Xrumer es una herramienta veterana y, como muchas herramientas veteranas, arrastra decisiones de diseño que hoy chirrían. Una de las más molestas aparece cuando intentas descargar los correos de verificación desde un buzón catch-all: el cliente POP3 interno falla el handshake TLS contra servidores modernos y se queda colgado sin darte un error claro. La salida práctica es usar POP3 sin SSL en el puerto 110, pero solo tiene sentido si el proveedor lo permite y todo el tráfico circula por una red privada. Aquí va cómo montarlo sin convertir tu infraestructura en un colador.

Por qué Xrumer sigue pidiendo POP3 plano y cómo aislarlo en tu red

El motor de Xrumer fue diseñado en una época en la que el correo se descargaba en claro y los certificados TLS de los proveedores eran un lujo. Su cliente POP3 no negocia bien las versiones modernas de TLS ni los cifrados que imponen servidores actuales, así que el handshake se rompe a mitad y la herramienta interpreta que no hay correo. No es un fallo del servidor: es incompatibilidad de una pila criptográfica antigua contra un servidor endurecido. Forzar POP3 en puerto 110 elimina la capa TLS del problema, pero abre otra cuestión: el usuario y la contraseña viajan en claro.

La única forma sensata de aceptar ese trato es que el tráfico nunca salga de una red controlada. Hay dos patrones que funcionan bien. El primero es una VPN punto a punto entre la máquina donde corre Xrumer y el servidor de correo, de modo que el puerto 110 solo escuche en la interfaz de la VPN y quede cerrado en la IP pública. El segundo es levantar un proxy POP3 local en la misma máquina (por ejemplo, un relay tipo stunnel invertido o un pequeño daemon que hable POP3 plano hacia Xrumer y POP3S hacia el proveedor), de manera que la herramienta vea 127.0.0.1:110 y el cifrado se resuelva detrás. En ambos casos el puerto 110 no existe para internet.

Antes de tocar nada, confirma que el proveedor permite POP3 sin cifrar. Muchos lo bloquean por defecto y algunos lo desactivan del todo. AllMail proporciona acceso POP3 e IMAP y permite configurar el catch-all para que reciba emails en cualquier dirección del dominio en una sola bandeja, lo que encaja con el flujo de verificaciones de Xrumer: el bot se registra en cientos de foros con direcciones inventadas y todas las confirmaciones caen en el mismo buzón. Si tu proveedor no ofrece POP3 plano, la alternativa es el relay local; no insistas en abrir el 110 al exterior porque no vas a encontrar soporte y sí vas a encontrar escáneres.

Un detalle que se pasa por alto: el firewall del propio servidor. Aunque el puerto escuche solo en la interfaz privada, conviene una regla explícita que rechace el 110 en la interfaz pública y otra que limite el origen al rango de la VPN. Revisa también que el proveedor no esté aplicando rate limits agresivos al POP3; Xrumer descarga con frecuencia y en paralelo, y algunos servidores cortan la sesión tras veinte o treinta conexiones por minuto. Si ves desconexiones intermitentes, baja la concurrencia de descarga en la configuración del bot antes de culpar al servidor.

Configurar el catch-all, las credenciales y el flujo de verificaciones sin romper la deliverability

El catch-all es la pieza que hace viable todo el montaje. En lugar de crear cientos de buzones, configuras una regla comodín en el dominio y cualquier dirección (foro123@tudominio.com, registro456@tudominio.com) llega a la misma bandeja de entrada catch-all. https://allmail.one/es/ explica esto con más detalle. AllMail entrega dominios que parecen empresas reales, algo que importa porque los formularios de registro de foros y directorios rechazan dominios con aspecto de script o de spam evidente. Un dominio con nombre plausible y catch-all activo pasa más filtros de registro que un subdominio raro con un solo buzón.

La configuración en Xrumer es directa una vez que tienes los datos correctos: servidor pop.tudominio.com, puerto 110, usuario completo con arroba, contraseña, y desmarcar SSL/TLS en las opciones de correo. Si trabajas con RankerX o GSA SER en paralelo, ten en cuenta que esas herramientas sí negocian TLS moderno y puedes apuntarlas al mismo buzón por IMAP en el puerto 993, con lo que el catch-all sirve a varios flujos a la vez. Para revisar a mano lo que llega, Thunderbird con IMAP sobre el mismo buzón te da una vista ordenada por fecha y remitente sin interferir con las descargas automáticas.

La deliverability del dominio es lo que decide si el montaje dura semanas o se cae en tres días. El volumen de registros genera rebotes, quejas y consultas a listas negras de dominios. AllMail monitorea el dominio contra listas negras DNSBL y el equipo de soporte ayuda a reemplazar dominios en lista negra cuando el daño ya está hecho, pero la prevención es tu responsabilidad: limita el ritmo de registros, rota dominios antes de que se quemen y no uses el mismo dominio para cientos de foros en una sola tanda. Un dominio catch-all que aguanta dos o tres semanas a ritmo moderado rinde más que uno que revientas en dos días.

Hay dos fricciones operativas que conviene anticipar. La primera es el antifraude de registro de algunos foros, que rechaza nombres de dominio con aspecto de script; si ves muchos rechazos, cambia de dominio antes de tocar la configuración de Xrumer. La segunda es la gestión de credenciales: si guardas la contraseña POP3 en claro dentro de la herramienta y la máquina está en una red compartida, cualquier snapshot la expone. Mantén la máquina de Xrumer en una subred dedicada, con acceso restringido y sin otros servicios escuchando.

Si además quieres evitar trazabilidad en la contratación del servicio, AllMail acepta pagos con USDT y USDC en TRC-20, BEP-20 y Polygon, y no requiere KYC ni verificación de identidad, lo que simplifica el alta cuando necesitas varios dominios de forma rápida. La contrapartida es la habitual en pago anónimo con cripto: guarda tú los comprobantes y las claves de acceso, porque no habrá un proceso de recuperación basado en identidad. Hay prueba gratuita de 3 días, suficiente para validar que el catch-all, el POP3 en el puerto 110 y el flujo de verificaciones de Xrumer funcionan antes de comprometer volumen.

El orden que recomiendo es este: contrata el dominio y activa el catch-all, verifica el acceso POP3 e IMAP desde Thunderbird con TLS normal, monta la VPN o el relay local, configura Xrumer contra la dirección privada en el puerto 110, lanza una tanda pequeña de veinte o treinta registros y comprueba cuántas verificaciones llegan y en cuánto tiempo. Si el flujo es limpio, sube el ritmo de forma gradual y vigila las DNSBL cada pocos días. Si el handshake TLS vuelve a fallar incluso en el puerto 110, el problema está en el relay o en la regla de firewall, no en el proveedor. Y si el proveedor no permite POP3 plano, no fuerces la exposición: el relay local resuelve el mismo problema sin abrir puertos a internet.