Lo que una dirección de correo electrónico revela sobre un usuario (ES)

Un nuevo usuario escribe un correo electrónico al registrarse. Parece una cadena. No lo es.

Antes de que pidas un documento o hagas una comparación facial, esa dirección ya te está diciendo cosas: si la bandeja de entrada es real, si el dominio acepta correo, si el proveedor es un servicio temporal y si la dirección ha aparecido en volcados de filtraciones de datos. Nada de eso requiere que el usuario haga algo; lo obtienes en el momento en que ingresa la cadena.

Esta publicación explica qué significan esas señales, cómo actúan los equipos antifraude sobre ellas y cómo la Verificación de Correo Electrónico de Didit las empaqueta en una verificación de $0.03 que puedes colocar al inicio de cualquier flujo de incorporación.

Conclusiones clave

• Una dirección de correo electrónico es una señal de fraude multidimensional: la entregabilidad, el tipo de proveedor, la reputación del dominio y la exposición a filtraciones detectan diferentes patrones de riesgo.
• Los correos electrónicos desechables pueden ser marcados antes de pagar por una sola verificación KYC.
• La exposición a filtraciones se correlaciona con el riesgo de relleno de credenciales y toma de cuenta; un alto número de filtraciones al registrarse es un perfil diferente al de una dirección corporativa nueva.
• La inteligencia de correo electrónico es un filtro de baja fricción: los usuarios legítimos apenas lo notan, mientras que los usuarios que intentan engañar tu proceso de incorporación tienen menos opciones baratas.
• La Verificación de Correo Electrónico de Didit ejecuta la entrega de OTP más las señales de riesgo — BREACHED_EMAIL, DISPOSABLE_EMAIL, UNDELIVERABLE_EMAIL, INVALID_EMAIL, DUPLICATED_EMAIL — en una sola llamada de $0.03, configurable por advertencia para aprobar, revisar o denegar.

Lo que realmente contiene una dirección de correo electrónico

Si quitas el @, tienes dos partes: la parte local y el dominio. Ambas contienen señales.

La parte local puede indicar automatización. Cadenas secuenciales, patrones de teclado o cadenas alfanuméricas aleatorias largas son inusuales para usuarios reales. Las redes de fraude que crean cuentas en volumen a menudo generan partes locales programáticamente.

El dominio te dice si la bandeja de entrada es real y accesible; la salud del registro MX y la configuración DNS importan. Un dominio registrado hace tres meses sin historial de correo previo se ve muy diferente de gmail.com o acme-corp.com.

El proveedor te informa sobre la intención. Los proveedores de correo electrónico desechable — servicios creados para generar direcciones temporales que expiran en minutos — son anormales en todas partes. Hay miles de ellos, y la lista crece a medida que evolucionan las herramientas de fraude.

Las cuatro señales de fraude en una dirección de correo electrónico

1. Entregabilidad y validez MX

Si el dominio no tiene registros MX válidos, la sintaxis está mal formada o se sabe que el buzón rebota, la dirección no es entregable; el OTP no llegará y no tiene sentido continuar. Detectar esto temprano ahorra el costo total de verificación y evita incorporar a un usuario con el que no puedes contactar.

2. Detección de proveedor desechable

Los servicios de correo electrónico desechable existen con un único propósito: completar un registro sin dejar una identidad rastreable. Los usuarios que realmente quieren una cuenta no tienen razón para usarlos. Los usuarios que abusan de programas de referencia, aprovechan pruebas gratuitas o rotan cuentas prohibidas sí lo hacen. Detectar proveedores desechables requiere una base de datos actualizada y mantenida de servicios conocidos; Didit la mantiene como parte de la evaluación de riesgos en cada verificación.

3. Exposición a filtraciones

Cuando las bases de datos se filtran, los registros expuestos contienen direcciones de correo electrónico emparejadas con contraseñas o datos personales. Una dirección que aparece en muchas filtraciones conocidas cambia el perfil de riesgo: es antigua, ampliamente utilizada y puede tener credenciales en circulación. Para el riesgo de toma de cuenta, un alto número de filtraciones al registrarse merece una investigación más profunda. Para el fraude de cuentas sintéticas, a menudo se aplica lo contrario: las direcciones temporales creadas para el fraude tienden a tener un historial de filtraciones nulo.

4. Uso duplicado

Un correo electrónico ya registrado bajo una identidad de usuario diferente es un error o una cuenta múltiple. El correo electrónico duplicado suele ser una señal de revisión en lugar de un rechazo definitivo — las familias a veces comparten una dirección — pero saca a la luz el patrón temprano.

Por qué el correo electrónico es un primer filtro, no un veredicto final

La inteligencia de correo electrónico se ejecuta en menos de 2 segundos, no requiere esfuerzo del usuario y detiene el fraude de bajo esfuerzo antes de que gastes en análisis de documentos o verificaciones de vida. A $0.03 frente a un flujo central de KYC de $0.33, detectar un correo electrónico desechable ahorra $0.30 por intento bloqueado, y mantiene los documentos fraudulentos fuera de tu cola de revisión por completo.

El correo electrónico por sí solo no es una imagen completa: los usuarios legítimos pueden usar Gmail, aparecer en bases de datos antiguas de filtraciones o encontrar un comportamiento MX extraño. Calibra tu gasto posterior; no reemplaza la verificación de documentos y biométrica.

