ההבדל בין תיבת catch-all לכתובת

הפעלתם catch-all בדומיין. כעת כל כתובת שגויה, מנוחשת או שנוצרה בידי בוט מגיעה למקום כלשהו בשרת. אבל לאן בדיוק? הדבר תלוי בשאלה אם הגדרתם תיבת catch-all או רק הפעלתם כתובת catch-all, ורוב האנשים אינם מבינים שאלו שני דברים נפרדים.

הכתובת היא כלל ניתוב. התיבה היא המקום שבו הדואר נשמר. בלבול ביניהן עלול ליצור חריגות אחסון, שרשראות תשובה שבורות ומוניטין דומיין שמידרדר בתוך חודש. המדריך מפרט את ההבדל הטכני, מראה כיצד כל רכיב פועל ברמת SMTP ומסביר הגדרה נכונה, בין שאתם מפעילים דומיין אחד ובין שחמישים.

אם אתם עדיין שוקלים אם כדאי בכלל להפעיל catch-all, התחילו במדריך המלא שלנו לדוא"ל catch-all בדומיין.

מהי תיבת catch-all וכיצד היא שונה מכתובת catch-all?

תיבת catch-all היא יעד אחסון ממשי, כלומר תיבת דואר אמיתית עם פרטי כניסה, מכסת אחסון ונקודת קצה של IMAP. היא שומרת כל הודעה שכתובת ה-catch-all קיבלה. הכתובת, לעומתה, היא מדיניות ניתוב וירטואלית. היא אומרת לשרת: "אל תדחה נמענים לא מוכרים. קבל אותם." היא אינה מאחסנת דבר בעצמה, אלא רק פותחת את השער.

אפשר לחשוב כך: הכתובת היא ההחלטה להכניס זרים לבניין, והתיבה היא החדר שבו שמים אותם. בלי כלל הכתובת, דואר לא מוכר נדחה בדלת. בלי התיבה, לדואר שהתקבל אין יעד, והשרת משליך אותו או מכניס אותו לתיבת ברירת מחדל שמצא.

כיצד מדיניות הניתוב פועלת ברמת SMTP

כשדוא"ל מגיע, ה-Mail Transfer Agent בודק את הנמען מול ספריית משתמשים מוכרים במהלך לחיצת היד של SMTP. כך פועל כל תרחיש.

הגדרה רגילה (ללא catch-all):

SENDER: RCPT TO: <ghost@yourdomain.com>
YOUR SERVER: 550 5.1.1 User unknown

החיבור נסגר, נתונים אינם מועברים והשולח יודע מיד שהכתובת אינה קיימת.

catch-all מופעל:

SENDER: RCPT TO: <ghost@yourdomain.com>
YOUR SERVER: 250 2.1.5 OK

השרת מקבל את מלוא תוכן ההודעה. לא משנה לו ש-"ghost" אינו משתמש אמיתי, משום שמדיניות הניתוב גברה על בדיקת הספרייה.

לכן מסוכן להפעיל catch-all ללא יעד מתאים בתיבת catch-all. אתם מודיעים לאינטרנט שתקבלו דואר לכל כתובת בדומיין, כולל אלפי תחיליות נפוצות ששולחי ספאם מנסים במתקפות איסוף ספרייה (admin@, invoice@, billing@, ceo@).

שלוש דרכים לתכנן תיבת catch-all

לאחר שכתובת ה-catch-all מקבלת הודעה, עליה להגיע למקום כלשהו. אופן הגדרת היעד קובע את העלות, החשיפה האבטחתית ושגרת העבודה.

אפשרות A: תיבת בידוד ייעודית

נתבו את כל תעבורת ה-catch-all לתיבה ייעודית אחת כמו catchall-store@domain.com. איש אינו משתמש בה כתיבה ראשית. בדקו אותה מפעם לפעם לאיתור דואר לגיטימי שנותב בטעות והניחו ליתר להצטבר.

יתרון: הפרדה נקייה. המשתמשים האמיתיים אינם רואים ספאם או תעבורת בוטים, וקל להחיל מסננים תקיפים בלי להשפיע על דואר הייצור.

