Email Validation 是什么?如何识别一次性邮箱和虚假注册
Email validation 是在用户注册或提交表单时，判断一个邮箱地址是否真实可用、是否属于一次性或临时邮箱、是否命中黑名单的过程。它通常不是单一动作，而是由格式校验、域名与 MX 记录验证、一次性邮箱检测、黑名单比对这几层组成。Bottyfier 这类服务把这几层合并成一个 API 调用，在注册入口拦截虚假账号，而不是等对方完成支付后再处理。
邮箱验证的四个层次
不同层次的验证解决的问题不同，误判成本也不同。
| 层次 | 检查内容 | 能拦住的 | 拦不住的 |
|---|---|---|---|
| 格式校验 | 是否符合 name@domain 结构 |
明显写错的地址 | 格式正确但域名不存在的地址 |
| 域名与 MX 验证 | 域名是否存在、是否配置了收信服务器 | 拼错域名、无邮件服务的域名 | 真实存在但一次性的域名 |
| 一次性邮箱检测 | 域名是否属于临时/一次性邮箱服务商 | 用完即弃的注册邮箱 | 自建域名的一次性邮箱 |
| 黑名单比对 | 邮箱或域名是否在已知滥用名单中 | 已被标记的惯犯 | 首次出现的滥用者 |
Bottyfier 的资料显示，其一次性邮箱检测覆盖 50M+ 一次性邮箱服务商，同时支持自定义黑名单，用于屏蔽对业务最关键的那部分用户。这说明单靠内置名单不够，业务侧的自定义规则同样是验证的一部分。
一次 API 调用返回什么
Bottyfier 的示例响应把多个判断结果放在同一个 JSON 里：
{
"email": "[email protected]",
"isValid": true,
"domain": "example.com",
"isTemporary": false,
"isDisposable": false,
"isBlacklisted": false,
"domainVerification": {
"verified": true,
"mxVerificationSucceed": true
}
}
各字段对应的决策含义：
isValid：地址本身是否通过基础校验。isTemporary/isDisposable：是否属于临时或一次性邮箱，这是识别虚假注册的核心信号。isBlacklisted：是否命中黑名单。domainVerification.mxVerificationSucceed：域名是否具备收信能力，为 false 时通常意味着地址无法真正收到邮件。
接入时的典型做法是：isValid 为 false 或 mxVerificationSucceed 为 false 时直接拒绝；isDisposable 或 isTemporary 为 true 时按业务策略处理（拒绝、要求二次验证或降级权限）；isBlacklisted 为 true 时直接拦截。
接入注册流程的时机与失败处理
验证应放在注册提交的那一刻，而不是注册成功后异步补做——异步意味着虚假账号已经进入系统，后续清理成本更高。
具体步骤：
- 用户提交注册表单，前端先做基础格式校验，减少无效请求。
- 后端把邮箱（以及可选的 IP）发给验证 API。
- 根据返回字段决定放行、拒绝或要求额外验证。
- 记录被拒绝的原因，便于后续排查误判。
失败处理要区分两类情况：一类是验证结果明确为一次性或黑名单，直接拒绝；另一类是 API 调用本身失败（超时、限流），此时不应默认放行，也不应一律拒绝正常用户，通常的做法是降级为「先放行但标记待复核」，或要求邮箱验证链接确认。
误判正常用户时怎么排查
正常用户被拦，常见原因有三种：
- 用户使用了企业自建域名，但该域名恰好被误列入名单。
- 用户所在 IP 属于被标记的 VPN 或托管服务商，而邮箱本身没问题。
- 邮箱服务商的共享域名被其他滥用者牵连。
排查顺序建议从返回字段入手：先看是 isDisposable、isBlacklisted 还是 IP 相关判断触发的拒绝，再决定处理方式。对确认正常的域名或用户，用自定义黑名单/白名单机制单独放行，而不是整体放宽验证规则。Bottyfier 支持创建自定义规则并针对特定用户设置，正是为这类例外准备的。
邮箱验证与 IP、VPN、机器人检测的边界
邮箱验证只能回答「这个地址是否可信」，回答不了「发起注册的是不是机器人」。一个真实邮箱同样可以被脚本批量注册，一个一次性邮箱也可能来自真实用户。
Bottyfier 把邮箱检测与 IP 过滤、VPN/代理拦截、坏 ISP 屏蔽放在同一个 API 端点下，正是因为单一维度不够：邮箱验证负责地址层，IP 与 VPN 检测负责来源层，两者结合才能覆盖注册流程中的主要攻击面。实际配置时，建议把邮箱信号作为主判断，IP 与 VPN 信号作为加权或辅助判断，避免因 IP 波动误伤正常用户。
选择与使用时的判断条件
- 如果只需要拦住明显写错的邮箱，格式校验加 MX 验证就够了，不必引入第三方服务。
- 如果虚假注册已经造成实际损失（垃圾账号、欺诈支付、纠纷率上升），需要一次性邮箱检测和黑名单能力，此时 API 化验证更合适。
- 如果业务面向企业客户，自建域名比例高，要重点确认服务商是否支持白名单和自定义规则，否则误判会直接影响正常注册。
- 接入前先确认调用量是否落在免费额度内。Bottyfier 的资料写明注册后可获得每月 100k 次请求的免费额度，超出后的计费方式需以官网定价页为准。