Se for uma grande onda recente, eu apostaria que é algum tipo de bot… grande parte da internet já está sob ataques constantes de bots… essas contas permanecerão inúteis até serem ativadas, então não entendo muito bem por que alguém criaria e abandonaria essas contas.
Alguém criou uma conta, nunca verificou o e-mail e, portanto, não consegue fazer login. Sem ativar uma conta, ela nunca terá um registro de “visto”.
O Discourse é uma grande API, então alguém pode acessar diretamente os mesmos endpoints que a interface usa para criar uma conta. Certamente é possível automatizar esse processo, embora quem faça isso precise contornar os limites de taxa (rate limits) para criar muitas contas rapidamente.
Em admin/users/list/new, há um filtro “não ativada”.
A partir daqui, você pode clicar no ícone sobre o avatar no cabeçalho da tabela para entrar no modo de seleção em massa. Você pode excluir contas dessa maneira, se necessário.
O Discourse exclui automaticamente essas contas após 14 dias, por padrão, desde que não tenham posts; a configuração do site relevante é purge_unactivated_users_grace_period_days.
Se você selecionar um dos usuários e acessar a página de administração dele, também poderá usar o botão “busca por IP” para ver contas associadas ao mesmo IP. Se várias contas estiverem associadas, você receberá a opção de excluí-las:
Você não precisa fazer nada manualmente e pode contar com a purga automática… mas talvez valha a pena ficar de olho se houver muitas contas ou se algumas estiverem sendo ativadas para criar spam.
Há algum padrão? Mesma localização? Mesmo IP? Mesmo domínio de e-mail? Você pode considerar adicionar mais proteções se houver algum indício do tipo.
