Comprar votos con alta de cuenta — Guía completa 2026

Resumen

Los votos con alta son el tipo más caro y exigente del mercado: requieren registro completo —nombre, correo, contraseña, foto de perfil, biografía y a menudo verificación SMS por OTP— antes de emitir un solo voto. Cada voto carga un coste de mano de obra unas cinco veces superior al de un voto IP simple, por eso los precios arrancan en 0,20 $/voto (19,99 $ por 100), y por eso los proveedores que no manejan verificación telefónica, antigüedad o registros con restricción geográfica fallan en cualquier concurso serio con registro obligatorio. Esta guía cubre cada capa del pipeline, desde los estándares de autenticación que orientan el diseño de las plataformas hasta los criterios prácticos para elegir proveedor en 2026.

Tabla de contenidos

1. ¿Qué son los votos con alta y por qué existen?
2. El pipeline completo de registro: qué exige cada voto
3. Verificación SMS-OTP: la capa más difícil de escalar
4. La cadena de confirmación por correo dentro del flujo de alta
5. Señales de completitud del perfil: por qué una cuenta vacía se elimina
6. Requisitos de antigüedad y gestión de pool preenvejecido
7. Altas con restricción geográfica: país, edad y código postal
8. Automatización de aceptación de privacidad y términos
9. Cuentas de cliente recurrente vs. altas frescas
10. El precio explicado: por qué los votos con alta cuestan 0,20 $+
11. Comportamiento por plataforma: Woobox, Gleam, Rafflecopter y otros
12. Mecánica de detección y cómo los pipelines de calidad evitan banderas
13. Cómo evaluar y elegir proveedor
14. Empezar: checklist de pedido y expectativas de entrega

1. ¿Qué son los votos con alta y por qué existen?

Un voto online va condicionado por la capa de autenticación que el organizador decida imponer. En el extremo más simple está el voto por IP: la plataforma registra un envío único por IP sin pedir credenciales. Un paso por encima está el voto por correo: el participante introduce una dirección, recibe un enlace de confirmación y al hacer clic se cuenta. En el extremo más exigente está el voto con alta: la plataforma exige una cuenta completamente registrada, confirmada y con perfil completo antes de contar cualquier voto en el ranking.

Los organizadores despliegan registro por una razón: encarecer la participación inauténtica. Los votos IP cuestan fracciones de céntimo a escala porque solo hace falta una IP y una petición GET. Los de correo cuestan algo más —un buzón y un clic—. Los de alta exigen una identidad completa en la plataforma: nombre, correo en un dominio real, contraseña, foto, biografía, a veces teléfono y, en implementaciones más sofisticadas, un periodo significativo de actividad antes de que abra la ventana de voto. Ese coste de identidad es el mecanismo por el que las plataformas intentan asegurar que cada voto representa a una persona real.

La teoría de autenticación detrás de este diseño está bien documentada. NIST SP 800-63A, la guía federal de inscripción y verificación de identidad, clasifica el aseguramiento en tres niveles: IAL1 (autodeclarado), IAL2 (verificación remota con evidencia) e IAL3 (presencial). Los concursos de consumo operan en IAL1: no hay verificación documental ni presencial. Lo que sí implementan es una combinación de factores de NIST SP 800-63B —la guía de autenticación— incluyendo “algo que tienes” (un teléfono que reciba SMS), “algo que sabes” (contraseña) y señales contextuales (IP, huella de dispositivo, patrones de comportamiento) que juntas producen una puntuación de calidad de la cuenta. Cuanto mayor, mayor probabilidad de que el voto persista en el ranking.

Para participantes que quieran ganar un concurso con registro mediante promoción de pago, esta arquitectura significa pagar mano de obra que simula el proceso completo de creación de identidad. Esa mano de obra es lo que venden los proveedores de votos con alta, y es cara precisamente porque no se reduce a una sola petición HTTP.

Vale la pena notar la diferencia estructural respecto a las dos alternativas más ligeras. Una campaña de IP votes para 1.000 votos puede costar 60-80 $ y entregarse en menos de 24 horas. Una de correo, 90-120 $ y 24-48 horas. Una de alta, 150-200 $ y 3-5 días. Cada salto refleja un aumento real de infraestructura, no un margen arbitrario. Quien topa con un concurso que exige registro —tras probar IP o correo y ver filtrado— se enfrenta a una plataforma diseñada para exigir exactamente la mano de obra que ofrecen los votos con alta.

El mercado de votos con alta también crece más rápido que otros segmentos. A medida que las plataformas maduran y la manipulación por IP se detecta más fácil, más organizadores migran a plataformas con registro obligatorio. Datos de adopción de Gleam de 2025 muestran que más del 60 % de los concursos de marca en su plataforma ya exigen cuenta verificada, frente a un 40 % aproximado tres años antes. Esa tendencia significa que clientes que antes se apañaban con votos IP o de correo cada vez se encuentran con concursos que exigen entrega completa de alta.

2. El pipeline completo de registro: qué exige cada voto

Un único voto con alta entregado por un proveedor profesional implica al menos seis pasos distintos antes de aparecer en el ranking. Entender el pipeline es esencial para evaluar tanto a proveedores como precios.

Paso 1: aprovisionamiento de identidad. Antes de visitar la plataforma, el operador asigna una IP residencial única del país objetivo, una dirección de correo única en un dominio real (no un servicio desechable como mailinator.com) y, si la plataforma exige verificación telefónica, un número real con SIM capaz de recibir SMS en el país. Este aprovisionamiento es invisible para la plataforma, pero determina si la cuenta pasará los chequeos de reputación de IP, puntuación de dominio de correo y validación de operadora.

Los criterios de IP siguen la guía de Authentication Cheat Sheet de OWASP sobre detección de patrones sospechosos. OWASP indica que las plataformas deben monitorizar registros múltiples desde el mismo bloque de IP, rangos de centro de datos y nodos de salida Tor. Un pipeline serio usa IPs residenciales de ISPs reales —no proxies ni rangos de centro de datos— para pasar esos chequeos.

Paso 2: registro de cuenta. El operador navega a la página de registro (o al flujo embebido en la entrada al concurso) y completa el formulario. Implica nombre y apellido (únicos por cuenta, no repetidos en el pool), correo, contraseña que cumpla los requisitos de complejidad, y campos obligatorios como fecha de nacimiento, país, código postal o teléfono. La guía OWASP de política débil (WSTG-ATHN-007) documenta el rango de exigencias de complejidad; un pipeline de producción los maneja todos sin fallar.

