API de prueba de spam: email,
bandeja de entrada y dominio

Inicio rápido

Tres llamadas. Sin clave, sin cuenta, sin registro. Dos solicitudes y un correo electrónico. La tercera llamada solo es necesaria porque el análisis tarda unos segundos.

1. Reserva una dirección

   Haz un POST al endpoint de la bandeja de entrada. Recibirás una dirección que acepta exactamente un mensaje y caduca en una hora, además del slug con el que se identifica todo lo demás.

   Solicitud

   # 1. reserve a single-use address
   curl -sX POST 'https://email-spam-tester.com/api/v1/inbox?lang=en'

   Respuesta

   {
     "address": "test-<slug>@t.email-spam-tester.com",
     "slug": "<slug>",
     "expires_at": "2026-01-01T12:00:00Z"
   }

2. Envíale el mensaje real

   Mediante SMTP, desde la plataforma que enviará la campaña. La mitad de las comprobaciones leen las cabeceras que añade tu plataforma de envío, por lo que un mensaje redactado a mano mide algo distinto.

   Solicitud

   # 2. send your message to that address, from your own platform
   To: test-<slug>@t.email-spam-tester.com

3. Consulta el estado y después el informe

   El endpoint de estado ocupa unos cientos de bytes y te indica si ya merece la pena obtener el informe completo. El informe en sí tiene varios miles de líneas.

   Solicitud

   # 3. poll
   curl -s 'https://email-spam-tester.com/api/v1/tests/<slug>/status'

   Respuesta

   {
     "slug": "<slug>",
     "analysis_status": "checks_ready",
     "ai_status": "running",
     "checks_done": 42,
     "checks_total": 42
   }

   Solicitud

   # 4. read the report once analysis_status is checks_ready
   curl -s 'https://email-spam-tester.com/api/v1/tests/<slug>'

   Respuesta

   {
     "report_url": "https://email-spam-tester.com/t/<slug>",
     "score_ours": 86.4,
     "score_compat": 9.2,
     "subscores": {"auth": 100.0, "infra_spam": 78.1, "content": 92.0, "compliance": 75.0},
     "complete": true,
     "checks": [
       {
         "id": "auth.dmarc",
         "status": "warn",
         "title": "DMARC result",
         "summary": "DMARC passes, but the policy is p=none.",
         "weight_ours": -4.0,
         "evidence": {"policy": "none", "aligned": "dkim"},
         "citations": {"standards": [{"title": "RFC 9989 §4.7", "quote": "..."}]}
       }
     ],
     "fixes": [
       {"id": "dmarc-enforce", "gain_ours": 4.0, "gain_compat": 0.0,
        "fix": {"title": "Move DMARC to quarantine", "severity": "medium"}}
     ]
   }

Reserva una dirección, envía el mensaje que estabas a punto de enviar a tu lista y consulta el informe. Todo lo que muestra la página está en el JSON, incluida la puntuación, las 42 comprobaciones con sus evidencias y la sección del estándar en la que se basa cada resultado.

Los primeros 100.000 informes son gratuitos, sin clave y sin cuenta. Si estás configurando un agente en lugar de un script, el servidor MCP es más adecuado que el sondeo.

Endpoints

Dirección base https://email-spam-tester.com. Todo responde en JSON.

Inicio rápido

1. Crea una prueba

   Haz una solicitud POST al endpoint de colocación. Recibirás un marcador y las bandejas de entrada de prueba.

   Solicitud

   # 1. create a test
   curl -sX POST 'https://email-spam-tester.com/api/v1/placement' \
     -H 'Content-Type: application/json' \
     -d '{"public_results_accepted":true}'

   Respuesta

   {
     "slug": "<slug>",
     "marker": "est-3f9a1c7e2b4d6a80c5e1f2d3",
     "status": "waiting",
     "deadline": "2026-10-31T12:30:00Z",
     "poll_after_seconds": 60,
     "results": [
       {"address": "<seed>", "provider": "gmail", "kind": "Gmail",
        "placement": "pending", "observed_at": null}
     ],
     "fleet": {
       "status": "observing",
       "results": [
         {"address": "<mailbox>", "provider": "yahoo", "available": true,
          "placement": "pending", "coverage": "pending"}
       ]
     }
   }

2. Envía un mensaje a cada bandeja de entrada

   Pon el marcador en el asunto y envía el mensaje desde tu plataforma habitual a todas las direcciones de una vez.

