如何防范垃圾邮件发送者通过API用虚假邮箱滥用注册服务

注册链路前置校验（从源头拦截无效请求，根本不会触发发信动作） #

• 移动端内置不可篡改的设备指纹：结合设备硬件参数（IMEI/Android ID/IDFA）、系统特征、传感器校准数据等生成唯一设备标识，加密后传输到后端，同一个设备12小时内最多允许发起3次注册请求，超量直接拦截。
• 手机号前置核验：注册流程第一步要求用户完成短信验证码校验，验证通过后才允许进入后续提交邮箱的环节，攻击者很难批量获取大量真实可用的手机号，攻击成本会指数级上升。
• 邮箱有效性预校验：拿到提交的邮箱后先做格式校验，再通过SMTP VRFY指令做轻量有效性探测，不用发信就能识别不存在的随机邮箱，直接过滤，同时内置临时邮箱域名黑名单，只要是临时邮箱直接拦截。

API层多层限流策略（远比重叠IP限流难绕过） #

• 多维度组合限流：不要单独依赖IP限流（攻击者可通过代理池换IP绕过），将「设备指纹+IP段+邮箱特征」三个维度组合做规则，比如同一个/24 IP段1小时内注册请求超过50次直接拦截，设备指纹维度的规则优先级高于IP规则。
• 风险分级拦截：给所有请求自动打风险分，请求来自越狱/ROOT设备、IP属于已知恶意代理池、输入的邮箱符合批量生成的特征，直接打高风险分拒绝请求。
• 异常行为识别：正常用户完成注册信息输入最少需要5秒以上，同一个请求1秒内连续提交多个不同邮箱、两次注册请求间隔小于3秒，直接判定为脚本请求，对应设备指纹、IP加入24小时临时黑名单。

发信侧兜底防护（避免漏网请求影响域名信誉） #

• 独立发信域名：不要用主业务域名发送验证类邮件，单独申请二级域名作为注册邮件专用发信域名，就算域名信誉受损也不会影响主业务的邮件发送能力。
• 退信/投诉实时处理：对接SMTP服务商的回调接口，只要出现一次退信或用户投诉，立刻将对应邮箱加入永久黑名单，后续不再发送任何邮件；如果10分钟内退信率超过0.1%，自动触发告警，暂时暂停注册邮件发送，人工排查后再恢复。
• 发信总量限流：给注册类邮件设置全局发送上限，比如每分钟最多发送100封注册验证邮件，超过上限的请求直接返回「当前注册人数过多，请稍后再试」，避免短时间大量发信触发SMTP服务商的风控规则。

内容的提问来源于stack exchange，提问作者Jake Thomson