GrabMail 6.9 / 10

GrabMail es un servicio de correo desechable que reparte direcciones efímeras en dominios compartidos y deja leer lo que llega a ellas desde un navegador, una API REST o un servidor Model Context Protocol. El registro .io fecha el dominio el 4 de agosto de 2026, lo que lo convierte en una de las entradas más recientes de este directorio. Nada se crea de antemano, nada se paga y cada mensaje se borra cinco días después de llegar.

Cómo funciona

Elige cualquier nombre en grabmail.io, mixozia.com o linqmail.com: el buzón existe en cuanto un correo lo alcanza. Ese buzón se expone por tres rutas de API: GET /api/v1/mailbox lista lo que espera, GET /api/v1/message/{id} devuelve las cabeceras, ambas partes del cuerpo y los adjuntos, y DELETE en la misma ruta borra uno antes de tiempo. Cada mensaje lleva un expires_at a cinco días y todo el contrato se publica como documento OpenAPI 3.1. Un servidor MCP en /mcp expone las mismas operaciones a los agentes de IA, incluida una llamada wait_for_message que bloquea hasta que llega el correo en vez de sondear en bucle. Un dominio propio se incorpora apuntando su MX a smtp.grabmail.io; es el primer mensaje recibido el que lo conecta. El servicio solo recibe: no existe ninguna ruta de envío, y eso es lo que impide que un servicio sin autenticación acabe usado como relé.

KYC y privacidad

No hay registro, así que no hay nada que pedir: sin correo, sin contraseña, sin teléfono, sin pago y sin cookie. La política de privacidad enumera lo que nunca se recoge en vez de prometer contención, y ninguna página del sitio carga un script de terceros ni una etiqueta de analítica. Existen registros de conexión ordinarios, descritos como efímeros y rotados, que no se cruzan con el contenido de los mensajes. La contrapartida está escrita por todo el sitio y conviene repetirla: en un dominio compartido la dirección es el único secreto. Quien la conozca o la adivine lee ese buzón por la misma API pública. La mitigación parcial es el alias: una segunda dirección por buzón que entrega el correo en él pero devuelve una bandeja vacía al leerla, de modo que el servicio al que diste el alias no puede volver y leer el resto del buzón.

Fortalezas y límites

Todos los techos se publican en vez de descubrirse: 5 MB por adjunto, una lectura por segundo y dirección, 1200 peticiones por minuto y cliente, y un 429 con Retry-After por encima. El correo entrante corre sobre un MTA convencional con cola y STARTTLS: una caída de la capa de almacenamiento retiene los mensajes en vez de rebotarlos, y un mensaje entregado aparece en la API en segundos. Los límites son estructurales. El operador es anónimo — sin empresa, sin jurisdicción, sin dirección de contacto, con las notificaciones formales enrutadas por el registrador del dominio — y el código es cerrado, sin auditoría publicada. El propio panel de estado del servicio marca ahora mismo la API, la entrega de correo y la retención como aún sin medición, algo franco pero que deja tres de cuatro componentes sin verificar desde fuera. La documentación de los dominios propios también se contradice: la página de configuración los describe gratuitos, sin clave y legibles por cualquiera, mientras que los términos los facturan por dominio y la política de privacidad registra una clave y un apunte de facturación.

Veredicto

GrabMail obtiene 6,9 / 10 en el nivel KYC anonymous (L1). Como fontanería para recoger un código de verificación — una batería de pruebas, un trabajo de CI, un agente rellenando un formulario de registro — está bien hecho y es rápido, y es honesto como pocos sobre la propiedad que lo descarta para todo lo demás: un buzón público no tiene cerradura. Quien necesite privacidad y no desechabilidad debería apuntar su propio dominio aquí y aun así tratar la bandeja como legible por desconocidos, o elegir un relé de alias con autenticación real.