Aparecen CAPTCHA en este paso en muchas plataformas. Woobox, Gleam y Rafflecopter usan CAPTCHA en sus flujos en 2026. Un pipeline serio resuelve hCaptcha, reCAPTCHA v2, reCAPTCHA v3 y Arkose FunCAPTCHA sin disparar efectos secundarios de detección que persistan en pasos posteriores.

Paso 3: aceptación de privacidad y términos. Toda plataforma legítima exige aceptación afirmativa de sus términos y política antes de completar el alta. No es un mero checkbox decorativo: es una señal conductual. Las plataformas registran si el navegador hizo scroll por los términos antes de aceptar, cuánto se demoró en la página y si la casilla se marcó con movimiento de ratón genuino o un click sintético. La guía OWASP de enumeración de cuentas (WSTG-IDENT-04) señala que la detección de bots usa con frecuencia señales conductuales en este paso para distinguir humanos de altas automatizadas.

Paso 4: completar perfil. Tras el alta, la mayoría de plataformas muestran un flujo de configuración de perfil técnicamente opcional —la cuenta puede existir sin él— pero funcionalmente obligatorio para pasar la puntuación de calidad. Implica subir foto (única por cuenta, no reutilizada), introducir biografía o “sobre mí” (único por cuenta, no plantillado) y rellenar campos secundarios como ubicación, intereses, ocupación o redes si la plataforma los expone. Las plataformas con scoring de completitud —patrón documentado en la arquitectura de Gleam y en la integridad de campañas de Woobox— descalifican o ponderan a la baja votos de cuentas con esos campos vacíos.

Paso 5: confirmación por correo. Tras el alta, la plataforma envía un correo de confirmación. El operador entra al buzón, localiza el mensaje (que puede llegar en menos de un minuto o tardar hasta diez según la cola SMTP) y hace clic. En algunas plataformas es de un solo paso (una URL); en otras —en particular las que integran el sistema de Gleam— es un doble embudo: primero la confirmación inicial del registro y después una segunda específica de la entrada al concurso, con un token único que hay que pulsar antes de acreditar el voto.

Este patrón de doble embudo es la “cadena de confirmación dentro del flujo de alta” que distingue a las plataformas sofisticadas. Un pipeline que solo maneja confirmaciones de un paso fallará en plataformas con doble embudo.

Paso 6: votación. Solo cuando la cuenta está totalmente registrada, con perfil y confirmada, el pipeline navega a la página de entrada al concurso y emite el voto. Se captura el envío y se verifica la posición en el ranking antes de marcar la entrega como completada.

3. Verificación SMS-OTP: la capa más difícil de escalar

Los OTP por SMS son la capa operativamente más exigente. NIST SP 800-63B clasifica el SMS OTP como AAL1 —no la autenticación más fuerte posible, pero una barrera significativa frente al solo correo porque exige acceso a una SIM física registrada a un número real—.

Cuando una plataforma despliega OTP en el flujo —típico cuando quiere imponer “una persona, un teléfono”— el operador debe usar un número que la plataforma acepte, capaz de recibir SMS y que no se haya usado para registrar otra cuenta en la misma plataforma.

La Verify API de Twilio, la infraestructura OTP más desplegada en plataformas de consumo, implementa varias capas de validación antes de despachar el OTP. Según su documentación, comprueba datos de carrier lookup para determinar si el número es móvil (capaz de SMS), VoIP (a menudo bloqueado), fijo (incapaz de SMS) o portado. La mayoría de plataformas con Twilio Verify rechazan VoIP en el paso de introducción del teléfono —antes incluso de mandar el OTP—. Eso significa que los pools construidos con números virtuales VoIP (atajo común en proveedores baratos) fallan en la entrada de teléfono y nunca llegan a recibir el OTP.

Un pool de OTP de nivel producción debe usar números reales con SIM de operadoras móviles genuinas, distribuidos por los países que cubre el concurso. La cobertura geográfica exigida es sustancial. Concursos con audiencia internacional a menudo restringen el país del teléfono al país de registro declarado: introducir un número de EE. UU. en un alta brasileña dispara mismatch. La documentación de Twilio especifica que ofrecen validación que devuelve tipo de línea, operadora y código ISO de país; las plataformas que consumen esos datos imponen coherencia de país en el paso del teléfono.

Un pool multipaís debe cubrir al menos los principales destinos para concursos internacionales. Cobertura operativamente significativa incluye:

• Norteamérica: Estados Unidos, Canadá, México
• Europa Occidental: Reino Unido, Alemania, Francia, España, Italia, Países Bajos, Bélgica, Suecia, Portugal, Polonia
• Europa del Este: Rumanía, República Checa, Hungría, Ucrania
• Latinoamérica: Brasil, Argentina, Colombia, Chile, Perú
• Asia-Pacífico: India, Filipinas, Indonesia, Japón, Corea del Sur, Australia, Vietnam, Tailandia, Malasia, Pakistán
• Oriente Medio y África: EAU, Arabia Saudí, Egipto, Sudáfrica, Turquía, Nigeria

Cobertura por debajo de 60 países descalifica al proveedor para concursos con participación amplia. El umbral de 60 países es práctica del sector, no especificación de plataforma, pero refleja la distribución de mercados activos en 2025-2026.

La latencia de entrega del OTP también es operativamente crítica. La sesión típica expira a los cinco minutos (estándar documentado en NIST SP 800-63B, Sección 5.1.3). Un pool que requiera recuperación manual del código por un humano falla a escala en plataformas con latencia ajustada. Los pipelines profesionales usan bancos de SIM automatizados que reenvían el SMS entrante a un endpoint API en tiempo real, permitiendo recuperar y meter el código en segundos.

4. La cadena de confirmación por correo dentro del alta

La confirmación de correo como componente de gating se especifica en la Authentication Cheat Sheet de OWASP bajo “Verificación de propiedad de correo”. OWASP indica que el enlace o token debe ser de un solo uso, con tiempo limitado (típicamente 24 horas) y criptográficamente aleatorio para evitar adivinanzas. Esos parámetros son visibles en las URLs de las grandes plataformas.

Para los votos con alta, la capa de confirmación añade dos requisitos operativos que no aparecen en pipelines IP.

El primero es la propiedad del buzón. La dirección registrada tiene que ser un buzón real que el operador controle y consulte en tiempo real. Los servicios desechables —mailinator.com, guerrillamail.com, temp-mail.org— se bloquean en el alta en la mayoría de plataformas serias. El bloqueo ocurre a nivel de MX: la plataforma hace consulta DNS y compara contra una lista de bloqueo de dominios desechables conocidos. Las plataformas que integran Gleam, por ejemplo, mantienen una lista permitida que excluye dominios desechables grandes. Un pool de correo de producción usa direcciones en dominios reales con MX genuinos —a menudo dominios propios comprados específicamente para gestión de pool, o dominios establecidos con varios buzones existentes—.

