Vous avez activé la fonction catch-all pour votre domaine. Désormais, chaque adresse mal saisie, devinée ou générée par un robot arrive quelque part sur votre serveur. Mais où exactement? Cela dépend de la création d'une boîte catch-all ou de la simple activation d'une adresse catch-all, et la plupart des gens ignorent qu'il s'agit de deux éléments distincts.
L'adresse est une règle de routage. La boîte est l'endroit où le courrier reste stocké. Les confondre peut entraîner un dépassement de stockage, des fils de réponse rompus et une réputation de domaine qui se dégrade en un mois. Ce guide détaille la différence technique, explique le fonctionnement de chaque élément au niveau SMTP et présente la bonne configuration, que vous gériez un seul domaine ou cinquante.
Si vous cherchez encore à savoir si le catch-all mérite d'être activé, commencez par notre guide complet de l'e-mail catch-all sur un domaine.
Qu'est-ce qu'une boîte catch-all et en quoi diffère-t-elle d'une adresse catch-all?
Une boîte catch-all est une destination de stockage physique: une véritable boîte de réception avec des identifiants de connexion, un quota de stockage et un point de terminaison IMAP. Elle conserve chaque message accepté par l'adresse catch-all. À l'inverse, l'adresse catch-all est une politique de routage virtuelle. Elle indique à votre serveur de messagerie: «Ne rejette pas les destinataires inconnus. Accepte-les.» Elle ne stocke rien elle-même. Elle ne fait qu'ouvrir la porte.
Voyez les choses ainsi: l'adresse correspond à la décision de laisser des inconnus entrer dans le bâtiment. La boîte est la pièce dans laquelle vous les placez. Sans la règle d'adresse, le courrier inconnu est rejeté à l'entrée. Sans la boîte, le courrier accepté n'a nulle part où aller, et votre serveur le supprime ou le dépose dans la première boîte par défaut qu'il trouve.
Fonctionnement de la politique de routage au niveau SMTP
Lorsqu'un e-mail arrive, votre agent de transfert de courrier vérifie le destinataire dans un annuaire d'utilisateurs connus pendant le dialogue SMTP. Voici ce qui se passe dans chaque scénario.
Configuration standard (sans catch-all):
SENDER: RCPT TO: <ghost@yourdomain.com>
YOUR SERVER: 550 5.1.1 User unknownLa connexion se ferme. Aucune donnée n'est transférée. L'expéditeur sait immédiatement que l'adresse n'existe pas.
Catch-all activé:
SENDER: RCPT TO: <ghost@yourdomain.com>
YOUR SERVER: 250 2.1.5 OKVotre serveur accepte l'intégralité du contenu du message. Le fait que «ghost» ne soit pas un véritable utilisateur ne lui importe pas. La politique de routage a pris le pas sur la consultation de l'annuaire.
C'est pourquoi activer le catch-all sans destination correcte de boîte catch-all est dangereux. Vous annoncez à Internet que vous accepterez le courrier destiné à n'importe quelle adresse de votre domaine, y compris les milliers de préfixes courants testés par les spammeurs lors des attaques par collecte d'adresses (admin@, invoice@, billing@, ceo@).
Trois architectures pour votre boîte catch-all
Une fois qu'une adresse catch-all a accepté un message, celui-ci doit arriver quelque part. La configuration de cette destination détermine vos coûts, votre exposition aux risques de sécurité et votre organisation quotidienne.
Option A: boîte dédiée et isolée
Acheminez tout le trafic catch-all vers une boîte unique créée à cet effet, telle que catchall-store@domain.com. Personne ne l'utilise comme boîte principale. Vous la consultez périodiquement pour repérer le courrier légitime mal acheminé et laissez le reste expirer.
Avantage: Séparation nette. Vos véritables utilisateurs ne voient jamais le spam ni le trafic des robots. Vous pouvez facilement appliquer des filtres antispam stricts sans affecter le courrier de production.
Inconvénient: Sur des plateformes comme Google Workspace ou Microsoft 365, cette boîte coûte une licence utilisateur complète, soit $6 à $30 par mois uniquement pour stocker des messages indésirables.
