GrabMail 6.9 / 10

GrabMail est un service d'e-mail jetable qui distribue des adresses éphémères sur des domaines partagés et laisse lire ce qui y arrive depuis un navigateur, une API REST ou un serveur Model Context Protocol. Le registre .io date le domaine du 4 août 2026, ce qui en fait l'une des entrées les plus récentes de cet annuaire. Rien n'est créé à l'avance, rien n'est payé, et chaque message est supprimé cinq jours après son arrivée.

Fonctionnement

Choisissez n'importe quel nom sur grabmail.io, mixozia.com ou linqmail.com : la boîte existe dès qu'un courrier l'atteint. Cette boîte est exposée par trois routes d'API : GET /api/v1/mailbox liste ce qui attend, GET /api/v1/message/{id} renvoie les en-têtes, les deux parties du corps et les pièces jointes, et DELETE sur la même route en supprime une plus tôt. Chaque message porte un expires_at à cinq jours, et tout le contrat est publié sous forme de document OpenAPI 3.1. Un serveur MCP sur /mcp expose les mêmes opérations aux agents IA, dont un appel wait_for_message qui bloque jusqu'à l'arrivée du courrier au lieu de boucler. Un domaine que vous possédez rejoint le service en pointant son MX vers smtp.grabmail.io ; c'est le premier message reçu qui le raccorde. Le service ne fait que recevoir — il n'existe aucune route d'envoi, et c'est ce qui empêche un service sans authentification de servir de relais.

KYC et vie privée

Il n'y a pas d'inscription, donc rien à demander : pas d'e-mail, pas de mot de passe, pas de téléphone, pas de paiement, pas de cookie. La politique de confidentialité énumère ce qui n'est jamais collecté au lieu de promettre de la retenue, et aucune page du site ne charge de script tiers ni de balise analytique. Des journaux de connexion ordinaires existent, décrits comme éphémères et tournants, et ne sont pas recoupés avec le contenu des messages. La contrepartie est écrite partout sur le site et mérite d'être répétée : sur un domaine partagé, l'adresse est le seul secret. Quiconque la connaît ou la devine lit cette boîte via la même API publique. L'atténuation partielle est l'alias — une seconde adresse par boîte, qui y délivre le courrier mais renvoie une boîte vide quand on la lit, de sorte qu'un service auquel vous avez donné l'alias ne peut pas revenir lire le reste de la boîte.

Points forts et limites

Chaque plafond est publié plutôt que découvert : 5 Mo par pièce jointe, une lecture par seconde et par adresse, 1200 requêtes par minute et par client, et un 429 avec Retry-After au-delà. Le courrier entrant tourne sur un MTA classique à file d'attente avec STARTTLS : une panne de la couche de stockage retient les messages au lieu de les rejeter, et un message remis apparaît dans l'API en quelques secondes. Les limites sont structurelles. L'opérateur est anonyme — pas de société, pas de juridiction, pas d'adresse de contact, les notifications formelles passant par le bureau d'enregistrement du domaine — et le code est fermé, sans audit publié. Le tableau d'état du service marque actuellement l'API, la remise du courrier et la rétention comme pas encore mesurées, ce qui est franc mais laisse trois composants sur quatre invérifiables de l'extérieur. La documentation des domaines personnalisés se contredit également : la page d'installation les décrit gratuits, sans clé et lisibles par tous, tandis que les conditions les facturent au domaine et que la politique de confidentialité enregistre une clé et une écriture de facturation.

Verdict

GrabMail obtient 6,9 / 10 au niveau KYC anonymous (L1). Comme tuyauterie pour récupérer un code de vérification — une suite de tests, un job CI, un agent qui remplit un formulaire d'inscription — c'est bien fait et rapide, et le service est d'une honnêteté rare sur la propriété qui le disqualifie pour tout le reste : une boîte publique n'a pas de serrure. Qui cherche de la confidentialité plutôt que du jetable devrait y pointer son propre domaine tout en considérant la boîte comme lisible par des inconnus, ou choisir plutôt un relais d'alias avec une vraie authentification.