Cómo funciona
Elige cualquier parte local en grabmail.io, mixozia.com o linqmail.com: el buzón ya existe, sin paso de creación y sin reservar nada de antemano. Lo que llega queda expuesto de dos formas a la vez: una página de bandeja de entrada y una API REST de tres rutas. GET /api/v1/mailbox lista lo que espera, GET /api/v1/message/{id} devuelve las cabeceras, ambas partes del cuerpo y los adjuntos, DELETE en la misma ruta borra uno antes de tiempo, y cada mensaje lleva un expires_at a cinco días. El contrato se publica como OpenAPI 3.1, y las mismas operaciones se sirven por Model Context Protocol en /mcp, donde wait_for_message bloquea hasta que llega el correo en lugar de obligar a un agente a sondear en bucle. Un dominio propio se incorpora apuntando su MX a smtp.grabmail.io, y es el primer mensaje recibido el que lo conecta. El correo solo se acepta, nunca se envía: no existe ninguna ruta de envío, y eso es lo que impide que un servicio sin clave acabe siendo un relé.
KYC y privacidad
Nada identifica al usuario porque nada se recoge. Sin cuenta, sin dirección de correo, sin contraseña, sin cookie y sin analítica — la política de privacidad enumera las ausencias en vez de prometer contención, y ninguna página carga un recurso de terceros que la desmienta. Existen registros de conexión ordinarios, descritos como efímeros y rotados, y no se cruzan con el contenido de los mensajes. Lo que falta es cualquier forma de autenticación: en un dominio compartido la dirección es el único secreto, y quien la adivina lee el buzón por esa misma API pública. GrabMail lo dice en la portada, en el buzón, en las preguntas frecuentes y en la política, algo más franco que la norma de la categoría. La respuesta parcial es el alias: una segunda dirección por buzón que entrega en él pero devuelve una bandeja vacía al leerla, de modo que el servicio en el que te registraste no puede recorrer todo lo demás que llegó allí.
Fortalezas y límites
La ingeniería es disciplinada para una herramienta regalada. Los techos se publican en vez de descubrirse — 5 MB por adjunto, una lectura por segundo y dirección, 1200 peticiones por minuto y cliente, 429 con Retry-After más allá — y el limitador los aplica desde la primera ráfaga. El correo entrante pasa por un MTA clásico con cola y STARTTLS: una caída de la capa de almacenamiento retiene los mensajes en lugar de rebotarlos, y un mensaje entregado aparece en la API en segundos. Los límites, en cambio, son estructurales. El operador es anónimo: sin empresa, sin jurisdicción, sin dirección de contacto, con las notificaciones formales enrutadas por el registrador. El registro .io fecha la creación del dominio el 4 de agosto de 2026, así que no hay historial que pesar, y el propio panel de estado marca la API, la entrega de correo y la retención como aún sin medir — tres de sus cuatro componentes sin supervisión, dicho de frente en vez de tapado. La documentación de los dominios propios también se contradice: la página de configuración los describe gratuitos, sin clave y legibles por cualquiera, mientras que los términos los facturan por dominio y la política de privacidad registra una clave y un apunte de facturación.
Veredicto
Para recoger un código de verificación en una batería de pruebas, un trabajo de CI o la ejecución de un agente, GrabMail está bien hecho y es honesto como pocos sobre lo que se niega a ser. Para cualquier cosa que no quieras que lea un desconocido queda descartado por diseño, y un servicio registrado en agosto de 2026 no ha tenido tiempo de ganarse una confianza ni de romperla. Nota: C (6,9/10). Confianza: TRUSTED.
Para recoger un código de verificación en una batería de pruebas, un trabajo de CI o la ejecución de un agente, GrabMail está bien hecho y es honesto como pocos sobre lo que se niega a ser. Para cualquier cosa que no quieras que lea un desconocido queda descartado por diseño, y un servicio registrado en agosto de 2026 no ha tenido tiempo de ganarse una confianza ni de romperla. Nota: C (6,9/10). Confianza: TRUSTED.
