verwendet hat. |
Die erste Prüfung ist mit Abstand die häufigste, weil sie kostenlos ist und im Browser läuft. Die dritte ist die, auf die es für den Rest dieser Anleitung ankommt: Sie ist die einzige Prüfung, die eine eigene Domain ablehnt, und sie ist der Grund, warum es den kostenpflichtigen Pool gibt.
Warum Websites das tun, und was es sie kostet
Es ist leicht, eine Ablehnung als Feindseligkeit zu lesen. Meist ist es Rechenarbeit, und diese Rechnung zu verstehen lohnt sich, weil sie sagt, welche Websites sich nie bewegen werden:
- Missbrauch von Testversionen und Guthaben
- Ein Dienst, der pro Konto Guthaben, Minuten oder einen kostenlosen Monat verschenkt, wird von Skripten tausendmal pro Stunde angemeldet. Das Blockieren von Wegwerf-Domains beseitigt den billigsten Weg dafür. Diese Websites werden nicht aufhören zu blockieren, und sollten es auch nicht.
- Bounces und Zustellbarkeit
- Mail, die an Adressen geschickt wird, die ablaufen, kommt als unzustellbar zurück, und eine Bounce-Rate über ein, zwei Prozent lässt die Domain eines Absenders bei jedem großen Postfach-Provider gedrosselt werden. Eine Website, die viel Mail verschickt, schützt ihren eigenen Ruf, indem sie nicht an Adressen schickt, die es nächste Woche nicht mehr gibt.
- Betrug und Rückbuchungen
- Alles, was mit Zahlung zu tun hat, wird bewertet, und eine unbekannte oder Wegwerf-Domain ist ein Eingabewert unter vielen. Hier ist die Blockade oft der Score, nicht eine Liste.
Was es sie kostet, ist auch real: Jede Liste trägt falsch-positive Treffer mit sich — kleine Mail-Provider, Universitätsdomains, den eigenen Catch-all einer Firma —, und jede abgelehnte Anmeldung ist eine Person, die eine echte Adresse eingetippt hat und der gesagt wurde, sie sei ungültig. Eine Website, die blockiert, ohne zu sagen warum, verliert diese Leute lautlos. Der letzte Abschnitt ist für die Leute, die solche Formulare betreiben.
Warum der Name vor dem @ zu ändern nie hilft
Der Instinkt nach einer Ablehnung ist, john.smith statt js zu probieren. Das bewirkt nichts. Keine der vier Prüfungen schaut sich den lokalen Teil an — die Liste ist eine Liste von Domains, der MX-Nachschlag ist pro Domain, die Probe ist pro Domain, und der Score behandelt die Domain als das stärkste Signal. Jede Adresse auf grabmail.io wird gemeinsam abgelehnt, und so auch jede Adresse auf mixozia.com und linqmail.com.
Es lohnt sich, das klar zu sagen, denn das Gegenteil stimmt auch: Was tatsächlich funktioniert, ist, die Domain zu ändern, und nur das. Alles im nächsten Abschnitt ist eine andere Domain.
Drei ehrliche Wege drumherum
Jeder davon ist eine andere Domain, und jeder beantwortet eine andere Prüfung. Wählen Sie danach, welche Prüfung Sie abgelehnt hat, und wofür das Konto ist:
| Weg drumherum | Kommt vorbei an | Kostet | Richtig, wenn |
|---|---|---|---|
| Eine eigene Domain, mit einem MX-Eintrag hierher ausgerichtet | Die Domain-Liste und den Provider-Score. Nicht den MX-Nachschlag auf einer strikten Website, und nicht die Catch-all-Probe. | Eine Domain, die Sie bereits besitzen, oder eine günstige. Kein Konto, keine Gebühr. | Die eigene Anwendung testen, oder eine persönliche Adresse für Anmeldungen, die Sie gerne funktionsfähig behalten möchten. |
| Eine Domain aus dem Pool, der von den Listen ferngehalten wird | Alle vier Prüfungen: Die Domains sehen gewöhnlich aus, enden auf .com, werden nie veröffentlicht, haben schlichte MX-Einträge und werden täglich gegen die öffentlichen Listen geprüft. | Ein monatliches Abo, ab der Preisseite. API-Zugriff auf den Pool, gelesen mit einem Schlüssel. | Automatisierung, die sich auf Websites anmelden muss, die hart blockieren, und bei denen auch die eigene Domain abgelehnt wurde. |
| Ein Alias, der an Ihr echtes Postfach weiterleitet | Meist alles — Alias-Domains stehen auf manchen Listen, aber die meisten Formulare akzeptieren sie. | Ein Alias-Dienst, oder eine eigene Funktion Ihres Providers. | Ein Konto, das Sie tatsächlich behalten möchten: eines, das vielleicht ein Zurücksetzen des Passworts braucht, oder das Ihnen etwas Lesenswertes schickt. |
Die eigene Domain, in einem Eintrag
Fügen Sie diesen MX-Eintrag bei Ihrem DNS-Provider hinzu, und jede Adresse auf der Domain wird hier zu einem Postfach, lesbar genau wie die öffentlichen. Die erste ankommende Nachricht verbindet sie; es gibt kein Konto und kein Formular zum Ausfüllen. Die Einrichtungsanleitung geht die gängigen DNS-Provider durch, und unbegrenzte Testkonten auf einer Domain zeigt, wie das in einer Testsuite aussieht.
