Has activado la función catch-all para tu dominio. Ahora, cada dirección mal escrita, inventada o generada por un bot llega a algún lugar de tu servidor. Pero ¿adónde exactamente? Depende de si configuraste un buzón catch-all o solo habilitaste una dirección catch-all, y la mayoría de las personas no se da cuenta de que son dos cosas distintas.
La dirección es una regla de enrutamiento. El buzón es donde queda el correo. Si los confundes, puedes acabar con el almacenamiento desbordado, cadenas de respuestas rotas y una reputación del dominio que se deteriora en un mes. Esta guía explica la diferencia técnica, muestra cómo funciona cada elemento en la capa SMTP y detalla la forma adecuada de configurarlos, tanto si gestionas un dominio como cincuenta.
Si todavía estás decidiendo si merece la pena habilitar esta función, empieza por nuestra guía completa sobre el correo catch-all de dominio.
¿Qué es un buzón catch-all y en qué se diferencia de una dirección catch-all?
Un buzón catch-all es un destino físico de almacenamiento: una bandeja de entrada real con credenciales de acceso, una cuota de almacenamiento y un endpoint IMAP. Conserva todos los mensajes que aceptó la dirección catch-all. En cambio, la dirección catch-all es una política virtual de enrutamiento. Le dice a tu servidor de correo: «No rechaces destinatarios desconocidos. Acéptalos». No almacena nada por sí sola. Solo abre la puerta.
Piénsalo así: la dirección es la decisión de dejar entrar a desconocidos en el edificio. El buzón es la habitación donde los instalas. Sin la regla de dirección, el correo desconocido rebota en la puerta. Sin el buzón, el correo aceptado no tiene adónde ir, y tu servidor lo descarta o lo deposita en la bandeja predeterminada que encuentre.
Cómo funciona la política de enrutamiento en la capa SMTP
Cuando llega un correo, tu agente de transferencia de correo comprueba el destinatario en un directorio de usuarios conocidos durante el saludo SMTP. Esto es lo que ocurre en cada situación.
Configuración estándar (sin catch-all):
SENDER: RCPT TO: <ghost@yourdomain.com>
YOUR SERVER: 550 5.1.1 User unknownLa conexión se cierra. No se transfieren datos. El remitente sabe de inmediato que la dirección no existe.
Catch-all habilitado:
SENDER: RCPT TO: <ghost@yourdomain.com>
YOUR SERVER: 250 2.1.5 OKTu servidor acepta el contenido completo del mensaje. No le importa que «ghost» no sea un usuario real. La política de enrutamiento ha prevalecido sobre la consulta al directorio.
Por eso es peligroso habilitar catch-all sin un destino adecuado de buzón catch-all. Estás diciendo a Internet que aceptarás correo para cualquier dirección de tu dominio, incluidos los miles de prefijos habituales que los remitentes de spam prueban durante los ataques de recopilación de directorios (admin@, invoice@, billing@, ceo@).
Tres formas de diseñar tu buzón catch-all
Cuando la dirección catch-all acepta un mensaje, este debe llegar a algún lugar. La forma de configurar ese destino determina el coste, la exposición de seguridad y el flujo de trabajo diario.
Opción A: buzón dedicado y aislado
Dirige todo el tráfico catch-all a un único buzón creado para ese fin, como catchall-store@domain.com. Nadie lo usa como bandeja principal. Lo revisas periódicamente para localizar correo legítimo mal encaminado y dejas que el resto caduque.
Ventaja: Separación clara. Tus usuarios reales nunca ven el spam ni el tráfico de bots. Es fácil aplicar filtros de spam estrictos sin afectar al correo de producción.
Desventaja: En plataformas como Google Workspace o Microsoft 365, este buzón cuesta una licencia de usuario completa: entre $6 y $30 al mes solo para almacenar basura.
Opción B: alias hacia la bandeja del administrador
Asigna el catch-all directamente a la bandeja principal del administrador o del director general. Se configura rápido. Es terrible para el uso diario.
En una semana, la relación entre señal y ruido se desploma. No puedes distinguir un correo de un cliente con una errata de la basura de los bots. Aparece la fatiga por alertas. Dejas de revisar la bandeja. Y entonces pierdes justo el correo que el catch-all debía salvar.
Opción C: aceptar y descartar
Aceptas el correo en la capa SMTP y lo eliminas inmediatamente. Esto evita costes de almacenamiento, pero crea un riesgo serio: si tu servidor genera un rebote después de aceptar el mensaje, se produce backscatter. Aceptas spam de un remitente suplantado y luego envías un informe de no entrega a un tercero inocente. Esto puede hacer que tu IP entre rápidamente en listas de bloqueo.
La regla: Si no quieres el correo, recházalo en el perímetro con un error 550. No lo aceptes con un 250 para después generar un rebote.
Comparación directa: dirección frente a buzón
| Característica | Dirección catch-all (política) | Buzón catch-all (almacenamiento) |
|---|---|---|
| Función | Enrutamiento y validación | Almacenamiento y acceso |
| Capa de protocolo | SMTP RCPT TO | IMAP / backend de almacenamiento |
| Existencia | Virtual / basada en reglas | Física / basada en base de datos |
| Coste | Opción de configuración gratuita | A menudo requiere una licencia de pago |
| Modo de fallo | Relay abierto / backscatter | Cuota excedida / denegación de servicio |
| Identidad de salida | N/A: regla solo de recepción | Responde como la dirección principal del buzón |
| Exposición al spam | Acepta todo sin discriminar | Almacena todo lo aceptado |
El problema de las respuestas: por qué falla la identidad de salida
Este es el vacío que la mayoría descubre demasiado tarde. Tu buzón catch-all puede recibir correo enviado a cualquier variante: partnerships@, billing-2024@, project-alpha@. Pero cuando pulsas «Responder», el mensaje sale desde la identidad real de acceso del buzón: catchall@yourdomain.com o, aún peor, admin@yourdomain.com.