Option B: alias vers la boîte de l'administrateur
Associez directement le catch-all à la boîte principale de votre administrateur ou de votre direction. La configuration est rapide. L'utilisation quotidienne est pénible.
En une semaine, le rapport signal-bruit s'effondre. Vous ne distinguez plus l'e-mail mal saisi d'un client des déchets envoyés par des robots. La fatigue liée aux alertes s'installe. Vous cessez de consulter la boîte. Puis vous manquez précisément le message que le catch-all était censé sauver.
Option C: accepter et supprimer
Acceptez le courrier au niveau SMTP, puis supprimez-le immédiatement. Cette méthode évite les coûts de stockage, mais présente un risque sérieux: si votre serveur génère un rejet après avoir accepté le message, il produit du backscatter. Vous acceptez du spam provenant d'un expéditeur usurpé, puis envoyez un rapport de non-remise à un tiers innocent. Votre adresse IP risque alors d'être rapidement placée sur une liste de blocage.
La règle: Si vous ne voulez pas du courrier, rejetez-le en périphérie avec une erreur 550. Ne l'acceptez pas avec un code 250 pour ensuite produire un rejet.
Comparaison directe: adresse et boîte
| Caractéristique | Adresse catch-all (politique) | Boîte catch-all (stockage) |
|---|---|---|
| Fonction | Routage et validation | Stockage et accès |
| Couche de protocole | SMTP RCPT TO | IMAP / infrastructure de stockage |
| Existence | Virtuelle / fondée sur des règles | Physique / fondée sur une base de données |
| Coût | Option de configuration gratuite | Nécessite souvent une licence payante |
| Mode de défaillance | Relais ouvert / backscatter | Quota dépassé / déni de service |
| Identité d'envoi | N/A: règle de réception uniquement | Répond avec l'adresse principale de la boîte |
| Exposition au spam | Accepte tout sans distinction | Stocke tout ce qui a été accepté |
Le problème des réponses: pourquoi l'identité d'envoi ne suit pas
Voici la lacune que la plupart des utilisateurs découvrent trop tard. Votre boîte catch-all peut recevoir le courrier envoyé à n'importe quelle variante: partnerships@, billing-2024@, project-alpha@. Mais lorsque vous cliquez sur «Répondre», le message sortant provient de l'identité de connexion réelle de la boîte: catchall@yourdomain.com, voire admin@yourdomain.com.
Un prospect écrit à partnerships@yourdomain.com. Son message arrive dans votre boîte catch-all. Vous répondez. Il voit «De: catchall@yourdomain.com». L'apparence professionnelle disparaît immédiatement.
Pour répondre en tant que partnerships@, vous devez configurer cet alias d'e-mail précis sur la boîte. Vous revenez donc à une configuration manuelle pour chaque conversation active, ce qui annule la promesse «dynamique» du catch-all.
La gestion par les principaux fournisseurs
Microsoft 365
Microsoft vous impose de désactiver une partie de votre propre protection. Vous devez définir le domaine comme «Internal Relay», ce qui désactive le blocage en périphérie fondé sur l'annuaire. Il faut ensuite créer une boîte partagée pour le stockage et une règle de transport pour le routage. Si vous oubliez de maintenir un groupe d'exceptions pour les utilisateurs valides, la logique catch-all intercepte le courrier destiné à de vraies personnes.
Google Workspace
Google place ce réglage sous Applications > Gmail > Routage par défaut. Vous définissez un modèle pour les destinataires non reconnus et remplacez le destinataire d'enveloppe par votre boîte catch-all. L'association à un groupe Google évite le coût d'une licence, mais empêche de répondre sous cette identité. L'association à un utilisateur exige une licence payante.
TrekMail
Nous avons conçu cette fonction pour qu'elle soit simple. Activez le catch-all dans le tableau de bord, choisissez la boîte de destination dans une liste déroulante et la configuration est terminée. Aucun PowerShell. Aucune règle de transport. Aucun besoin d'affaiblir ces contrôles de sécurité. La boîte catch-all utilise un stockage mutualisé, vous ne consommez donc pas de licence supplémentaire uniquement pour recueillir le courrier mal adressé.
