Registro y verificación

Cuando alguien escribe un correo en el formulario, nada prueba que sea suyo. Si la cuenta se activa de inmediato, cualquiera puede registrarse con el buzón de otra persona: esa persona recibirá avisos de pedidos que no hizo, y la tienda tendrá un contacto que no controla quien figura como dueño.

Por eso la cuenta nace pendiente: la tienda envía un enlace al buzón y la cuenta pasa a activa solo cuando alguien lo abre. El enlace tiene que ser de un solo uso, imposible de adivinar y con vencimiento corto. Es una prueba de control del buzón, no de identidad de la persona: no dice quién es, solo que alguien con acceso al correo estuvo ahí.

Las reglas de Almendro son claras (G1): sin correo verificado la cuenta no pasa a activa. En altas.csv cada alta trae si su correo se verificó y en qué estado quedó. Una cuenta activa sin verificar suele nacer de un atajo en el código, de una importación o de una promoción que activó cuentas «para no perder la venta». Es un fallo de proceso, no del cliente.

El alta masiva automatizada se ve como volumen desde pocas direcciones de red. Por eso las tiendas ponen un límite por dirección y por ventana de tiempo. Un límite no sirve si no se lee con exactitud: la regla G3 admite hasta 5 altas por hora, y 5 es normal.

Agrupa las altas de altas.csv por dirección de origen dentro de la ventana de las 10:00 a las 10:59. Una dirección tiene justo las altas que el límite permite; otra lo rebasa. Cuenta las de esta última.

Si el formulario responde «ese correo ya tiene una cuenta», cualquiera puede probar listas de correos y averiguar cuáles son clientes de la tienda. Esa lista sirve para campañas de engaño dirigidas y para elegir víctimas de relleno de credenciales. La regla G4 pide una respuesta idéntica en ambos casos, y la información real llega solo al buzón: si es nuevo, el enlace de confirmación; si ya existe, un aviso de que ya tiene cuenta y cómo entrar.

Esa defensa tiene un costo en experiencia (la persona espera un correo para saber qué pasó) y por eso conviene decidirla a conciencia. Lee mensajes-del-formulario.txt y compara el mensaje de cada canal en los dos casos.

La regla G2 da 24 horas a un enlace de verificación. Un enlace que sigue valiendo días queda en buzones compartidos, en copias de seguridad de correo o en un teléfono prestado, y quien lo abra después activa la cuenta. En enlaces-de-verificacion.csv hay la hora de emisión y la de uso de seis enlaces. Calcula cuánto pasó entre una y otra y mira cuál rebasa el plazo; uno queda muy cerca pero dentro, y no cuenta.