חיסרון: בפלטפורמות כמו Google Workspace או Microsoft 365 התיבה דורשת רישיון משתמש מלא, כלומר $6 עד $30/month רק כדי לאחסן דואר מיותר.

אפשרות B: כינוי לתיבת המנהל

מפו את ה-catch-all ישירות לתיבה הראשית של המנהל או המנכ"ל. ההגדרה מהירה, אך השימוש היומיומי קשה.

בתוך שבוע היחס בין מידע שימושי לרעש קורס. אי אפשר להבחין בין הודעת לקוח עם שגיאת כתיב לאשפה מבוטים. עייפות ההתראות מצטברת ומפסיקים לבדוק, ואז מפספסים בדיוק את ההודעה שה-catch-all נועד להציל.

אפשרות C: קבלה ומחיקה

קבלו את הדואר ברמת SMTP ומחקו אותו מיד. כך נמנעת עלות אחסון, אך נוצר סיכון רציני: אם השרת מייצר הודעת החזרה אחרי קבלת ההודעה, זהו backscatter. אתם מקבלים ספאם משולח מזויף ואז שולחים Non-Delivery Report לצד שלישי חף מפשע, דבר שעלול להכניס את כתובת ה-IP במהירות לרשימת חסימה.

הכלל: אם אינכם רוצים את הדואר, דחו אותו בקצה בשגיאת 550. אל תקבלו ב-250 ואז תחזירו.

השוואה ישירה: כתובת מול תיבה

בעיית התשובה: מדוע הזהות היוצאת נשברת

זהו הפער שרוב האנשים מגלים מאוחר מדי. תיבת catch-all יכולה לקבל דואר שנשלח לכל גרסה, כגון partnerships@, billing-2024@ או project-alpha@. אך כשלוחצים על "השב", ההודעה יוצאת מזהות הכניסה האמיתית של התיבה: catchall@yourdomain.com או גרוע מכך, admin@yourdomain.com.

לקוח פוטנציאלי שולח ל-partnerships@yourdomain.com וההודעה מגיעה לתיבת catch-all. אתם משיבים והוא רואה "מאת: catchall@yourdomain.com". הרושם המקצועי נשבר מיד.

כדי להשיב בתור partnerships@, צריך להגדיר בתיבה את כינוי הדוא"ל המסוים. כך חוזרים להגדרה ידנית לכל שיחה פעילה ומבטלים את ההבטחה ה"דינמית" של catch-all.

כיצד ספקים גדולים מטפלים בכך

Microsoft 365

Microsoft דורשת לשנות שכבת אבטחה. צריך להגדיר את הדומיין כ-"Internal Relay", דבר שמכבה Directory-Based Edge Blocking, ואז ליצור Shared Mailbox לאחסון ו-Transport Rule לניתוב. אם לא מתחזקים קבוצת חריגים למשתמשים תקינים, לוגיקת ה-catch-all עלולה לקחת דואר שנועד לאנשים אמיתיים.

Google Workspace

Google מציבה זאת תחת Apps > Gmail > Default Routing. מגדירים תבנית לנמענים לא מזוהים ומשנים את נמען המעטפה לתיבת catch-all. מיפוי ל-Google Group עשוי לחסוך רישיון אך מבטל את אפשרות התשובה. מיפוי למשתמש מחייב תשלום עבור המושב.

TrekMail

בנינו תהליך ישיר. מפעילים catch-all בלוח הבקרה, בוחרים את תיבת היעד מרשימה ומסיימים. אין PowerShell, אין כללי תעבורה ואין פשרות אבטחה מיותרות. תיבת ה-catch-all משתמשת באחסון משותף, ולכן אין צורך לצרוך מושב נוסף רק לאיסוף דואר שהופנה בטעות.

• מסלול Nano ($0/mo): דוא"ל בדומיין מותאם אישית עם העברת דוא"ל בסיסית, ללא צורך בכרטיס.
• Starter ($3.50/mo): תיבת catch-all, כינויים מרובים וניסיון חינם ל-14 יום.
• Pro ($10/mo): ניתוב בעדיפות, מאגר אחסון מורחב וניסיון חינם ל-14 יום.
• Agency ($23.25/mo): ניהול דומיינים מרובים, יצירת כינויים בכמות וניסיון חינם ל-14 יום.