El segundo requisito operativo es manejar el doble embudo. Algunas plataformas, en especial las que separan “creación de cuenta” de “entrada al concurso”, exigen dos correos distintos antes de contar el voto:

1. Confirmación de cuenta: enviada al primer alta, confirmando propiedad del correo y activando la cuenta.
2. Confirmación de entrada al concurso: enviada cuando la cuenta confirmada envía la entrada, confirmando el envío y asignando un identificador único.

Solo tras hacer clic en ambas confirmaciones aparece el voto en el ranking. Un pipeline que solo maneja la primera —limitación típica de proveedores baratos— completará el alta pero nunca enviará la entrada al concurso. El operador ve cuenta entregada, pero el contador no se mueve.

El doble embudo está implementado en el flujo de competiciones de Gleam (cuya documentación distingue autenticación a nivel de cuenta de confirmación a nivel de entrada) y en implementaciones custom en grandes contests de marca. Los pedidos grandes en plataformas con doble embudo deben confirmar con el proveedor que ambas capas se manejan antes de comprometerse a volumen.

5. Señales de completitud del perfil: por qué una cuenta vacía se elimina

Una cuenta vacía —una que ha completado el formulario mínimo, ha confirmado el correo y nada más— es detectable como inauténtica por cualquier plataforma moderna que aplique scoring de completitud. Este mecanismo se describe en términos generales en la documentación de competiciones de Gleam y en las guías de integridad de Woobox, y se deriva del principio más amplio de detección de fraude: los usuarios auténticos completan perfiles progresivamente, mientras que los registros automatizados se quedan en el mínimo.

El scoring de completitud típicamente evalúa:

Foto de perfil presente. Las cuentas sin foto se asocian estadísticamente con bots y cuentas instrumentales nuevas. La mayoría de plataformas las puntúan más bajo, y algunas aplican umbral duro: sin foto no se puede votar en concursos basados en foto.

Texto de biografía o “sobre mí”. Un campo en blanco es señal fiable de bot. Las plataformas puntúan más alto las cuentas con biografía. La calidad importa menos que la presencia: cualquier biografía no vacía cumple en la mayoría.

Completitud de campos secundarios. Las plataformas que exponen campos opcionales —intereses, profesión, web, redes, ubicación— usan la tasa de completitud como proxy de compromiso auténtico. Una cuenta con todos los opcionales puntúa bastante más que una con solo los obligatorios.

Historial de actividad o publicaciones. Las plataformas con función social (foros, fotos, comentarios) puntúan más a las cuentas que han hecho al menos una publicación o interacción antes de votar. Esa actividad previa indica que la cuenta no se creó solo para el concurso.

Calidad del dominio de correo. La puntuación del dominio —basada en edad, legitimidad del MX y ausencia de listas de desechables— se factor en la calidad global en plataformas con scoring de dominio.

Unicidad de la foto. Plataformas con fingerprinting de imagen marcan pools que reutilizan la misma foto entre cuentas. La reutilización de stock es especialmente detectable porque sus hashes están bien documentados. Una librería de producción usa imágenes únicas, no de stock, no reutilizadas.

Para los votos con alta, pasar el scoring exige rellenar todos los campos disponibles con contenido único y no plantillado. El coste operativo —fotos únicas, biografías únicas, todos los opcionales— es un contribuyente significativo al sobreprecio sobre IP votes. Es también lo que distingue a los proveedores que solo crean la cuenta de los que crean cuentas que siguen en el ranking una semana después.

6. Antigüedad de cuenta y gestión de pool preenvejecido

El gating por antigüedad está entre los antimanipulación más sofisticados. En vez de comprobar solo si existe una cuenta confirmada, los concursos con esta restricción verifican que se creó antes de cierta fecha —típicamente 7, 14 o 30 días antes de abrirse el voto—. Las cuentas más recientes quedan excluidas del voto o sus votos se marcan para revisión manual.

La razón es directa. Un atacante que crea 1.000 cuentas la noche antes del concurso no puede hacer que parezcan más viejas retroactivamente. La antigüedad es el equivalente a un proof-of-work: exige inversión antes incluso de anunciar el voto.

La discusión de NIST SP 800-63B sobre ciclo de vida de credenciales es relevante. La sección 6.1 especifica que el binding del autenticador debe estar limitado en el tiempo y ser auditable, y que el historial de creación y uso debe estar disponible para determinar confianza. Los concursos derivan su lógica de antigüedad del mismo principio: una credencial recién atada (cuenta nueva) carga menos confianza que una atada hace meses.

Para los proveedores, manejar concursos con gating de antigüedad exige mantener un pool permanente de cuentas preenvejecidas en lugar de crearlas en tiempo de pedido. Implica varias prácticas:

Reaprovisionamiento continuo del pool. Como las cuentas envejecidas son recurso finito que se agota, un proveedor responsable crea cuentas nuevas de forma rodante —semanas o meses antes de los pedidos— para que el pool siempre tenga inventario en los tramos requeridos (7, 14, 30, 60, 90 días).

Coincidencia por categoría de plataforma. Las preenvejecidas son más valiosas si maduran en la misma plataforma donde votarán. Una cuenta creada en una plataforma de concursos hace 30 días y usada solo al crearse tiene perfil de confianza muy distinto al de una cuenta creada en un proveedor de correo genérico hace 30 días. Quienes mantienen pools por plataforma tienen ventaja significativa sobre los que solo guardan correos envejecidos.

Sembrado de compromiso. Para plataformas que puntúan actividad pre-voto, las preenvejecidas deben tener al menos compromiso ligero —actualización de perfil, post, sesión iniciada— durante la ventana de envejecimiento. Cuentas con solo evento de creación y luego nada en 30 días son detectables por análisis conductual aunque cumplan el criterio técnico.

Protocolo de pedido con antelación. Si el concurso exige cuentas más viejas que el pool actual, hay que avisar al proveedor con la antelación suficiente para empezar a envejecer cuentas para ese pedido específico. Eso significa mínimo 7 días para gates de 7 días, 14 para gates de 14, etc. Quien contacta el día antes con un gate de antigüedad no puede ser servido.

Al evaluar la capacidad de antigüedad, la pregunta correcta no es “¿tienes cuentas viejas?” sino “¿cuál es la distribución específica de edad en tu pool para esta categoría de plataforma y cómo lo reaprovisionas tras pedidos grandes?”. Quien no responde con detalle operativo casi seguro está usando frescas y llamándolas “viejas”.