- Offre Nano ($0/mois): E-mail sur domaine personnalisé avec transfert d'e-mails de base, sans carte bancaire.
- Starter ($3.50/mois): Boîte catch-all, plusieurs alias et essai gratuit de 14 jours.
- Pro ($10/mois): Routage prioritaire, capacité de stockage mutualisée étendue et essai gratuit de 14 jours.
- Agency ($23.25/mois): Gestion de plusieurs domaines, création groupée d'alias et essai gratuit de 14 jours.
Risque de conformité: RGPD, HIPAA et les données que vous n'avez pas demandées
Activer une adresse catch-all signifie collecter des données personnelles non sollicitées envoyées par des expéditeurs quelconques. Au regard de l'article 5(1)(c) du RGPD, cela pose un problème de minimisation des données. Avec la loi HIPAA, la situation peut être plus grave: si un patient saisit mal une adresse et envoie des informations de santé protégées à docter@hospital.com, le catch-all les accepte. Si le personnel informatique peut accéder à cette boîte catch-all, il peut s'agir d'une divulgation non autorisée et d'une violation à déclarer.
Les demandes de droit à l'effacement deviennent presque impossibles à traiter lorsqu'il faut parcourir des centaines de milliers de spams pour retrouver les données d'une personne. Si vous gérez des informations sensibles, la solution la plus sûre consiste généralement à laisser le catch-all désactivé et à laisser l'erreur 550 signaler la faute de saisie à l'expéditeur.
Quand une boîte catch-all est réellement pertinente
Le catch-all n'est pas toujours un mauvais choix. Il convient à certaines situations:
- Nouveaux domaines: Vous ne savez pas encore quelles adresses les utilisateurs choisiront. Le catch-all aide à éviter la perte de prospects pendant les premiers mois.
- Acquisitions et migrations: Vous reprenez un domaine et devez recueillir le courrier d'adresses qui ne sont pas encore associées.
- Petites équipes ayant de nombreux alias publics: Si vous utilisez des alias plutôt que des boîtes distinctes, le catch-all comble les lacunes.
- Collecte de prospects: Des supports imprimés ou d'anciennes pages web mentionnent des adresses qui n'ont jamais été créées officiellement.
Dans tous ces cas, il est essentiel d'acheminer le courrier vers une boîte catch-all dédiée et isolée, et non vers votre boîte principale, puis de la consulter à intervalles réguliers.
Liste de configuration: procéder correctement
- Créez une boîte dédiée (par exemple
catchall@yourdomain.com). Ne réutilisez pas votre boîte d'administration. - Activez l'adresse catch-all dans la politique de routage de votre fournisseur.
- Dirigez-la vers la boîte dédiée. Pas vers un groupe. Pas vers /dev/null.
- Définissez un quota de stockage. Si la boîte est pleine et que votre serveur commence à produire des rejets, vous générez du backscatter.
- Appliquez un filtrage antispam strict spécifiquement à la boîte catch-all.
- Planifiez une vérification hebdomadaire. Recherchez le courrier légitime mal acheminé. Transformez les véritables adresses en alias appropriés.
- Surveillez la réputation du domaine. Si votre taux de rejet augmente ou si vous apparaissez sur une liste de blocage, le catch-all doit être l'un des premiers éléments audités.
Besoin d'aide pour configurer un e-mail sur domaine personnalisé avant le catch-all? Ce guide présente le DNS, les enregistrements MX et la vérification depuis le début.
Conclusion: séparez la règle de la pièce
Une adresse catch-all est une décision de routage: laisser entrer tout le monde. Une boîte catch-all est l'endroit où tous les messages arrivent. Activer l'adresse sans protéger la boîte revient à créer une bombe de stockage. Protéger la boîte tout en configurant mal la logique d'adresse peut créer une boucle de routage.
La solution est simple: traitez-les comme deux composants distincts. Définissez la politique, préparez le stockage et isolez-les de votre messagerie de production. Si vous souhaitez une gestion intégrée avec activation du catch-all, stockage mutualisé et aucune licence supplémentaire, l'offre Starter de TrekMail l'inclut à $3.50 par mois avec un essai gratuit de 14 jours.
