Gmail dot trick: одна почта за разными написаниями

Gmail и Google Workspace игнорируют точки в локальной части адреса. john@gmail.com, j.ohn@gmail.com и j.o.h.n@gmail.com доставляются в один и тот же ящик. Владелец ящика может создать практически неограниченное число адресов, которые выглядят по-разному, не заводя ни одного нового аккаунта.

Почему это используют для злоупотреблений

Поскольку каждый вариант с точками проходит как отдельный адрес, приём — стандартный способ провести одного человека через систему, рассчитанную на одну регистрацию на человека. Один аккаунт Gmail может забрать бесплатный пробный период, реферальный бонус или промокод столько раз, сколько существует способов расставить точки в локальной части, — при этом каждая регистрация выглядит для базы, которая проверяет лишь существование адреса, как отдельный настоящий пользователь.

Как это обнаруживает CleanContact

CleanContact отслеживает канонический ящик за каждым проверяемым адресом Gmail и Googlemail: точки в локальной части убираются, домен приводится к gmail.com. Разные написания одного канонического ящика считаются в рамках вашего ключа API за скользящее временное окно. Как только для одного и того же ящика встретилось два и более разных написания, каждая следующая проверка этого ящика возвращает вместе с обычным вердиктом объект risk.

Пример

Обычный вызов проверки выглядит как всегда:

curl -H "X-API-Key: <ваш-ключ>" \
  "https://api.cleancontact.ru/validate?email=j.o.h.n.doe@gmail.com"

Как только для этого же ящика встретится второе написание с точками, в ответе появится поле risk:

{
  "value": "j.o.h.n.doe@gmail.com",
  "result": {
    "status": "Good",
    "detail": "Mailbox accepts mail"
  },
  "risk": {
    "gmailDotTrick": true,
    "aliasOf": "johndoe@gmail.com",
    "seenVariants": 3
  }
}

Что это даёт

• Ловите мультиаккаунтинг на входе — помечайте или блокируйте регистрацию, которая повторно использует ящик, уже встреченный под другим написанием с точками, до того как пробный период или промокод заберут дважды.
• Вердикт остаётся честным — Good, Bad или Unknown никогда не меняются из-за сигнала risk. Ящик в любом случае реально принимает почту — risk лишь сообщает, что это не уникальный человек.
• Видна вся картина, а не одно совпадение — seenVariants показывает, сколько разных написаний уже встретилось, поэтому с ящиком с двумя вариантами и с ящиком с двенадцатью можно поступать по-разному.

Сигналу нужно как минимум два разных написания одного ящика, прежде чем он сработает — единичная проверка любого адреса, как бы он ни был написан через точки, поля risk не вернёт. Отслеживание привязано к вашему собственному ключу API, поэтому отражает только трафик вашей собственной формы регистрации, и включать здесь ничего не нужно.