   Solicitud

   # 2. one message to every address, with the marker in the subject
   Subject: October invoice est-3f9a1c7e2b4d6a80c5e1f2d3
   To: <seed>, <mailbox>, ...

3. Consulta las carpetas

   Cada dirección se completa con su proveedor y carpeta. Consulta hasta que el estado deje de ser waiting.

   Solicitud

   # 3. poll for the folders
   curl -s 'https://email-spam-tester.com/api/v1/placement/<slug>'

   Respuesta

   {
     "status": "complete",
     "received": 2,
     "total": 2,
     "results": [
       {"address": "<seed>", "provider": "gmail", "kind": "Gmail",
        "placement": "primary", "observed_at": "2026-10-31T12:04:11Z"},
       {"address": "<seed>", "provider": "gmail", "kind": "Google Workspace",
        "placement": "promotions", "observed_at": "2026-10-31T12:04:11Z"}
     ],
     "fleet": {
       "status": "finished",
       "results": [
         {"address": "<mailbox>", "provider": "yahoo", "available": true,
          "placement": "inbox", "coverage": "ok"},
         {"address": "<mailbox>", "provider": "outlook", "available": true,
          "placement": "spam", "coverage": "ok"}
       ]
     }
   }

Endpoints

Inicio rápido

1. Haz una solicitud GET

   Pasa el dominio. ip añade tus direcciones de envío y selector indica los selectores DKIM que se deben leer.

   Solicitud

   curl -s 'https://email-spam-tester.com/api/v1/infra/check?domain=example.com&selector=mail&diff=true'

2. Lee el veredicto

   ok es la respuesta para un script y sections muestra qué parte ha fallado.

   Respuesta

   {
     "id": "ir_01JB8Y4T2M6K9QZ7H3V5N1XWDA",
     "domain": "example.com",
     "checked_at": "2026-10-31T12:00:00Z",
     "ok": false,
     "status": "fail",
     "score": 78,
     "coverage": {"answered": 7, "total": 8},
     "ips": [{"ip": "203.0.113.5", "sources": ["mx", "spf"], "managed": false}],
     "sections": {
       "dkim": {"status": "pass", "core": true, "findings": [], "data": {}},
       "ptr": {"status": "fail", "core": true, "findings": [], "data": {}}
     },
     "not_checked": [
       {"check": "dkim_signature", "reason": "needs_a_message"},
       {"check": "alignment", "reason": "needs_a_message"}
     ],
     "diff": {
       "baseline": {"id": "ir_01JB2...", "checked_at": "2026-10-24T12:00:00Z"},
       "first_run": false,
       "changed": true,
       "worsened": true,
       "status_from": "pass",
       "score_from": 100,
       "changes": [
         {"path": "dkim.key.mail.sha256", "section": "dkim", "kind": "removed",
          "severity": "critical", "effect": "worsened", "from": "9f2c...", "to": null}
       ],
       "not_compared": [
         {"path": "blocklist_ip.203.0.113.5.bl.spamcop.net.listed", "reason": "lookup_failed"}
       ]
     }
   }

3. Ponlo en cron

   Con diff=true, cada ejecución se compara con la última y jq convierte la respuesta en un código de salida.

   Solicitud

   # exits non-zero if the domain is broken or its setup changed
   curl -s 'https://email-spam-tester.com/api/v1/infra/check?domain=example.com&selector=mail&diff=true' \
     | jq -e '.ok and (.diff.changed | not)'

Lectura de la respuesta

Una comprobación que ha terminado responde con 200, y el veredicto está en el cuerpo. status es el peor estado de las secciones obligatorias: spf, dkim, dmarc, ptr, blocklist_ip, blocklist_domain, mx y smtp. unknown en una sección obligatoria cuenta como warn. ok es true cuando status es pass o warn. score va de 0 a 100 para las secciones obligatorias que respondieron, y es null cuando los errores y los estados unknown dejan menos de la mitad del peso aplicable. mta_sts, tls_rpt, bimi, dnssec, dane, ns y registration se incluyen y se comparan, pero no afectan a ok ni a score.

