使い捨て受信トレイ

呼び出し側は、このインストールが所有するドメイン上のアドレスを要求し、数分間見張り、届いたものを読み、そのまま捨てます。確認コードのため、「このフォームは実際に何を送っているのか」という疑問のため、そして 5 年後も使っているアドレスに結び付けたくないサインアップのためにあります。

• —受信専用です。送信はありません。受信トレイには送信元にできる識別子がなく、ここにある 9 つの呼び出しのどれもメッセージをワイヤーに乗せません。
• —リース期間の既定は 60 分で、1 時間ずつ最大 24 時間まで延長できます。
• —メッセージは 50 通まで保持し、到着時にカウントされます。満杯の受信トレイに届いたメールはキューに入らず破棄され、1 通削除しても次の 1 通分の空きは生まれません。
• —リースの終了時にメールは削除されます。隠されるのでもアーカイブされるのでもありません。行はその後 1 週間残ります。遅い送信者がまだ再試行している間に、同じアドレスが再発行されないようにするためです。
• —いずれもメールボックスには触れません。使い捨てのメッセージは専用のテーブルに存在し、このパス上のどのクエリも実際のメールボックスには到達できません。

使い捨てアドレスは、発行された瞬間にサインアップフォームへ入力されます。そこから To: ヘッダーに乗り、送信側のログを通り、その先にある CRM へと流れていきます。もしアドレスを知っているだけでメールを読めるなら、このツールは発行したすべての受信トレイを、設計上、しかもまさに呼び出し側が距離を置こうとしていた相手に対して漏らすことになります。

そこで、受信トレイの作成は 2 つ目の値を返します。token で、32 バイトのランダム値を oe_inbox_ と 43 文字の base64url で表したものです。このトークンはそのレスポンスにだけ現れ、ほかのどこにも現れません。行には鍵付きハッシュだけが保存されるので、サポートへの問い合わせでもデータベースのダンプでも復元できません。トークンを失うことは受信トレイを失うことであり、他人のメールを読む資格情報としては、それが正しい結末です。

# 1. Mint one. This is the only response that carries a token.curl -s -X POST "$OE/temp-mail/inboxes" -H "Content-Type: application/json" -d '{}' # 2. Keep it, and read with it.export INBOX="Authorization: Bearer oe_inbox_kQ8v…"curl -s "$OE/temp-mail/inboxes/tinb_9c2f…/messages" -H "$INBOX"

このジャンルの名前にある 10 分ではなく、1 時間です。10 分は確認コードには足りますが、これらが使われるもう半分の用途には足りません。翌朝もう一度メールを送ってくる試用登録や、最初の試行がタイムアウトして二度記入したフォームです。作成時の ttlMinutes で 1 から 1440 の範囲の別の値を要求できます。その範囲外の値は、黙って調整されるのではなく 422 で拒否されます。要求していない有効期限は、すでに前提にしてしまっている有効期限だからです。

POST /temp-mail/inboxes/{id}/extend は、現在時刻にではなく有効期限に 1 時間を足すので、早めに延長しても残り時間を無駄にしません。延長は 23 回まで可能ですが、受信トレイの作成時点から 24 時間という制限のほうが厳しく効きます。すでにそこまで伸びているリースには、延長回数がいくら残っていても買える時間がありません。すべての受信トレイのレスポンスに含まれる extensionsLeft は両方を数えるので、クライアントはボタンをグレーアウトできます。0 のとき、この呼び出しは 409 extension_limit を返します。

これらはいずれもレートリミッターではなく、行を数えるものです。このコードベースに持ち出せるリミッターはなく、ありもしない防御をほのめかすより、そう言うほうが役に立ちます。上限は、被害が出る場所、つまり発行と保存に置かれています。

試して初めて分かるより、あらかじめ伝えるほうがましです。

• —送信はいかなる形でもできません。使い捨ての受信トレイには送信元にできる接続がなく、それを足せば、匿名で認証のないエンドポイントがオープンリレーになってしまいます。
• —名前の変更はできません。アドレスを変えるとは、2 つ目の受信トレイを作ることです。その場で名前を変えると、クリックした瞬間に古いローカルパートが解放され、すでに送信中の確認メールが、次にそれを発行された誰かに届いてしまいます。
• —ルール、フィルター、転送、webhook、AI はありません。spam はメッセージ上のフラグに過ぎず、それに基づいて何かが行われることはありません。どこにも振り分けられず、要約も埋め込みも行われません。
• —バウンスはありません。プールされたドメイン宛てで、生きている使い捨て受信トレイにも運用者が作成したアドレスにも当たらないメールは、意図的に黙って破棄されます。公開のアドレス生成器は辞書攻撃を呼び込みますし、攻撃が名乗る return path に配信レポートを書けば、このインストールがバックスキャッターの発生源になってしまいます。
• —ドメインが設定されていなければサービスもありません。TEMP_MAIL_DOMAINS が空のとき、GET /temp-mail/domains は空のリストを返し、受信トレイの作成は 503 temp_mail_unavailable を返します。プールされたドメインへの受信配信は、稼働中のドメインで端から端まで確認されたことがありません。

一覧は設定です。TEMP_MAIL_DOMAINS に書かれたものがそのまま配られます。DNS は自動化されていないので、この 5 ステップのうち 4 つはレジストラでの人手の作業です。

1. 1そのためのドメインを取得します。見知らぬ人に配ってもよいと思えるドメインを使ってください。そのドメイン上のすべてのアドレスが評判を共有します。ピッカーが新しい受信トレイを最初のドメインから埋めるのではなくプール全体にランダムに散らすのも、そのためです。
2. 2アプリの 設定 → ドメイン から追加します。これで送信の識別子が作成され、公開すべき DNS レコードが表示されます。
3. 3MX、SPF、DKIM、_openemail-challenge の TXT レコードをレジストラで公開します。検証はライブの DNS を読み、cron で再確認されます。提供されるのは検証済みのドメインだけです。
4. 4検証済みのドメインを、サーバーの TEMP_MAIL_DOMAINS にカンマ区切りで追加します。そこに載るまでは、ワークスペース上の普通のドメインのままです。
5. 5catch-all は有効なままにしてください。それがあるからこそ、作成しなくても使い捨てアドレスが存在できます。任意のローカルパート宛てのメールが受け付けられ、通常の宛先検索より前に読み戻されるので、プールされたドメインではアドレスの行が一切書かれません。catch-all を有効にしたままだと、使い捨てのメールが実際のメールボックスに振り分けられ始めます。