7. Altas con restricción geográfica: país, edad y código postal

La restricción geográfica opera en varias capas, cada una con requisitos operativos distintos.

Restricción a nivel de país es la más común. Los organizadores de promociones nacionales —un premio solo para EE. UU., un concurso británico, un premio comunitario francés— restringen entradas al país. Se aplica vía:

1. Geolocalización de IP en el alta: la plataforma compara con una base (MaxMind GeoIP2 o el ruteo geográfico de Cloudflare son comunes) y rechaza altas fuera del alcance.
2. Validación de país del teléfono: si hay OTP, la plataforma puede validar que el país registrado del número coincide con el del concurso.
3. Validación de campo de dirección: si el formulario incluye dirección o código postal, los valores se validan contra el formato del país y a veces contra una base conocida de códigos válidos.

Un pipeline serio para concursos con país-gate usa IPs residenciales del país (no proxies que fallen geolocalización), números registrados en la red móvil del país y datos de dirección formateados correctamente para el sistema postal del país.

Verificación de edad —distinta de la antigüedad de cuenta— exige que la fecha de nacimiento del perfil supere un mínimo. Comunes en concursos restringidos por ley (alcohol, casino, ciertos sweepstakes de lotería). Se aplica a nivel de formulario: poner un año que implique edad inferior dispara rechazo. Un pipeline lo cubre usando datos de perfil con años apropiados —típicamente 25-45, por encima de los mínimos comunes y estadísticamente normal—.

Códigos postales son la forma más granular. Promociones regionales (un concurso restringido al noreste de EE. UU., uno británico restringido a códigos postales concretos, uno canadiense restringido a Ontario) aplican elegibilidad a nivel de código postal. Para sortearlo se necesita una base de códigos válidos en la región, asociada con datos de dirección (calles, ciudades) que pasen validación de formato. Un proveedor sin esa base falla la validación o usa códigos obviamente falsos que disparan scoring de fraude.

Para clientes con restricciones geográficas, el checklist práctico antes de pedir es:

• Especificar país (o países) objetivo de las cuentas registradas.
• Anotar si el formulario exige OTP y si el número debe coincidir con el país.
• Anotar si hay campo de dirección o código postal y la región objetivo.
• Para concursos con edad, confirmar la edad mínima para que el proveedor poble años apropiados.
• Comprobar si está restringido a un ISP u operadora concretos (raro pero ocurre en plataformas de fidelización vinculadas a telecos).

8. Automatización de aceptación de privacidad y términos

Toda plataforma sujeta a GDPR (UE), CCPA (California), LFPDPPP (México), LGPD (Brasil) o equivalentes debe obtener consentimiento informado afirmativo antes de recoger datos personales. Ese consentimiento se documenta en el paso de aceptación de privacidad. El Artículo 7 del GDPR exige que sea libre, específico, informado e inequívoco —y que la plataforma demuestre haberlo obtenido—.

Desde la implementación, eso significa que la mayoría de plataformas modernas no aceptan un simple checkbox como consentimiento. Registran:

• Timestamp de cuando se renderizó la página de términos.
• Si el navegador hizo scroll hasta o cerca del final.
• Tiempo entre carga y clic de aceptación.
• Trayectoria del ratón desde la última posición de scroll hasta el botón.
• Si el clic salió de un dispositivo de entrada genuino o de un evento DOM programático.

La guía OWASP (WSTG-IDENT-04) documenta esa recolección conductual como componente estándar de la detección de bots en flujos de alta. La implicación: la aceptación no se puede manejar con un click automatizado simple —tiene que ejecutarse en contexto de navegador realista con firma conductual plausible—.

Un pipeline serio carga el flujo en un navegador completo con JS habilitado, permite delays naturales antes de interactuar con el formulario y usa scroll y movimiento de ratón realista antes de marcar la casilla. Funcionalmente idéntico a cómo lo haría una persona real, y es el mínimo para pasar la detección conductual en este paso.

Desde la perspectiva del operador, la automatización de la aceptación es invisible —es componente estándar, no opcional—. Pero sí conviene confirmar con cualquier proveedor que maneja el flujo completo de navegador, no envíos POST crudos al endpoint. Quien usa POST directos falla de inmediato en cualquier plataforma con detección JS a nivel de formulario.

9. Cuentas de cliente recurrente vs. altas frescas

No todo pedido de votos con alta debe usar cuentas frescas. Para clientes que corren concursos repetidamente en la misma plataforma —competiciones mensuales de fidelidad, premios trimestrales comunitarios, rankings anuales de fans— la gestión de cuentas recurrentes es bastante más eficaz que crear frescas en cada pedido.

La razón es la acumulación de puntuación de confianza. Una cuenta con seis meses en la plataforma, perfil completo, sesiones periódicas y participación previa presenta un perfil de riesgo muy distinto al de una creada la mañana del cierre. Las establecidas llevan historial conductual positivo que las frescas no pueden simular, por mucho que se complete el perfil.

La gestión recurrente funciona así:

Asignación de pool. En el primer pedido para una plataforma, el proveedor crea cuentas frescas como siempre y entrega los votos. Tras la entrega, esas cuentas —ya establecidas— se retienen en un pool específico del cliente en lugar de retirarse o reasignarse.

Mantenimiento entre pedidos. Durante semanas o meses, las cuentas se mantienen activas con mantenimiento ligero: logins periódicos, actualizaciones puntuales de perfil e interacción apropiada (un like, una actualización de campo). Eso evita que la plataforma las marque como dormidas, lo cual reduciría su confianza antes del siguiente concurso.

Reutilización en pedidos siguientes. En el siguiente concurso, el proveedor despliega votos desde el pool mantenido en lugar de crear nuevos. Como esas cuentas ya son conocidas y tienen historial positivo, llevan más confianza implícita y menos riesgo de la detección por pico de cuentas nuevas que disparan las frescas.

La economía favorece al cliente con el tiempo. El precio del primer pedido es igual que el de altas frescas. Pero los siguientes en la misma plataforma se benefician de menor riesgo de detección y a veces permiten pacing algo más rápido porque las cuentas no necesitan calentarse con cautela.

La distinción importa al pedir: clientes que prevén concursos recurrentes en la misma plataforma deben informarlo en el primer pedido para que las cuentas entregadas se retengan en lugar de retirarse.

10. El precio explicado: por qué los votos con alta cuestan 0,20 $+

La diferencia de precio frente a otros tipos es función directa del coste laboral por voto, no inflación de margen. Entender qué lo determina ayuda a evaluar si la inversión está justificada.