Una sección puede ser pass, warn, fail, error (no hemos podido comprobarla), unknown (hay muy poca información) o skipped (no se aplica). skipped no afecta al resultado, y el motivo está en not_checked. dkim_signature y alignment siempre están presentes, porque necesitan un mensaje real.

Qué cambian ip y selector

PTR y las listas de bloqueo se refieren a direcciones, por lo que una ejecución necesita algunas. Usa los valores de ip que proporcionas. Si no proporcionas ninguno, toma hasta cuatro de tus hosts MX y de los términos ip4: e ip6: de una sola dirección del registro SPF raíz. Las direcciones de un proveedor de correo conocido se indican como managed y no se comprueban, y si no queda ninguna, ptr y blocklist_ip responden con skipped. Un selector no puede obtenerse de DNS, por lo que una ejecución prueba el tuyo, los que encontraron tus ejecuciones anteriores y una lista de nombres comunes. No encontrar nada no demuestra nada, y dkim responde con unknown. Si envías desde tu propio servidor, proporciona ambos.

Qué ha cambiado

Cada entrada de diff.changes tiene un path, un kind (added, removed, changed), una severity (critical, warning, info) y un effect (worsened, improved, neutral). Solo critical y warning establecen diff.changed, por lo que una clave DKIM rotada de la misma longitud, una nueva dirección MX o un certificado renovado mantienen cron en silencio. diff.worsened sigue el effect de cualquier cambio. En una primera ejecución no hay nada con lo que comparar, y diff.first_run lo indica.

Una referencia siempre es una ejecución tuya, por lo que otra persona que compruebe el dominio entre dos de tus ejecuciones no oculta nada. Todo lo que no hayamos podido leer esta vez pasa a diff.not_compared y conserva su último valor conocido, lo que significa que un cambio realizado durante una interrupción aparece cuando la consulta vuelve a funcionar. Una ejecución con un ip o selector diferente permanece en la misma serie, y tampoco se compara aquello sobre lo que no haya consultado.

Por qué una comprobación programada debe usar una clave

Sin una clave, tu historial pertenece a un hash con clave de tu dirección IP, por lo que termina cuando cambia la dirección, y las personas que están detrás de una misma dirección lo comparten: la ejecución de un compañero cambia tu referencia. Con una clave de API personal en Authorization: Bearer, el historial sigue a la clave. Las ejecuciones con una clave se conservan durante 365 días y solo se pueden abrir con esa clave. Las ejecuciones sin clave se conservan durante 30 días y puede abrirlas cualquiera que tenga su id.

6 solicitudes por minuto y 50 al día por IP, o 30 y 500 por clave. Por encima de ese límite, la respuesta es 429 con Retry-After. Una solicitud idéntica en un intervalo de 60 segundos procede de una caché, se marca como cached: true, no guarda ninguna ejecución y no cuenta. La lectura de ejecuciones almacenadas permite 120 solicitudes por minuto y cliente. 503 con Retry-After significa que hay demasiadas comprobaciones en curso o, al leer ejecuciones almacenadas, que el almacenamiento no está disponible. 401 indica una clave incorrecta. 422 incluye detail.code: invalid_domain, invalid_ip, invalid_selector, invalid_check, invalid_since, unknown_baseline o account_required.

Endpoints

Inicio rápido

1. Elige una comprobación

   Elige la herramienta de la lista siguiente y proporciona el dominio, la dirección o la IP que solicita.

   Solicitud

   curl -s 'https://email-spam-tester.com/api/v1/tools/spf?domain=example.com'

2. Consulta el estado y los resultados

   Cada herramienta responde con un estado y sus resultados. Los campos posteriores dependen de la herramienta.

   Respuesta

   {
     "tool": "spf",
     "query": {"domain": "example.com"},
     "checked_at": "2026-10-31T12:00:00Z",
     "duration_ms": 412,
     "status": "fail",
     "findings": [
       {"code": "spf.too_many_lookups", "level": "fail",
        "params": {"limit": 10, "count": 12},
        "message": "RFC 7208 §4.6.4 allows at most 10 DNS lookups, and this record needs 12, so receivers return permerror."}
     ],
     "record": "v=spf1 include:_spf.example.net ~all",
     "lookups": {"count": 12, "limit": 10, "void": 0}
   }

Endpoints