Casella catch-all: 3 modelli di configurazione sicuri

Una casella catch-all indica al server di accettare ogni messaggio inviato al dominio, anche se il destinatario non esiste. Invece di respingere typo@yourdomain.com con un errore 550, il server accetta il contenuto. Può essere utile, ma apre anche una via a spam, phishing e attacchi di raccolta degli indirizzi.

Senza protezioni, un catch-all può aumentare rapidamente la posta indesiderata e danneggiare la reputazione del dominio in base a volume, filtri e risposta operativa. Attivarlo è semplice; isolarlo e gestirlo bene è la parte difficile.

Questa guida presenta tre modelli di isolamento per ridurre i rischi su Microsoft 365, uno stack Linux o Google Workspace. L'implementazione esatta dipende da versione, topologia e regole del provider. Se non sapete ancora se vi serve, leggete prima la spiegazione del catch-all di dominio.

Cos'è una casella catch-all?

È una casella che riceve i messaggi inviati al dominio quando nessun indirizzo esistente corrisponde al destinatario. Se qualcuno scrive a misspelled-name@yourdomain.com, il messaggio raggiunge la casella designata invece di essere respinto.

Il server accetta quindi tutto ciò che corrisponde alla regola. Bot di spam, tentativi di phishing e scansioni automatiche possono ricevere una risposta 250 OK. Senza isolamento e filtraggio adeguati, questo traffico si mescola alla posta legittima e può incidere su sicurezza, operazioni e reputazione.

La regola principale: mai inoltrare a una casella primaria

In alcune configurazioni, il traffico catch-all aggira il blocco perimetrale basato sulla directory (DBEB), facendo accettare il contenuto prima di convalidare un normale destinatario. Indirizzarlo a ceo@company.com o a un'altra casella attiva crea un rischio di sicurezza e rumore operativo.

Tutti i modelli seguenti applicano lo stesso principio: isolare il flusso catch-all dalla posta di produzione.

Modello 1: deposito di quarantena (Microsoft 365 / Exchange)

Questo approccio può servire alle organizzazioni che devono conservare la posta catch-all per motivi legali o di e-discovery senza generare notifiche continue. Va convalidato rispetto agli obblighi di conservazione e conformità.

Come funziona

1. Ricezione: il server accetta posta per destinatari sconosciuti.
2. Marcatura: una regola di trasporto identifica un messaggio esterno non indirizzato a un utente valido.
3. Classificazione: la regola imposta il livello di attendibilità spam (SCL) su 9, un valore elevato.
4. Archiviazione: il messaggio viene indirizzato a una casella condivisa come catchall-sink@yourdomain.com.

Configurazione PowerShell

Prima impostate il dominio su "Internal Relay" nel centro di amministrazione Exchange, disattivando DBEB per questo flusso. Dopo aver valutato l'effetto sull'ambiente, eseguite:

# Create the sink (shared mailbox - no license needed)
New-Mailbox -Shared -Name "CatchAll Sink" -PrimarySmtpAddress catchall-sink@yourdomain.com

# Create the transport rule
New-TransportRule -Name "Catch-All Routing & Suppression"
    -FromScope "NotInOrganization"
    -SentTo "catchall-sink@yourdomain.com"
    -RedirectMessageTo "catchall-sink@yourdomain.com"
    -SetSCL 9
    -ExceptIfRecipientBelongsTo "All Valid Users Group"

Perché SCL 9? In questa configurazione, SCL 9 classifica i messaggi come indesiderati secondo le regole Exchange. Controllate la casella con una frequenza definita, per esempio ogni settimana, e verificate conservazione ed eccezioni.

Modello 2: flusso marcato (Postfix / Linux)

In uno stack Postfix e Dovecot gestito internamente, una casella separata può essere superflua. In alternativa, inserite un'intestazione e lasciate alle regole lato server o client la separazione del traffico.

Come funziona

1. Ricezione: luser_relay accetta il messaggio per destinatari locali sconosciuti.
2. Modifica: l'MTA inserisce l'intestazione X-Catch-All: True.
3. Filtraggio: regole Sieve spostano il messaggio in una cartella dedicata.

Configurazione Postfix

# /etc/postfix/main.cf
# Route unknown local users to a specific alias
luser_relay = catchall_alias

# /etc/postfix/virtual
# Map the alias to a real user
catchall_alias    realuser@yourdomain.com

Importante: luser_relay funziona solo per domini locali. Per più domini virtuali, usate virtual_alias_maps con un carattere jolly quando configurazione e ordine delle mappe sono compatibili:

# /etc/postfix/virtual
@example.com      realuser@example.com

Se configurate l'inoltro della posta insieme alle regole catch-all, assicuratevi che le mappe virtuali non si sovrappongano. Regole concorrenti possono inviare i messaggi alla destinazione sbagliata.

