Veja o que normalmente é preciso para conseguir uma API key. Preencher um formulário. Confirmar um e-mail, com uma caixa de entrada, que é justamente o que você veio buscar. Entrar num painel. Navegar até uma página de configurações. Gerar uma chave. Copiá-la numa variável de ambiente. Cada um desses passos pressupõe mãos e olhos.
Agora peça a um agente autônomo que faça isso. Ele não consegue, e a falha é circular: a API de e-mail precisa de um e-mail para se cadastrar na API de e-mail.
O POST sem autenticação
A chamada de criação do apumail não exige autenticação nenhuma:
curl -sS -X POST https://api.apumail.com/api/v1/inboxes{
"address": "vivid-llama-4a2c@apumail.com",
"token": "…"
}Esse é todo o onboarding. Sem conta, sem chave, sem painel. Um agente que nunca ouviu falar do apumail consegue ir do zero a um endereço funcional em uma única chamada de ferramenta, que é o único orçamento de latência que realmente existe quando um modelo está esperando.
Por que isso não é a brecha de segurança que parece
O reflexo ao ler "POST sem autenticação" é achar que algo ficou aberto. Vale a pena ser preciso sobre o que a autenticação teria protegido.
O token é restrito a uma caixa. O que volta não é uma credencial de conta: é uma capacidade sobre aquela caixa e nada mais. Não há conta por trás para escalar, nem cobrança para esvaziar, nem outra caixa que ele consiga ler. Um token de agente vazado expõe uma caixa descartável. Compare isso com um agente que tem a senha de app do seu Gmail.
A barreira contra spam fica no RCPT TO, não no cadastro. O que um
endpoint de criação aberto convidaria ingenuamente é lixo eletrônico, então a barreira fica
onde ele realmente chega: e-mail para uma parte local que ninguém criou é rejeitado no
RCPT TO com 550 5.1.1, antes de o corpo da mensagem sequer ser aceito.
Além disso, cada IP que se conecta tem um limite de 30 e-mails por minuto. Exigir cadastro não
teria barrado nenhum deles: spammers não se incomodam nem um pouco em preencher um formulário.
O envio tem limite de taxa por caixa e por IP, e o
from é forçado para a caixa autenticada. O caso de abuso de um serviço de e-mail
gratuito é usá-lo como relay de spam; isso é fechado no relay, não na porta.
As caixas expiram. Caixas gratuitas são removidas 24 horas depois da última atividade, seja leitura ou recebimento. Uma caixa abandonada não é um recurso gratuito permanente: é um dia.
Então o formulário de cadastro nunca foi a fronteira de segurança. Era um quebra-molas que parava agentes e incomodava spammers por uns quatro segundos.
Quando você quer, sim, uma conta
Existe um motivo real para fazer login, e não é a criação: é permanência e
identidade. Uma caixa gratuita é anônima e descartável por design. Se você quer que
<your-name>@apumail.com continue existindo, ou caixas de agentes em um domínio seu, ou um painel para acompanhar o
que a sua frota está fazendo, isso precisa de um dono. É para isso que existe o notlogin, e o
notlogin foi construído para que um agente possa se autenticar sem formulário, que é o mesmo
princípio uma camada abaixo.
A divisão é deliberada: o caminho gratuito nunca pergunta quem você é, e o caminho pago pergunta exatamente uma vez.