GrabMail publie la phrase que ses concurrents enterrent : qui devine l'adresse peut lire le courrier.

Fonctionnement

Choisissez n'importe quelle partie locale sur grabmail.io, mixozia.com ou linqmail.com : la boîte existe déjà, sans étape de création et sans rien réserver à l'avance. Ce qui arrive est exposé de deux manières à la fois : une page de boîte de réception, et une API REST de trois routes. GET /api/v1/mailbox liste ce qui attend, GET /api/v1/message/{id} renvoie les en-têtes, les deux parties du corps et les pièces jointes, DELETE sur la même route en supprime une plus tôt, et chaque message porte un expires_at à cinq jours. Le contrat est publié en OpenAPI 3.1, et les mêmes opérations sont servies en Model Context Protocol sur /mcp, où wait_for_message bloque jusqu'à l'arrivée du courrier au lieu de faire boucler un agent. Un domaine que vous possédez rejoint le service en pointant son MX vers smtp.grabmail.io, et c'est le premier message reçu qui le raccorde. Le courrier n'est jamais qu'accepté, jamais émis : il n'existe aucune route d'envoi, et c'est ce qui empêche un service sans clé de devenir un relais.

KYC et confidentialité

Rien n'identifie l'utilisateur parce que rien n'est collecté. Pas de compte, pas d'adresse e-mail, pas de mot de passe, pas de cookie et pas d'analytique — la politique de confidentialité énumère les absences au lieu de promettre de la retenue, et aucune page ne charge de ressource tierce qui la contredirait. Des journaux de connexion ordinaires existent, décrits comme éphémères et tournants, et ne sont pas recoupés avec le contenu des messages. Ce qui manque, c'est toute forme d'authentification : sur un domaine partagé, l'adresse est le seul secret, et quiconque la devine lit la boîte via la même API publique. GrabMail le dit sur la page d'accueil, dans la boîte, dans la FAQ et dans la politique, ce qui est plus franc que la norme de la catégorie. La réponse partielle est l'alias — une seconde adresse par boîte, qui y délivre le courrier mais renvoie une boîte vide quand on la lit, de sorte qu'un service auprès duquel vous vous êtes inscrit ne peut pas remonter tout le reste de ce qui est arrivé là.

Forces et limites

L'ingénierie est disciplinée pour un outil offert. Les plafonds sont publiés plutôt que découverts — 5 Mo par pièce jointe, une lecture par seconde et par adresse, 1200 requêtes par minute et par client, 429 avec Retry-After au-delà — et le limiteur les applique dès la première rafale. Le courrier entrant passe par un MTA classique à file d'attente avec STARTTLS : une panne de la couche de stockage retient les messages au lieu de les rejeter, et un message remis apparaît dans l'API en quelques secondes. Les limites, elles, sont structurelles. L'opérateur est anonyme : pas de société, pas de juridiction, pas d'adresse de contact, les notifications formelles passant par le bureau d'enregistrement. Le registre .io date la création du domaine au 4 août 2026 : il n'y a donc aucun historique à peser, et le tableau d'état du service lui-même marque l'API, la remise du courrier et la rétention comme pas encore mesurées — trois de ses quatre composants non surveillés, dit franchement plutôt que dissimulé. La documentation des domaines personnalisés se contredit également : la page d'installation les décrit comme gratuits, sans clé et lisibles par tous, tandis que les conditions les facturent au domaine et que la politique de confidentialité enregistre une clé et une trace de facturation.

Verdict

Pour récupérer un code de vérification dans une suite de tests, un job CI ou l'exécution d'un agent, GrabMail est bien fait et d'une honnêteté rare sur ce qu'il refuse d'être. Pour tout ce que vous n'aimeriez pas voir lu par un inconnu, il est disqualifié par construction, et un service enregistré en août 2026 n'a pas eu le temps de gagner une confiance ni de la trahir. Note : C (6,9/10). Confiance : TRUSTED.