MX-Eintrag für Ihre Domain10 smtp.grabmail.io
Der Pool, der von den Listen fernbleibt
Der Pool existiert aus einem Grund: der Catch-all-Probe. Eine eigene Domain, die hierher ausgerichtet ist, akzeptiert jede Adresse, und genau das macht sie nützlich und genau das erkennt eine Probe. Die Pool-Domains sind schlichte .coms, die noch nie auf einer Temp-Mail-Seite gedruckt standen, und der Dienst prüft jede täglich gegen die öffentlichen Listen; eine, die auftaucht, wird ausgemustert. Es ist das einzige Kostenpflichtige auf dieser Website, und alles andere bleibt kostenlos, ob Sie es nutzen oder nicht.
Ein Alias, wenn das Konto wichtig ist
Wenn die Website hart ablehnt und das Konto eines ist, dessen Verlust Sie stören würde, lautet die Antwort nicht auf eine bessere Wegwerf-Adresse; sie lautet auf eine Adresse, die Sie erreicht. Ein Alias liefert in Ihr echtes Postfach zu und lässt sich später abschalten. Burner, Alias oder Wegwerf-E-Mail ist der längere Vergleich, und Anmelden, ohne die echte Adresse preiszugeben behandelt die Gewohnheiten, die jedes von ihnen funktionieren lassen.
Wenn Sie das Formular betreiben: wie man gut blockiert
Wegwerf-Domains zu blockieren ist eine vernünftige Sache. Schlecht zu blockieren kostet echte Anmeldungen, und der Unterschied liegt in fünf Entscheidungen:
- Prüfen Sie eine Liste, keine Heuristik. Eine gepflegte Liste liegt seltener falsch als eine Regel wie „jede Domain ablehnen, die jünger als ein Jahr ist“. Aktualisieren Sie sie nach einem Zeitplan statt beim Deployment.
- Prüfen Sie nicht auf Catch-all. Das lehnt jede Firma ab, die eine betreibt, und es lässt Ihren Server bei jeder Anmeldung SMTP-Unterhaltungen mit Fremden eröffnen. Lassen Sie stattdessen die Bestätigungsmail die Arbeit erledigen.
- Verifizieren Sie durch Versenden. Eine Adresse, die Ihre Bestätigungsmail empfängt und darauf klickt, hat mehr bewiesen, als jede Liste kann. Die meisten Missbrauchsversuche scheitern von selbst an diesem Schritt, weil sie die Mail nie lesen.
- Sagen Sie, warum. „Wir akzeptieren keine temporären E-Mail-Adressen — verwenden Sie eine, die Sie später prüfen können“ verliert weniger Leute als „Bitte geben Sie eine gültige E-Mail-Adresse ein“ bei einer gültigen E-Mail-Adresse, und es sagt den legitimen Nutzern, was zu tun ist.
- Begrenzen Sie die Rate dessen, was missbraucht wird, nicht die Adresse. Wenn das Problem kostenlose Guthaben sind, deckeln Sie Guthaben pro Zahlungsmethode oder pro Gerät; die Domain-Prüfung ist dafür nur ein Stellvertreter, und Stellvertreter sind das, worum Leute herumkommen.
