Een catch-allmailbox laat je mailserver elk bericht aan je domein accepteren, ook wanneer de ontvanger niet bestaat. In plaats van typo@yourdomain.com met fout 550 te weigeren, neemt je server het bericht aan. Dat klinkt nuttig totdat spam, phishing en aanvallen die adressen verzamelen via deze open ingang binnenstromen.
Domeinen kunnen binnen enkele weken verzendreputatie verliezen als een catch-all zonder beschermingsmaatregelen wordt ingeschakeld. De configuratie zelf is niet ingewikkeld. Voorkomen dat ze een operationeel probleem wordt, is het moeilijke deel.
Deze gids behandelt drie isolatiepatronen waarmee je een catch-allmailbox veiliger kunt beheren, of je nu Microsoft 365, een Linux-stack of Google Workspace gebruikt. Twijfel je nog of je er een nodig hebt, lees dan eerst onze uitleg over catch-allmail voor domeinen.
Wat is een catch-allmailbox?
Een catch-allmailbox is één inbox die alle e-mail ontvangt die naar je domein wordt gestuurd maar niet overeenkomt met een bestaand adres. Wanneer iemand mailt naar misspelled-name@yourdomain.com, wordt het bericht niet geweigerd maar in deze aangewezen mailbox geplaatst.
Het probleem is dat je server nu alles accepteert. Spambots, phishingpogingen en geautomatiseerde adresinventarisaties krijgen allemaal een antwoord 250 OK. Zonder isolatieregels vermengt dat verkeer zich met echte mail en kan het je domeinreputatie schaden.
De hoofdregel: stuur nooit naar een primaire inbox
Hierop moet je niet bezuinigen. Catch-allverkeer omzeilt Directory-Based Edge Blocking (DBEB), wat betekent dat de server de inhoud vóór validatie van de ontvanger accepteert. Die stroom naar ceo@company.com of een andere actieve inbox sturen, creëert een beveiligingsrisico dat mogelijk pas laat zichtbaar wordt.
Elk patroon hieronder volgt hetzelfde principe: isoleer de catch-allstroom van productiemail.
Patroon 1: de quarantainemailbox (Microsoft 365 / Exchange)
Dit is een gangbare aanpak voor organisaties die catch-allmail om juridische redenen of voor eDiscovery moeten bewaren, maar niet om de vijf minuten meldingen willen ontvangen.
Hoe het werkt
- Ontvangen - Je server accepteert mail voor onbekende ontvangers.
- Markeren - Een Transport Rule herkent dat het bericht extern is en niet aan een geldige gebruiker is gericht.
- Onderdrukken - De regel stelt Spam Confidence Level (SCL) in op 9, wat hoge zekerheid van spam betekent.
- Opslaan - Het bericht wordt naar een gedeelde mailbox zoals
catchall-sink@yourdomain.comgestuurd.
PowerShell-configuratie
Stel je domein eerst in op "Internal Relay" in Exchange Admin Center, waarmee DBEB wordt uitgeschakeld. Voer daarna uit:
# Create the sink (shared mailbox - no license needed)
New-Mailbox -Shared -Name "CatchAll Sink" -PrimarySmtpAddress catchall-sink@yourdomain.com
# Create the transport rule
New-TransportRule -Name "Catch-All Routing & Suppression"
-FromScope "NotInOrganization"
-SentTo "catchall-sink@yourdomain.com"
-RedirectMessageTo "catchall-sink@yourdomain.com"
-SetSCL 9
-ExceptIfRecipientBelongsTo "All Valid Users Group"Waarom SCL 9? Zonder deze instelling loopt de catch-allmailbox vol met meldingsruis. SCL 9 stuurt alles naar de map Ongewenst. Controleer die bijvoorbeeld wekelijks in plaats van elk uur.
Patroon 2: de gemarkeerde stroom (Postfix / Linux)
Als je een eigen Postfix/Dovecot-stack beheert, kan een afzonderlijke mailbox overbodig zijn. Voeg in plaats daarvan een header toe en laat regels in de client het sorteerwerk doen.
Hoe het werkt
- Ontvangen -
luser_relayaccepteert het bericht voor onbekende lokale ontvangers. - Aanpassen - De MTA voegt een header
X-Catch-All: Truetoe. - Filteren - Sieve-regels verplaatsen het bericht naar een speciale map.
Postfix-configuratie
# /etc/postfix/main.cf
# Route unknown local users to a specific alias
luser_relay = catchall_alias
# /etc/postfix/virtual
# Map the alias to a real user
catchall_alias realuser@yourdomain.comBelangrijk: luser_relay werkt alleen voor lokale domeinen. Gebruik voor meerdere virtuele domeinen virtual_alias_maps met een wildcard:
# /etc/postfix/virtual
@example.com realuser@example.comAls je naast catch-allregels ook e-mail doorsturen instelt, controleer dan dat de virtuele maps niet conflicteren. Overlappende regels zijn een veelvoorkomende oorzaak van verkeerd bezorgde mail.