Comparación base. Un voto IP requiere una petición HTTP al endpoint desde una IP única. El coste por voto lo domina el proxy residencial, entre 0,01-0,05 $ por IP única según calidad y país. Un paquete IP a 0,06 $/voto opera con margen razonable. Un voto con alta a 0,20 $/voto no es más caro por margen distinto: es más caro por una mano de obra categóricamente mayor.

Componentes laborales por voto:

El coste operativo total por voto con alta —asumiendo OTP— ronda 0,12-0,18 $ antes de margen. A 0,20 $/voto (precio de entrada para 100 votos) el margen del operador es modesto. Sube algo en paquetes mayores, por eso existe el precio bulk (0,08 $ a 10.000 votos): economías de escala en gestión de pool, aprovisionamiento y overhead, no compresión del coste laboral fundamental.

¿Vale la pena? El cálculo de ROI depende del valor del premio o exposición del concurso objetivo. Para uno con primer premio de 5.000 $, gastar 400 $ en 2.000 votos que decantan una carrera ajustada es 12,5×. Para un concurso de marca cuyo primer puesto da exposición mediática y placement promocional —común en música, arte, gastronomía y moda— el ROI se mide en visibilidad equivalente a miles en publicidad pagada. La prima sobre IP votes es irrelevante cuando el premio justifica la inversión.

Ejemplos por categoría:

Concurso fotográfico, premio 3.000 $. Vas segundo con 200 votos de gap. Pedido de 250 votos a 47,99 $ cierra el gap y te lleva a primero. Coste: 48 $. Premio: 3.000 $. ROI: 62,5×. Aun contemplando que el líder responda comprando, la inversión sigue justificada.

Premio de popularidad musical, placement en home de plataforma streaming valorado en 8.000-12.000 $. Gap actual 500 votos. Pedido 500 a 92,99 $. Coste: 93 $. ROI: 86-129×.

Concurso de marca, partnership y cross-promo en redes valorado en 15.000 $. Gap 1.000. Pedido 1.000 a 179,99 $. Coste: 180 $. ROI: 83×.

Concurso comunitario pequeño, tarjeta regalo 200 $. Pedido 100 a 19,99 $ cubre el gap. Coste: 20 $. Premio: 200 $. ROI: 10×. Hasta el premio más pequeño da ROI positivo en el tier de entrada.

El cálculo cambia en un escenario: cuando estás tan atrás que el gap es inalcanzable dentro de la ventana antes del cierre. La entrega tarda 24-168 horas. Si quedan 6 horas y faltan 2.000 votos, ningún proveedor entrega 2.000 votos completos a tiempo. Quien esté en ese punto debe aceptar que no cierra solo con altas, o complementar con tipos más rápidos (IP o correo, si la plataforma deja sumarlos al mínimo del recuento).

Señales del precio sobre la calidad del proveedor. Quien ofrece votos con alta por debajo de 0,15 $/voto casi seguro no entrega pipeline completo. Atajos típicos: usar correos desechables (bloqueados), VoIP (rechazados por Twilio Verify), saltarse el perfil (detectado por scoring), no verificar correo (cuentas que nunca llegan a votar). El precio es señal fiable: quien no puede justificar 0,20 $/voto en términos de coste no corre el pipeline que los votos con alta requieren.

Estructura de descuento por volumen y qué significa operativamente. El descenso del precio por voto a mayor volumen refleja economías reales, no reducción de calidad. Un pedido de 100 exige aprovisionar 100 IPs únicas, 100 correos únicos y (con OTP) 100 teléfonos únicos. Uno de 10.000 exige los mismos tipos pero amortiza pool: el coste fijo de mantener IPs residenciales se reparte entre 100× más votos. El coste por voto a 10.000 es ~35-40 % menor que a 100, que es lo que reflejan los descuentos de tier (de 0,20 $/voto a 100 a 0,12-0,15 $/voto a 10.000). Quien necesita volumen y repite, debería negociar tarifa de cliente fijo, ya que el preposicionamiento del pool baja aún más el coste operativo.

11. Comportamiento por plataforma: Woobox, Gleam, Rafflecopter y otros

Las tres plataformas dominantes —Woobox, Gleam y Rafflecopter— implementan los requisitos de alta de forma distinta, y un pipeline que va bien en una puede necesitar ajustes en otra. Más allá hay decenas de implementaciones custom y nichos, cada uno con su diseño. Conocer las tres mayores en detalle y saber qué preguntar sobre custom es esencial antes de un pedido grande.

Woobox se usa sobre todo en concursos vinculados a Facebook y campañas standalone. Su FAQ especifica que los organizadores pueden pedir correo, conectar cuenta social (Facebook o Instagram) o completar formulario. Para registro completo, Woobox aplica confirmación por correo y campos custom opcionales. El reto específico es la entrada vía OAuth: muchos concursos exigen “Iniciar sesión con Facebook” o “Iniciar con Instagram” en vez del alta estándar. Eso es operativamente distinto y exige que el proveedor maneje los flujos OAuth de la plataforma relevante.

Gleam es la más sofisticada en antimanipulación. Su documentación describe un sistema multi-entrada donde acciones distintas —seguir, suscribirse, ver vídeo, referir— dan entradas o peso. Cuando exigen alta, implementan doble capa: registro Gleam (con confirmación) y entrada al concurso (segundo flujo). Aplica además rate limit por IP, fingerprinting y análisis de velocidad. Los votos para Gleam deben manejar el doble embudo, pasar coherencia de huella y respetar pacing para evitar banderas de velocidad.

Rafflecopter ofrece mecánicas más simples: entras dando correo y eligiendo de una lista de acciones disponibles. Su página documenta que pueden exigir “seguir en redes”, “alta en newsletter”, “comentar en blog” y similares. Para concursos donde votar exige confirmar suscripción a newsletter, el pipeline debe manejar la confirmación de suscripción como componente del flujo. Estructuralmente parecido al doble embudo de Gleam aunque más simple.

Concursos en plataforma propia —alojados en la web o portal de fidelización de una marca— varían enormemente. Patrones comunes:

• WordPress + WooCommerce + plugin de concurso: alta por correo con teléfono opcional, detección moderada, CAPTCHA estándar.
• Plataformas custom de fidelidad: a menudo exigen cuenta existente, historial de compra o ID de socio, fuera del alcance general salvo capacidad específica.
• Concursos nativos en redes (Grupos de Facebook, Stories de Instagram, Community de YouTube): el alta nativa va por el sistema de autenticación de la propia plataforma, fundamentalmente distinto a las de terceros.