Un posible cliente escribe a partnerships@yourdomain.com. El mensaje llega al buzón catch-all. Respondes. La otra persona ve «De: catchall@yourdomain.com». La apariencia profesional se rompe de inmediato.
Para responder como partnerships@, debes configurar ese alias de correo concreto en el buzón. Esto te devuelve a la configuración manual de cada conversación activa y frustra la promesa «dinámica» del catch-all.
Cómo lo gestionan los principales proveedores
Microsoft 365
Microsoft te obliga a desmontar parte de tu propia protección. Debes establecer el dominio como «Internal Relay», lo que desactiva el bloqueo perimetral basado en directorio. Después tienes que crear un buzón compartido para el almacenamiento y una regla de transporte para el enrutamiento. Si olvidas mantener un grupo de excepciones para usuarios válidos, la lógica catch-all intercepta correo destinado a personas reales.
Google Workspace
Google lo oculta en Aplicaciones > Gmail > Enrutamiento predeterminado. Debes especificar un patrón para destinatarios no reconocidos y cambiar el destinatario del sobre por tu buzón catch-all. Asignarlo a un grupo de Google evita el coste de una licencia, pero impide responder con esa identidad. Asignarlo a un usuario implica pagar la licencia.
TrekMail
Diseñamos esta función para que resulte sencilla. Activa catch-all en el panel, elige el buzón de destino en un menú desplegable y listo. Sin PowerShell. Sin reglas de transporte. Sin tener que debilitar estos controles de seguridad. El buzón catch-all utiliza almacenamiento compartido, por lo que no consumes una licencia adicional solo para recoger correo mal dirigido.
- Plan Nano ($0/mes): Correo con dominio personalizado y reenvío de correo básico, sin necesidad de tarjeta de crédito.
- Starter ($3.50/mes): Bandeja catch-all, varios alias y prueba gratuita de 14 días.
- Pro ($10/mes): Enrutamiento prioritario, capacidad de almacenamiento compartido ampliada y prueba gratuita de 14 días.
- Agency ($23.25/mes): Gestión de varios dominios, creación masiva de alias y prueba gratuita de 14 días.
Riesgo normativo: RGPD, HIPAA y los datos que no pediste
Habilitar una dirección catch-all significa que recopilas datos personales no solicitados de remitentes aleatorios. Según el artículo 5(1)(c) del RGPD, esto plantea un problema de minimización de datos. Con HIPAA puede ser peor: si un paciente escribe mal una dirección y envía información médica protegida a docter@hospital.com, el catch-all la acepta. Si el personal de TI puede acceder a ese buzón catch-all, podría existir una divulgación no autorizada y una brecha sujeta a notificación.
Las solicitudes de derecho de supresión se vuelven casi imposibles de gestionar cuando hay que buscar los datos de una persona entre cientos de miles de mensajes de spam. Si tratas información sensible, la opción más segura suele ser mantener catch-all desactivado y dejar que el error 550 indique al remitente que se ha equivocado.
Cuándo tiene sentido un buzón catch-all
Catch-all no siempre es una mala opción. Funciona bien en situaciones concretas:
- Dominios nuevos: Todavía no sabes qué direcciones utilizará la gente. Catch-all ayuda a evitar la pérdida de oportunidades durante los primeros meses.
- Adquisiciones y migraciones: Estás heredando un dominio y necesitas capturar correo de direcciones que aún no has asignado.
- Equipos pequeños con muchos alias públicos: Si utilizas alias en lugar de buzones independientes, catch-all cubre los huecos.
- Captación de contactos: Hay materiales impresos o páginas web antiguas que mencionan direcciones que nunca se crearon formalmente.
En todos estos casos, la clave es dirigir el correo a un buzón catch-all dedicado y aislado, no a tu bandeja principal, y revisarlo con una periodicidad definida.
Lista de configuración: cómo hacerlo bien
- Crea un buzón dedicado (por ejemplo,
catchall@yourdomain.com). No reutilices la bandeja del administrador. - Habilita la dirección catch-all en la política de enrutamiento de tu proveedor.
- Dirígela al buzón dedicado. No a un grupo. Tampoco a /dev/null.
- Establece una cuota de almacenamiento. Si el buzón se llena y tu servidor empieza a generar rebotes, estarás creando backscatter.
- Aplica un filtrado de spam estricto específicamente al buzón catch-all.
- Programa revisiones semanales. Busca correo legítimo mal dirigido. Convierte las direcciones reales en alias adecuados.
- Supervisa la reputación del dominio. Si aumenta tu tasa de rebotes o apareces en una lista de bloqueo, el catch-all debe ser uno de los primeros elementos que audites.
¿Necesitas ayuda para configurar correo con dominio personalizado antes del catch-all? Esa guía explica desde cero el DNS, los registros MX y la verificación.
Conclusión: separa la regla de la habitación
Una dirección catch-all es una decisión de enrutamiento: dejar entrar a todos. Un buzón catch-all es el lugar donde terminan. Si habilitas la dirección sin proteger el buzón, creas una bomba de almacenamiento. Si proteges el buzón pero configuras mal la lógica de dirección, puedes crear un bucle de enrutamiento.
La solución es sencilla: trátalos como dos componentes distintos. Define la política, prepara el almacenamiento y mantenlos aislados de tu correo de producción. Si quieres que esto se gestione de forma integrada, con un selector catch-all, almacenamiento compartido y sin coste por una licencia adicional, el plan Starter de TrekMail lo incluye por $3.50 al mes con una prueba gratuita de 14 días.