Filtro Sieve

Non affidatevi alla vista per separare il traffico. Automatizzate il filtro e provate le intestazioni realmente conservate dall'MTA:

if header :contains "X-Original-To" "catchall_alias" {
    fileinto "Junk/CatchAll";
    stop;
}

Modello 3: carattere jolly parziale (routing con espressioni regolari)

Questo approccio è più restrittivo quando non serve un vero catch-all. Invece di accettare *@domain.com, permette soltanto determinati modelli, come sales-*@domain.com, e respinge gli altri.

Come funziona

Configurate l'MTA o il provider affinché accetti indirizzi corrispondenti a un'espressione regolare, per esempio sales-webinar@ e sales-q1@, respingendo obiettivi più rischiosi come admin@ o hr@. Sintassi e disponibilità variano tra provider.

Configurazione Google Workspace

1. Andate in Apps > Google Workspace > Gmail > Default Routing.
2. In Specify Envelope Recipients, selezionate "Pattern Match".
3. Inserite l'espressione: ^sales-.*@yourdomain\.com$
4. Impostate l'azione per cambiare il destinatario della busta in sales-team@yourdomain.com.

Risultato atteso: sales-promo@yourdomain.com viene accettato e admin@yourdomain.com respinto con 550 se la regola è attiva e nessun altro routing corrisponde. Questo può ridurre sensibilmente la superficie esposta agli attacchi di raccolta degli indirizzi.

Gli indirizzi devono funzionare come alias email? Potete combinare caratteri jolly parziali e inoltro degli alias quando provider, autenticazione e regole di consegna lo supportano.

Come evitare un ciclo di routing del catch-all

Uno dei guasti più pericolosi è il ciclo di routing. Può verificarsi così:

1. Il catch-all accetta posta per ghost@domain.com.
2. Una regola la inoltra automaticamente a external@gmail.com.
3. Gmail la respinge per un errore SPF/DMARC.
4. Gmail rimanda l'NDR a ghost@domain.com.
5. Il catch-all accetta il messaggio di mancato recapito.
6. La regola lo inoltra nuovamente a Gmail.
7. Il ciclo continua finché non viene superato MaxHopCount.

Possono comparire errori come 5.4.14 Hop count exceeded o 5.4.6 Routing loop detected. Su un dominio trafficato, la coda in uscita può aumentare e attivare blocchi antispam in poche ore, secondo i limiti e i controlli del provider.

Elenco di prevenzione

• Controllate le intestazioni: verificate che l'MTA rispetti X-Loop e Delivered-To nel percorso reale.
• Bloccate le risposte automatiche: configurate le regole affinché ignorino i messaggi con intestazione Auto-Submitted: auto-generated.
• Particolarità di Microsoft 365: la policy antispam in uscita blocca normalmente l'inoltro esterno per impostazione predefinita, con l'errore 5.7.520 Access denied. Abilitarlo in Outbound Spam Filter Policy può aumentare il rischio di backscatter; valutate con attenzione e provate la configurazione.

Per approfondire i rischi dell'inoltro tra provider, consultate la guida sull'inoltro degli alias email.

Perché esistono tanti catch-all e quando evitarli

Molte aziende attivano un catch-all per ridurre il costo delle licenze per utente. Se servono support@, billing@ e jobs@, ma non volete pagare $18/mese per ogni utente Google o Microsoft, può sembrare una soluzione intelligente.

Senza controlli adeguati diventa debito tecnico e un rischio per la reputazione.

Un'alternativa è un provider che non addebita per utente. TrekMail descrive spazio condiviso anziché prezzi per postazione:

• Piano Nano: $0, senza carta.
• Starter: $3.50/mese con prova di 14 giorni.
• Pro: $10/mese con prova di 14 giorni.
• Agency: $23.25/mese con prova di 14 giorni.

Entro i limiti del piano, potete creare support@, billing@ e jobs@ come vere caselle o alias sul dominio personalizzato. Poiché esistono nella directory, un server configurato correttamente può respingere i destinatari non validi a monte con una risposta 550. Questo può ridurre il rischio per la reputazione, che dipende anche da autenticazione, contenuto, volume e pratiche di invio. Tali indirizzi non richiedono i modelli catch-all descritti sopra.

Se gestite più domini come MSP o azienda in crescita, confrontate costi e carico operativo prima di mantenere soluzioni improvvisate. La casella catch-all di TrekMail offre una rete di sicurezza entro i limiti del piano, ma richiede comunque isolamento, filtri, monitoraggio e DNS corretto.

Conclusione

Una casella catch-all non è negativa per natura. Il rischio è il catch-all senza protezioni. Scegliete un modello compatibile con il vostro stack, come deposito di quarantena per Exchange, flusso marcato per Postfix o carattere jolly parziale per Workspace, e separate il traffico dalla posta di produzione. Verificate sempre il comportamento reale.

Potete anche ridurre la complessità usando indirizzi e alias reali in un piano adatto al volume. Prima di migrare, confermate prezzi, limiti, spazio, DNS, autenticazione e compatibilità dei dati.