סיכון ציות: GDPR,‏ HIPAA והנתונים שלא ביקשתם

הפעלת כתובת catch-all פירושה איסוף מידע אישי שלא ביקשתם משולחים אקראיים. לפי GDPR Article 5(1)(c), זו עלולה להיות בעיית מזעור נתונים. תחת HIPAA המצב חמור יותר: אם מטופל טועה בכתובת ושולח מידע רפואי מוגן אל docter@hospital.com, catch-all מקבל אותו. אם צוות IT יכול לגשת אל תיבת ה-catch-all, עלולה להיווצר חשיפה לא מורשית והפרה המחייבת דיווח.

בקשות לזכות למחיקה נעשות כמעט בלתי אפשריות כשצריך לסרוק מאות אלפי הודעות ספאם כדי למצוא נתונים של אדם אחד. אם אתם מטפלים במידע רגיש, האפשרות הבטוחה ביותר היא להשאיר catch-all כבוי ולתת לשגיאת 550 להודיע לשולח שטעה.

מתי תיבת catch-all באמת מתאימה

catch-all אינו תמיד שגוי. הוא פועל היטב במצבים מסוימים:

• דומיינים חדשים: עדיין אינכם יודעים באילו כתובות אנשים ישתמשו, ו-catch-all מונע אובדן לידים בחודשים הראשונים.
• רכישות והעברות: אתם מקבלים דומיין וצריכים ללכוד דואר לכתובות שטרם מיפיתם.
• צוותים קטנים עם כינויים ציבוריים רבים: אם אתם משתמשים בכינויים במקום תיבות נפרדות, catch-all משלים את הפערים.
• לכידת לידים: חומר מודפס או דפי רשת ישנים מפנים לכתובות שמעולם לא נוצרו רשמית.

בכל המקרים האלה, המפתח הוא ניתוב לתיבת catch-all ייעודית ומבודדת, לא לתיבה הראשית, ובדיקה שלה לפי לוח זמנים.

רשימת בדיקה להגדרה נכונה

1. צרו תיבה ייעודית, למשל catchall@yourdomain.com. אל תשתמשו שוב בתיבת המנהל.
2. הפעילו את כתובת ה-catch-all כמדיניות ניתוב בהגדרות הספק.
3. הפנו אותה לתיבה הייעודית. לא לקבוצה ולא ל-/dev/null.
4. הגדירו מכסת אחסון. אם התיבה מתמלאת והשרת מתחיל להחזיר הודעות, אתם יוצרים backscatter.
5. החילו סינון ספאם תקיף במיוחד על תיבת ה-catch-all.
6. קבעו בדיקה שבועית. חפשו דואר לגיטימי שהופנה בטעות והפכו כתובות אמיתיות לכינויים תקינים.
7. נטרו את מוניטין הדומיין. אם שיעור ההחזרות עולה או נכנסתם לרשימת חסימה, בדקו קודם את ה-catch-all.

זקוקים לעזרה בהגדרת דוא"ל בדומיין מותאם אישית לפני catch-all? המדריך ההוא מסביר DNS, רשומות MX ואימות מההתחלה.

סיכום: הפרידו את הכלל מהחדר

כתובת catch-all היא החלטת ניתוב להכניס את כולם. תיבת catch-all היא המקום שאליו כולם מגיעים. הפעלת הכתובת בלי לאבטח את התיבה יוצרת פצצת אחסון. אבטחת התיבה עם לוגיקת כתובת שגויה יוצרת לולאת ניתוב.

הפתרון פשוט: התייחסו אליהם כשני רכיבים נפרדים. הגדירו את המדיניות, בנו את האחסון והשאירו אותם מבודדים מדואר הייצור. אם תרצו טיפול אוטומטי, עם מתג catch-all, אחסון משותף וללא תשלום לפי משתמש, מסלול Starter של TrekMail מציע זאת ב-$3.50/month עם ניסיון חינם ל-14 יום.