Nichts davon stoppt einen entschlossenen Missbraucher mit einem kostenpflichtigen Pool von Domains. Es stoppt den billigen Missbrauch, und das ist der größte Teil davon, ohne die Kunden abzulehnen, die zufällig ihre eigene Mail betreiben.
Die Kurzversion
- Eine Ablehnung dreht sich um die Domain. Der lokale Teil ist irrelevant — probieren Sie nicht immer wieder neue Namen.
- Für die eigene Anwendung: eine eigene Domain, ein MX-Eintrag, kostenlos.
- Für Automatisierung auf strikten Websites: eine Domain aus dem Pool, der von den Listen ferngehalten wird.
- Für ein Konto, das Sie behalten möchten: ein Alias, der Ihr echtes Postfach erreicht, überhaupt keine Wegwerf-Adresse.
Und wenn die Bestätigungsmail akzeptiert wurde, aber nie aufgetaucht ist, ist das ein anderes Problem mit einer eigenen Anleitung: Bestätigungsmail kommt nicht an.
Fragen
Verstößt die Verwendung einer Wegwerf-Adresse gegen die Regeln der Website?
Manchmal. Eine Website, die sie blockiert, verbietet sie meist auch in ihren Nutzungsbedingungen, und ein so angelegtes Konto kann geschlossen werden. Nichts hier hilft Ihnen, die Regeln einer Website zu brechen — die ehrlichen Wege um eine Ablehnung herum sind alles Adressen, zu deren Nutzung Sie berechtigt sind, und die Alias-Option existiert genau für die Konten, auf die es ankommt.
Wird meine eigene Domain auf den Listen landen?
Nur, wenn sie irgendwo veröffentlicht wird, wo die Listen-Maintainer crawlen, oder gemeldet wird. Eine Domain, die nur je in Ihrer eigenen Testsuite oder Ihren eigenen Anmeldungen auftaucht, hat keinen Weg auf sie. Der MX-Nachschlag kann sie auf einer strikten Website trotzdem erkennen, und die Catch-all-Probe wird es tun — dafür ist der Pool die Antwort.
Wie werden die Pool-Domains von den Listen ferngehalten?
Sie werden auf keiner Seite gedruckt, sie sind gewöhnliche .coms mit eigenen schlichten MX-Einträgen, und jede wird täglich gegen die öffentlichen Sperrlisten geprüft. Eine, die trotzdem auftaucht, wird aus dem Pool ausgemustert. Der Pool wird über die API mit einem Schlüssel gelesen, und genau das liefern die kostenpflichtigen Pläne.
Warum akzeptiert die Website meine Adresse und verschickt dann nie die Mail?
Manche Websites lehnen lautlos ab: Das Formular sagt „Prüfen Sie Ihr Postfach“, und nichts wird verschickt. Es sieht aus wie ein Zustellungsproblem und ist eine Blockade. Bestätigungsmail kommt nicht an hat die Sechzig-Sekunden-Prüfung, die die beiden auseinanderhält.
Veröffentlicht GrabMail eine Liste seiner eigenen Domains?
Die öffentlichen stehen auf der Startseite, was dasselbe ist wie sie zu veröffentlichen. Die Pool-Domains und die eigenen Domains der Kunden werden nirgends aufgeführt, und es gibt keinen Endpunkt, der sie auflistet.
Kann ein Formular erkennen, dass meine eigene Domain auf GrabMail zeigt?
Ein MX-Nachschlag kann das, wenn die Website eine Liste der Mailserver von Wegwerf-Providern führt und dagegen prüft. Wenige tun das, weil es pro Anmeldung eine DNS-Abfrage kostet, aber strikte Websites gibt es. Eine Catch-all-Probe kann es auch. Die Domain-Listen-Prüfung, die häufige, kann es nicht.
Was ist der Unterschied zwischen all dem und einem „Fake-E-Mail-Generator“?
Nichts außer dem Namen. Ein Generator gibt Ihnen eine zufällige Adresse auf einer öffentlichen Wegwerf-Domain — auf den Listen, abgelehnt von denselben Formularen. Was Wegwerf-E-Mail ist bringt die Begriffe in Ordnung.