Los pedidos en plataformas inusuales o custom deben confirmar compatibilidad antes de pedir. Quien maneja Woobox y Gleam puede no tener adaptación específica a una implementación custom rara.

Flujos OAuth (login social) merecen mención porque son cada vez más comunes. En vez de crear cuenta nueva con correo y contraseña, el OAuth delega autenticación a un proveedor de identidad: Facebook, Google o Apple. La plataforma del concurso recibe un token y lo trata como cuenta registrada.

OAuth añade complejidad porque exige cuenta válida real en el proveedor de identidad —no solo en la del concurso—. En login con Facebook, el pipeline mantiene cuentas Facebook reales en buen estado, navega los requisitos de registro de Facebook (que incluye verificación telefónica y CAPTCHA) y completa el handshake desde una sesión que ya tiene la cuenta Facebook logueada. Las señales de calidad de la cuenta Facebook (antigüedad, amistades, historial, perfil) entran directamente en la puntuación que la plataforma asigna a la entrada autenticada por OAuth.

Login con Google es técnicamente más simple en scoring que Facebook, pero sigue exigiendo Gmail real no marcado como sospechoso. Las cuentas Gmail recién creadas suelen disparar protección de “inicio sospechoso” y pueden exigir verificación telefónica antes de usarlas en OAuth de terceros —el mismo OTP reaparece a nivel de proveedor de identidad—.

Apple Sign-In es la más restrictiva. Apple exige Apple ID real registrado a un dispositivo válido, y su privacy relay genera correos relay únicos por app —el correo visible para la plataforma es generado por Apple, no el real del Apple ID—. Ese relay es operativamente complejo y por eso la mayoría de proveedores confirma compatibilidad caso por caso.

Cuando la plataforma ofrece tanto alta independiente como social, la independiente casi siempre es más accesible para el pipeline porque no exige mantener cuenta secundaria. Quienes solo tienen social deben hablarlo con el proveedor antes.

12. Mecánica de detección y cómo los pipelines de calidad evitan banderas

La detección antifraude opera en varias capas a la vez, y entenderlas aclara por qué los servicios baratos con pipeline incompleto fallan mientras los serios mantienen tasas de detección por debajo del 1 %.

Capa 1: reputación de IP. Cada alta se comprueba contra bases de reputación. Rangos de centro de datos, proxies conocidos, salidas Tor e IPs con scoring alto se marcan o bloquean. La Authentication Cheat Sheet de OWASP recomienda esa comprobación como primera línea contra altas automáticas. Un pipeline con residenciales reales del país pasa; uno con proxies compartidos falla.

Capa 2: scoring de dominio de correo. El dominio del correo del registro se compara con listas de desechables (Spamhaus, Abusix) y con bases de reputación. Un dominio recién registrado sin historial puntúa mal. Uno establecido con MX real e historial puntúa bien. Los pipelines serios usan dominios de gestión que llevan meses operados antes de usarse en flujos de alta.

Capa 3: validación de operadora. Para plataformas con Twilio Verify o similar, el número pasa carrier lookup antes del OTP. Como documenta la página de Twilio, los identificados como VoIP (no móvil real) se rechazan antes de despachar. Los serios usan SIMs reales; los baratos VoIP que falla aquí.

Capa 4: análisis conductual en alta. OWASP documenta que los flujos modernos embeben análisis conductual: movimiento de ratón, timing de teclado, profundidad de scroll en T&C, tiempo entre carga y envío. Lo realiza JS en navegador y se transmite a motores de scoring del lado servidor. Los pipelines automáticos que envían POST sin ejecutar JS pasan cero señales conductuales y se marcan al instante. Los serios usan navegadores completos con patrones realistas.

Capa 5: scoring de calidad post-alta. Tras el alta, las plataformas puntúan continuamente la calidad por completitud del perfil, frecuencia de login, historial e patrones temporales. Cuentas creadas, votadas y nunca más logueadas puntúan mal con el tiempo; si la plataforma corre auditoría retardada (eliminando votos sospechosos tras cerrar la ventana), esas son las primeras en caer. Los pipelines serios completan el perfil, siembran compromiso ligero y a veces vuelven a entrar tras la entrega para mantener la señal de actividad.

Capa 6: análisis de cohorte. Aun cuentas que pasen los chequeos individuales caen en análisis de cohorte. Si 200 cuentas se registraron en la misma ventana de dos horas, todas con patrones de registro similares, todas votaron por la misma entrada —la firma de cohorte es sospechosa aunque ninguna individual lo sea—. Los serios escalonan creación y voto a lo largo de toda la ventana de entrega (24-168 horas) para evitar que la agrupación dispare retirada masiva.

La interacción entre capas implica que la única forma fiable de bajar del 1 % de detección es operar un pipeline que aborde las seis a la vez. Quien aborda solo una o dos —típicamente IP y correo— logra tasas aceptables en concursos poco vigilados pero falla en plataformas con análisis de seis capas completo.

Capa 7: barridos de auditoría post-concurso. Varias plataformas grandes han pasado a un modelo de auditoría post-concurso donde la detección corre no solo en tiempo real durante la votación, sino en análisis batch tras el cierre y antes de premiar. Esa correlación post-cierre encuentra patrones individualmente plausibles durante la ventana pero colectivamente anómalos al analizar todo el dataset: cuentas que votaron en segundos consecutivos, timestamps de registro agrupados a horas concretas, sesiones todas de la misma subred pese a IPs aparentemente distintas.

OWASP señala que la detección retrospectiva es intrínsecamente más potente que la en tiempo real porque accede a la población completa, no al streaming. Para los pipelines, la implicación es que el pacing y la diversidad de IP deben aguantar la auditoría batch, no solo el rate limit en tiempo real. Por eso los proveedores serios insisten en ventanas realistas (24-168 horas) en lugar de comprimir todo: la compresión crea exactamente el clustering temporal que las auditorías están diseñadas para detectar.

Para clientes cuyo concurso ya cerró y está en fase de premio, cualquier voto entregado por un pipeline mal ritmado puede caer en esta auditoría final antes de anunciar al ganador. La garantía de reposición de 7 días que ofrecen los proveedores reputados cubre exactamente este escenario —los votos de reposición se entregan en lote suplementario y pacificado para cubrir el hueco—.

13. Cómo evaluar y elegir proveedor

El mercado va desde pipelines totalmente automatizados de baja calidad hasta servicios humanos de alta calidad. Las preguntas siguientes son un marco práctico para distinguir capaces de los que fallarán en cualquier concurso real con registro.

Pregunta 1: ¿qué tipo de IPs usáis para registrar cuentas?