Cómo ayuda Didit

La Verificación de Correo Electrónico de Didit combina la entrega de OTP con una evaluación completa de riesgos por $0.03 por verificación. Didit envía un código de tiempo limitado a la dirección (6 dígitos, configurable de 4 a 8), los códigos caducan en 5 minutos y se permiten hasta 3 intentos de entrada por sesión.

Junto con el OTP, Didit muestra cuatro advertencias de riesgo:

Advertencia	Lo que significa
BREACHED_EMAIL	La dirección aparece en una o más bases de datos conocidas de filtraciones de datos; la respuesta enumera los servicios expuestos.
DISPOSABLE_EMAIL	La dirección pertenece a un proveedor de correo electrónico temporal o desechable conocido.
UNDELIVERABLE_EMAIL	La dirección no puede recibir correo — dominio incorrecto, sin registros MX o dirección de rebote conocida.
INVALID_EMAIL	La dirección está sintácticamente mal formada.
DUPLICATED_EMAIL	La dirección ya ha sido registrada bajo una identidad de usuario diferente en tu espacio de trabajo.

Cada advertencia es configurable independientemente: establece duplicated_email_action, breached_email_action y disposable_email_action en APPROVE, REVIEW o DECLINE en el Constructor de Flujos de Trabajo. Están disponibles tanto un modo basado en sesión (flujo alojado de Didit) como un modo API independiente (POST /v3/email/send/ → POST /v3/email/check/).

Casos de uso

Incorporación de fintech para consumidores — las verificaciones desechables e imposibles de entregar detienen el fraude de cuentas de bajo esfuerzo antes de pagar cualquier verificación de documentos. La exposición a filtraciones marca credenciales recicladas al registrarse.

Verificación de vendedores en mercados — un dominio de correo electrónico recién creado en una cuenta de vendedor es una señal de alerta antes de KYB. La inteligencia de correo electrónico proporciona una señal rápida y barata antes de las verificaciones costosas.

Abuso de referencias y promociones — la detección de correo electrónico desechable es la principal contramedida para la agricultura de referencias: actores malintencionados que utilizan direcciones temporales para recolectar bonificaciones de registro.

Flujos de paso a paso — si el correo electrónico de un usuario cambia a mitad del ciclo de vida, volver a ejecutar la verificación detecta la sustitución por un proveedor desechable, un paso común en la preparación de la toma de cuentas.

Cómo integrarse con Didit

Basado en sesión (flujo alojado)

1. En la Consola de Negocios, agrega la función EMAIL a tu flujo de trabajo y configura las tres acciones de riesgo.
2. Crea una sesión — POST /v3/session/ con workflow_id, vendor_data y callback.
3. Abre session.url para el usuario — la recopilación de correo electrónico, OTP y evaluación de riesgos ocurren en banda.
4. Lee el resultado a través de GET /v3/session/{sessionId}/decision/ o session.status.updated. Los resultados del correo electrónico aparecen en email_verifications[].

API independiente (par OTP de servidor a servidor)

# Paso 1 — enviar el código
curl -X POST 'https://verification.didit.me/v3/email/send/' \
  -H "Authorization: Bearer $DIDIT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{ "email": "alice@example.com", "vendor_data": "user-1234" }'

# Paso 2 — verificar el código (después de que el usuario lo ingrese en tu UI)
curl -X POST 'https://verification.didit.me/v3/email/check/' \
  -H "Authorization: Bearer $DIDIT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{ "email": "alice@example.com", "code": "123456", "disposable_email_action": "DECLINE" }'

La respuesta de verificación siempre incluye los metadatos completos del correo electrónico: breaches[] con servicios expuestos, indicador disposable e indicador deliverable.

Referencia completa: Descripción general de la verificación de correo electrónico, catálogo de advertencias, esquema de informe.

Preguntas frecuentes

¿La verificación de correo electrónico reemplaza la verificación de documentos?

No, es un prefiltro que detiene el fraude de bajo esfuerzo antes de que gastes en verificaciones de documentos y biométricas.

¿Qué se considera un proveedor de correo electrónico desechable?

Didit mantiene una base de datos en vivo de servicios de correo electrónico temporales conocidos, actualizada continuamente. El webmail gratuito genérico (Gmail, Outlook) no se marca como desechable; las señales de reputación separadas cubren esos patrones.

¿Puede una dirección de correo electrónico comprometida seguir siendo legítima?

Sí. La exposición a filtraciones significa que la dirección apareció en una base de datos filtrada, no que el usuario sea un defraudador. La agresividad con la que actúes sobre BREACHED_EMAIL depende de tu tolerancia al riesgo y del número de filtraciones que devuelva la respuesta.

¿Qué pasa si el correo electrónico del usuario no es entregable?

El OTP no se envía y la verificación se detiene ahí. Consulta tu acuerdo de facturación para saber cómo se cuentan las detecciones de no entregables.

¿Cómo funciona la verificación de correo electrónico duplicado?

DUPLICATED_EMAIL se activa cuando la misma dirección está registrada bajo un vendor_data diferente en tu espacio de trabajo. La verificación de un mismo usuario no lo activa.

¿Listo para empezar?

La verificación de correo electrónico es una capa en la superficie de fraude más amplia de Didit; combínala con análisis de IP y dispositivos, verificación de documentos, biometría y detección de AML, todo componible en un solo flujo de trabajo.

• Aprende la función → Documentación de Verificación de Correo Electrónico
• Véalo en la plataforma → Verificación de Usuario
• Consulta el precio → Precios — Verificación de correo electrónico a $0.03, 500 verificaciones gratuitas/mes
• Empieza gratis → business.didit.me