Mira lo que suele costar obtener una API key. Llenar un formulario. Confirmar un email, con una bandeja, que es justamente lo que viniste a buscar. Entrar a un panel. Navegar hasta una página de configuración. Generar una clave. Copiarla en una variable de entorno. Cada uno de esos pasos supone manos y ojos.
Ahora pídele a un agente autónomo que lo haga. No puede, y la falla es circular: la API de email necesita un email para registrarse en la API de email.
El POST sin autenticación
La llamada de creación de apumail no requiere ninguna autenticación:
curl -sS -X POST https://api.apumail.com/api/v1/inboxes{
"address": "vivid-llama-4a2c@apumail.com",
"token": "…"
}Ese es todo el onboarding. Sin cuenta, sin clave, sin panel. Un agente que nunca oyó hablar de apumail puede pasar de cero a una dirección funcional en una sola llamada a una herramienta, que es el único presupuesto de latencia que realmente existe cuando un modelo está esperando.
Por qué esto no es el agujero de seguridad que parece
El reflejo al leer "POST sin autenticación" es pensar que algo quedó abierto. Vale la pena ser precisos sobre qué habría protegido la autenticación.
El token está acotado a una bandeja. Lo que vuelve no es una credencial de cuenta: es una capacidad sobre esa bandeja y nada más. No hay una cuenta detrás hacia la cual escalar, ni facturación que vaciar, ni otra bandeja que pueda leer. Un token de agente filtrado expone una bandeja desechable. Compáralo con un agente que tiene la contraseña de aplicación de tu Gmail.
La barrera contra spam está en RCPT TO, no en el registro. Lo que un
endpoint de creación abierto invitaría ingenuamente es correo basura, así que la barrera está
donde realmente llega: el correo a una parte local que nadie creó se rechaza en
RCPT TO con 550 5.1.1, antes de aceptar siquiera el cuerpo del mensaje.
Además, cada IP que se conecta tiene un tope de 30 correos por minuto. Exigir un registro no
habría detenido ni uno solo: a los spammers no les molesta llenar un formulario.
El envío tiene límite de tasa por bandeja y por IP, y el
from se fuerza a la bandeja autenticada. El caso de abuso de un servicio de correo
gratis es usarlo como relay de spam; eso se cierra en el relay, no en la puerta.
Las bandejas expiran. Las bandejas gratis se eliminan 24 horas después de la última actividad, sea lectura o recepción. Una bandeja abandonada no es un recurso gratis permanente: es un día.
Así que el formulario de registro nunca fue la frontera de seguridad. Era un reductor de velocidad que frenaba a los agentes y molestaba a los spammers durante unos cuatro segundos.
Cuándo sí quieres una cuenta
Hay una razón real para iniciar sesión, y no es la creación: es la permanencia y la
identidad. Una bandeja gratis es anónima y desechable por diseño. Si quieres que
<your-name>@apumail.com siga existiendo, o bandejas de agentes en un dominio tuyo, o un panel para ver qué está
haciendo tu flota, eso necesita un dueño. Para eso está notlogin, y
notlogin está construido a su vez para que un agente pueda autenticarse sin un formulario, que es
el mismo principio una capa más abajo.
La división es deliberada: el camino gratis nunca pregunta quién eres, y el camino pago lo pregunta exactamente una vez.