Sieve-filter
Vertrouw niet op visuele controle om catch-allverkeer te scheiden. Automatiseer het:
if header :contains "X-Original-To" "catchall_alias" {
fileinto "Junk/CatchAll";
stop;
}Patroon 3: de gedeeltelijke wildcard (routering met regex)
Dit is vaak de verstandigste aanpak wanneer je geen echte catch-allmailbox nodig hebt. In plaats van *@domain.com te accepteren, accepteer je alleen bepaalde patronen, zoals sales-*@domain.com, en weiger je de rest.
Hoe het werkt
Je configureert de MTA of e-mailprovider om adressen te accepteren die met een regex overeenkomen, bijvoorbeeld sales-webinar@ en sales-q1@, terwijl risicovolle doelen zoals admin@ en hr@ worden geweigerd.
Google Workspace-configuratie
- Ga naar Apps > Google Workspace > Gmail > Default Routing.
- Selecteer onder Specify Envelope Recipients de optie "Pattern Match".
- Voer regex in:
^sales-.*@yourdomain\.com$ - Stel de actie in: wijzig de envelopontvanger in
sales-team@yourdomain.com.
Resultaat: sales-promo@yourdomain.com wordt geaccepteerd. admin@yourdomain.com wordt met 550 geweigerd. Dit kan het aanvalsoppervlak voor aanvallen die e-mailadressen inventariseren aanzienlijk verkleinen.
Moeten de adressen werkelijk als e-mailaliassen werken? Je kunt gedeeltelijke wildcards combineren met het doorsturen van aliassen, mits je provider deze configuratie ondersteunt.
Een routeringslus in de catch-allmailbox voorkomen
Een routeringslus is een van de gevaarlijkste fouten in een catch-allconfiguratie. Zo kan die ontstaan:
- De catch-all accepteert mail voor
ghost@domain.com. - Een regel stuurt het automatisch door naar
external@gmail.com. - Gmail weigert het wegens een SPF/DMARC-fout.
- Gmail stuurt de NDR terug naar
ghost@domain.com. - De catch-all accepteert de terugmelding.
- De regel stuurt de terugmelding door naar Gmail.
- Dit herhaalt zich totdat
MaxHopCountwordt overschreden.
Je ziet dan fouten zoals 5.4.14 Hop count exceeded of 5.4.6 Routing loop detected. Op een druk domein kan dit binnen enkele uren de uitgaande wachtrij sterk laten groeien en spamblokkades activeren.
Controlelijst voor preventie
- Controleer headers - Zorg dat je MTA de headers
X-LoopenDelivered-Torespecteert. - Blokkeer automatische antwoorden - Configureer catch-allregels zodat berichten met headers
Auto-Submitted: auto-generatedworden overgeslagen. - Aandachtspunt bij Microsoft 365 - Het beleid voor uitgaande spam blokkeert extern doorsturen standaard met fout
5.7.520 Access denied. Je moet het inschakelen in Outbound Spam Filter Policy, maar dat verhoogt het risico op backscatter. Weeg die afweging zorgvuldig.
Lees voor meer informatie over valkuilen bij verschillende providers onze gids over e-mailaliassen doorsturen.
Waarom de meeste catch-allmailboxen bestaan, terwijl dat niet nodig is
De onderliggende reden is vaak eenvoudig. Veel bedrijven schakelen een catch-all in om licentiekosten per gebruiker te vermijden. Als je support@, billing@ en jobs@ nodig hebt, maar niet $18 per maand per gebruiker aan Google of Microsoft wilt betalen, lijkt een catch-all een slimme omweg.
Dat is het meestal niet. Het kan technische schuld opleveren en je reputatie kosten.
Een geschiktere oplossing kan een provider zijn die niet per gebruiker rekent. TrekMail gebruikt volgens de beschreven aanbieding gedeelde opslag in plaats van prijzen per gebruiker:
- Nano-plan - $0, geen kaart vereist.
- Starter - $3.50 per maand met een proefperiode van 14 dagen.
- Pro - $10 per maand met een proefperiode van 14 dagen.
- Agency - $23.25 per maand met een proefperiode van 14 dagen.
Je kunt support@, billing@ en jobs@ als echte mailboxen of aliassen op je eigen domein aanmaken, binnen de actuele planlimieten. Omdat ze in de directory bestaan, kan de server ongeldige ontvangers aan de rand met een correcte 550-respons weigeren. Dat helpt de domeinreputatie beschermen en kan Transport Rules, Sieve-filters en regexroutering overbodig maken.
Beheer je meerdere domeinen, als MSP of groeiend bedrijf, vergelijk dan catch-allconstructies met ingebouwde alternatieven. De catch-all-inboxfunctie van TrekMail is bedoeld om een vangnet te bieden en sommige architectuurrisico's te beperken, mits DNS, authenticatie en routering correct zijn ingesteld.
Tot besluit
Een catch-allmailbox is niet per definitie slecht. Vooral een onbeschermde catch-all kan domeinen schaden. Kies het isolatiepatroon dat bij je stack past, zoals een quarantainemailbox voor Exchange, een gemarkeerde stroom voor Postfix of een gedeeltelijke wildcard voor Workspace, en volg de hoofdregel: vermeng catch-allverkeer niet met productiemail.
Of vermijd de complexiteit als dat bij je situatie past. Gebruik een provider waarbij echte adressen betaalbaar genoeg zijn om geen catch-all nodig te hebben.