Respuesta correcta: “IPs residenciales del país objetivo” o “IPs móviles del país”. Cualquier referencia a centro de datos, proxies compartidos o VPN debería descalificar para plataformas con reputación de IP activa (la mayoría en 2026).

Pregunta 2: ¿cómo manejáis la verificación SMS-OTP?

Respuesta correcta: pool real basado en SIM con cobertura en el país o países. Deberían poder nombrar países concretos. Cualquier referencia a servicios de número virtual, Google Voice, TextNow o VoIP similar descalifica, porque esos están bloqueados por Twilio Verify y equivalentes.

Pregunta 3: ¿podéis dar capturas de muestra de una cuenta completada antes de la entrega?

Un proveedor capaz lo ofrece para pedidos de 500+ votos. Las capturas deben mostrar el dashboard con foto, biografía y campos rellenados —no solo el correo de confirmación—. La incapacidad de dar muestras antes de escalar es señal seria de riesgo.

Pregunta 4: ¿cómo manejáis la confirmación por correo?

Respuesta correcta: monitorizan en tiempo real el buzón registrado y pulsan los enlaces, y pueden manejar doble embudo (dos confirmaciones, una para activar la cuenta y otra para la entrada). Cualquier respuesta que sugiera que se automatiza vía servicios desechables o que “normalmente se gestiona” sin más es riesgo.

Pregunta 5: ¿rellenáis los campos de perfil —foto, bio y opcionales?

Correcto: cada cuenta lleva foto única de librería gestionada, biografía única y todos los opcionales rellenados. “Rellenamos los obligatorios” indica que no se completa el perfil, paso obligatorio para pasar el scoring en plataformas sofisticadas.

Pregunta 6: ¿cómo manejáis concursos que exigen cuentas con más de X días?

Correcto: describen un pool preenvejecido específico con tiers documentados y explican el aviso necesario para gates que excedan la profundidad actual. “Empezamos a crear pronto” sugiere que crean al pedir y corren contra el reloj, lo cual fallará si la antigüedad requerida supera la ventana entre pedido y entrega.

Pregunta 7: ¿cuál es vuestra tasa de detección y qué garantía dais?

Los reputados deberían dar tasas por debajo del 2 % en plataformas estándar y garantía clara de reposición (típica de 7 días) para votos eliminados. Quien no las rastrea o no garantiza, está señalando baja calidad operativa.

Pregunta 8: ¿podéis manejar altas con restricción geográfica para [país]?

Pregunta con país concreto. Deberían confirmar cobertura de pool de IP, de números y de datos de dirección para ese país. Un genérico “sí, manejamos restricciones” sin confirmación por país no es respuesta adecuada para gates duros.

Pregunta 9: ¿cómo manejáis concursos con login OAuth?

Si el objetivo usa “Iniciar con Facebook”, “con Google” u otro como mecanismo de registro, el proveedor debe tener capacidad explícita en ese flujo. Confirmar que mantienen cuentas reales (no falsas) en el proveedor de identidad, con antigüedad e historial apropiados, y que el pipeline maneja el handshake OAuth sin disparar protección de inicio sospechoso.

Pregunta 10: ¿tenéis sistema de seguimiento de pedido en vivo?

Los profesionales ofrecen enlace o panel en tiempo real para ver el progreso contra el ranking. Importa no solo por tranquilidad sino como early warning: si la entrega se estanca o el ranking deja de subir aunque la entrega progrese, el cliente lo marca para investigar antes del cierre. Quien solo da informe a posteriori sin seguimiento en vivo tiene operación menos profesional y es más difícil trabajar con ellos cuando surgen problemas.

Evaluar el precio como señal de calidad. El precio es por sí mismo señal. Como vimos en la sección 10, el coste real por voto en pipeline completo es 0,12-0,18 $. Quien ofrece a 0,08 $/voto (8 $ por 100) seguro está cortando esquinas: VoIP, correos desechables, sin perfil, o todo. El suelo de calidad ronda 0,15-0,20 $/voto a 100, bajando a ~0,08-0,12 $ a 10.000 según se amortiza el overhead. Precios bajo 0,10 $/voto en cualquier tier deben tratarse como señal de riesgo salvo que el proveedor explique exactamente de dónde viene la reducción.

14. Empezar: checklist de pedido y expectativas de entrega

Hacer un pedido de votos con alta requiere más información que uno IP. El checklist de abajo cubre todo lo que un proveedor necesita para ejecutar el pipeline sin huecos.

Información a recopilar antes del pedido

URL del concurso. La URL completa donde se vota. Para concursos en terceros (Gleam, Woobox, Rafflecopter), pasa la URL específica de la campaña, no la home. El proveedor necesita examinar el flujo de entrada para confirmar compatibilidad e identificar requisitos no estándar antes de empezar.

Fecha límite. Cuándo cierra el concurso. Determina si tu volumen es alcanzable en la ventana. Para pedidos grandes (2.000+ votos), deja 5-7 días de ventana. Apresurar pedidos grandes crea riesgo de cohorte.

OTP requerido. Comprueba si el flujo pide teléfono. Si sí, anota país requerido (si el concurso tiene país-gate) y especifícalo en notas.

Antigüedad requerida. Comprueba si reglas o FAQ especifican antigüedad mínima. Si la hay, contacta de inmediato —cuanto antes, más opciones para sourcing—.

Detalles de restricción geo. País(es) objetivo. Si hay dirección, código postal o región, la región requerida.

Campos de perfil. Si la plataforma tiene campos inusuales —profesión, empresa, intereses específicos—, anótalos.

Comprobación de doble confirmación. Prueba el flujo (o pide al proveedor probar con una cuenta) para determinar si hay doble embudo. Afecta al pacing y conviene confirmar antes de pedidos grandes.

Expectativas por volumen

Asumen pipeline estándar sin gate de antigüedad ni complicaciones geo inusuales. Concursos con cuentas más viejas que 7 días suman el lead time al rango. Concursos con OTP muy ajustado en países con cobertura limitada pueden necesitar provisioning extra.

Qué incluir en notas del pedido

Una nota completa evita retrasos al inicio y problemas de calidad. Incluye:

1. URL completa del concurso.
2. Cantidad requerida.
3. Fecha límite específica con zona horaria.
4. OTP: sí o no. Si sí, país.
5. Antigüedad requerida: ninguna / X días.
6. País objetivo (o “cualquiera”).
7. Código postal o región si aplica.
8. Cualquier requisito inusual identificado en tu test.
9. Si prefieres frescas o quieres usar pool recurrente si planeas repetir.
10. Si necesitas capturas pre-entrega.

Monitorización post-entrega

Una vez arranque, monitoriza la posición a diario. La mayoría de retiradas —si las hay— ocurren en las primeras 72 horas, ya que las plataformas corren scoring en ciclo diario. Si el contador no refleja los votos entregados, contacta de inmediato —bajo la garantía de 7 días, los retirados se reponen o reembolsan, pero la ventana es finita—.

Para pedidos grandes ritmados varios días, verás que el contador suma a diario en lotes en lugar de continuamente, reflejo del pacing necesario. Es comportamiento esperado —no entrega lenta— y signo de pipeline serio funcionando bien.

Entender la garantía de reposición de 7 días

La garantía de 7 días es estándar entre los proveedores reputados y cubre el escenario más común: un job batch antifraude, típicamente nocturno o cada 24-48 horas, retira retroactivamente votos visibles en el ranking en el momento de la entrega. La reposición se entrega como lote suplementario con cuentas frescas (o envejecidas si hay gate), con el mismo tratamiento completo del pedido original.

Limitaciones importantes:

No cubre retiradas de auditoría post-cierre del concurso. Si una plataforma audita tras cerrar la ventana y retira votos antes de anunciar ganador, la fecha (más allá de 7 días) puede salirse de la ventana estándar. Quien espere ranking apretado debe discutir cobertura ampliada antes de pedir.

Cubre votos, no resultados. Si un competidor también compra y te pasa pese a entregar tu volumen completo, la garantía no cubre el resultado, solo la entrega del volumen comprado.

Exige que el concurso siga activo. La reposición solo puede entregarse mientras la votación esté abierta. Para concursos que cierran a 72 horas del pedido inicial, la capacidad de reposición es limitada si retiran en las últimas horas.

Quien entiende esos parámetros puede planificar: pedir con antelación para permitir reposición dentro de la ventana, confirmar la fecha clara en notas y mantener canal de chat con el proveedor en las últimas 24 horas.

Errores comunes a evitar

Pedir tarde. Los votos con alta requieren 24-168 horas de entrega. Pedir 12 horas antes del cierre garantiza que solo llegará una fracción a tiempo. Pide tan pronto como el ranking sea competitivo —idealmente 5-7 días antes del cierre para 1.000+ votos—.

Subespecificar el pedido. Una nota del estilo “necesito votos para este concurso” sin URL, país, OTP ni antigüedad retrasará el inicio mientras el proveedor pregunta. Usa el checklist de 10 puntos para que cada parámetro relevante quede capturado.

Elegir solo por precio. Como vimos en sección 10, votos con alta por debajo de 0,12-0,15 $/voto cargan riesgo serio. Un pedido barato cuyas cuentas bloquean al llegar cuesta más que uno bien tarifado que entrega limpio, porque el resultado del barato son cero votos efectivos sin recuperación antes del cierre.

No confirmar compatibilidad antes de pedidos grandes. Para plataformas inusuales o nuevas o que el proveedor no haya confirmado explícitamente, empieza con pedido de prueba (25-50 votos) antes de comprometer un grande. El precio por voto del test es mayor, pero el coste de confirmar es muy inferior al de un pedido grande fallido.

No monitorizar el ranking. Algunas retiradas pasan rápido, y la reposición puede iniciarse y completarse antes del cierre solo si lo notas. Programa recordatorio diario y contacta al proveedor de inmediato si baja o se estanca inesperadamente.

Anexo: citas de referencia

Las fuentes consultadas para esta guía. Citas para quien quiera verificar afirmaciones técnicas o consultar primarias.

1. NIST SP 800-63A — Enrollment and Identity Proofing Requirements (NIST). Define niveles de aseguramiento (IAL1-IAL3) y los requisitos de inscripción. Útil para entender por qué los concursos de consumo operan en IAL1 y qué implica para el diseño del flujo. https://pages.nist.gov/800-63-3/sp800-63a.html

2. NIST SP 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management (NIST). Define niveles de autenticador (AAL1-AAL3), ventanas de validez OTP (sec. 5.1.3: no más de cinco minutos) y principios de ciclo de vida. https://pages.nist.gov/800-63-3/sp800-63b.html

3. OWASP Authentication Cheat Sheet (OWASP). Cubre la reputación de IP como primera línea, análisis conductual en envío y requisitos de verificación de correo. https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html

4. OWASP Web Security Testing Guide — WSTG-IDENT-04: Testing for Account Enumeration and Guessable User Account (OWASP). Documenta la recolección de señales conductuales en flujos de alta, incluida la monitorización de la página de T&C. https://owasp.org/www-project-web-security-testing-guide/stable/4-Web_Application_Security_Testing/03-Identity_Management_Testing/04-Testing_for_Account_Enumeration_and_Guessable_User_Account

5. OWASP Web Security Testing Guide — WSTG-ATHN-007: Testing for Weak Password Policy (OWASP). Documenta el rango de exigencias de complejidad relevante para automatizar el alta. https://owasp.org/www-project-web-security-testing-guide/stable/4-Web_Application_Security_Testing/04-Authentication_Testing/07-Testing_for_Weak_Password_Policy

6. Twilio Verify API Documentation (Twilio). Referencia oficial del servicio SMS OTP que usa la mayoría de plataformas. Documenta validación de número, carrier lookup, rechazo VoIP y parámetros de entrega. https://www.twilio.com/docs/verify/api

7. Twilio — Phone Number Verification Best Practices (Twilio). Explica el carrier lookup, distinción entre móvil y VoIP y validaciones previas al despacho del OTP. Directamente relevante a por qué los pools VoIP fallan. https://www.twilio.com/docs/verify/phone-numbers

8. Woobox — Contest and Promotion Rules Documentation (Woobox). Documentación oficial sobre requisitos de entrada, opciones de login social, flujos de confirmación y funciones de integridad. https://woobox.com/faq

9. Gleam — Campaign Entry Methods: Sign-Up and Account Verification (Gleam.io). Documentación oficial sobre arquitectura de entradas, distinción entre nivel de cuenta y nivel de entrada y sistema multi-acción. https://gleam.io/features/competitions

10. Rafflecopter — Entry Method: Registration and Login Requirements (Rafflecopter). Documentación oficial sobre métodos disponibles, incluida confirmación de suscripción a newsletter y estructura del flujo. https://www.rafflecopter.com/raffle/features/

Publicado 2026-04-27. Esta guía cubre la mecánica de entrega de votos con alta a fecha del Q2 2026. El comportamiento por plataforma cambia con frecuencia; confirma los requisitos actuales con tu proveedor antes de pedidos grandes.