Catch-all邮件托管：启用前的8项检查

Catch-all 邮件托管把发给域名内未知收件人的消息送到指定目的地。它是服务器路由规则，不是 DNS 通配记录，也不保证邮件通过其他检查或最终接收。

收件人检查可能不再返回 550 5.1.1 User Unknown，而是返回 250 OK 来回应 RCPT TO。自动目录收集攻击会尝试 admin@、invoice@、payroll@、careers@。Catch-all 隐藏真实与虚构地址的区别，但仍可能增加流量。Cisco 历史示例的每小时 25 个无效收件人，是已配置策略对远端发送主机的检查值，不是域名遭攻击的通用门槛。实际攻击可能每分钟发起数千次尝试。

供应商可能依政策限制服务，并非一定暂停域名。真实邮件可能淹没在多余流量中，或被其他检查阻止。启用前应逐项检查以下八个领域。

涉及检查邮箱、PCRE 过滤映射与 Exchange 循环防护的架构，可先阅读保持控制的域名 catch-all 路由指南，再评估具体配置。

Catch-all 如何改变 SMTP 流程

它改变信封阶段的收件人检查：未知地址不再于 DATA 前收到 550，而是进入备用邮箱路径。这可能增加扫描与存储需求，但过滤也能在 DATA 期间、最终接受邮件之前进行。接受收件人不等于最终接收完整邮件。

已接收的探测邮件可能占用队列与扫描资源。事后向伪造 MAIL FROM 地址退信，会造成反向散射。清除列表记录所需的 2-4 周只是规划示例，实际期限与影响取决于列表流程、共享 IP 及接收方评估，不必然波及整个 IP 段。

关键是平衡未知收件人的灵活路由、早期拒绝、安全过滤与可控错误处理，而不是把所有防护一并放开。

Catch-all 托管的 8 项核验清单

检查八个领域：最终接收前过滤、及时日志、流量保护、转发认证、授权回复身份、NDR 控制、导出与存储规则。具体要求应按实际架构确定。

1. 最终接收前的 SMTP 过滤

询问何时拒绝不需要的邮件。收件人阶段的 250 OK 不代表完整正文已保存；最终 SMTP 确认前的内容过滤也能避免事后退信。向伪造地址发送接收后的 NDR 才会产生反向散射。

收件人阶段的拒绝日志可能如下：

postfix/smtpd[1234]: NOQUEUE: reject: RCPT from unknown[192.0.2.1]:
  550 5.7.1 Service unavailable; Client host blocked using zen.spamhaus.org;
  from=<probe@attacker.com>, to=<random123@yourdomain.com>

内容过滤器可能记录：

amavis: Blocked SPAM {DiscardedInbound}, [192.0.2.1]
  <probe@attacker.com> -> <random123@yourdomain.com>, Score: 17.2

第二条证明执行了内容检查，但单独不能证明最终接受或持久存储。应询问完整处理路径、队列行为与 SMTP 结果，不能仅凭“我们的垃圾邮件过滤器会处理”判断。

2. 及时访问 SMTP 日志

客户说曾发信给 billing@，却没有收到回复。消息计数无法解释收件人接受、内容过滤与路由选择，需要具体邮件的投递记录。

有用的记录可能如下：

Jan 03 10:14:22 mail postfix/smtpd: connect from mail.outlook.com[40.107.100.99]
Jan 03 10:14:23 mail postfix/cleanup: message-id=<20260103.ABC@outlook.com>
Jan 03 10:14:24 mail amavis: Passed CLEAN {RelayedInbound}, [40.107.100.99]
  <client@outlook.com> -> <billing@yourdomain.com>, Hit: -1.5

Google Workspace 与 Microsoft 365 提供不同的管理搜索和跟踪功能。30-60 分钟是数据可能延迟出现的示例，不是共同的固定期限。应检查细节、时效、授权和隐私；需要支持时，明确合适的升级处理流程。

3. 保护账户的流量限制

攻击者可能尝试数千个随机地址，给未知收件人路径增加多余流量。应核验连接限制、针对来源的节流和账户保护。供应商如何处理取决于情形和政策，不能认定 catch-all 一启用就会导致账户暂停。

可以具体询问：“如果域名因地址探测在一小时内收到 10,000 封邮件，你们如何限制来源、保护账户，并尽可能保留真实邮件接收？”

4. 转发中的 SRS 与 ARC

从服务器 A 转到 Gmail 或 Outlook，应检查信封身份与有效签名，尤其关注两个机制。

SPF：接收方看到中继 IP；保留原 MAIL FROM 时，原域名的 v=spf1 ... -all 不一定授权该 IP，因此可能失败。

DMARC：既没有通过且与 From 对齐的 SPF，也没有有效且对齐的 DKIM 时，p=reject 可能导致拒绝，但不是一概静默删除，应按真实结果与接收方策略调查。

应核验这些能力对实际路径的作用：

• SRS（Sender Rewriting Scheme）：改写 Envelope-From，新身份的 SPF 必须授权中继 IP，并不保证与原 From 对齐。详见SRS 转发原理与故障。
• ARC（Authenticated Received Chain）：按 RFC 8617 传递签署的认证结果。接收方必须验证链，并信任已核实签署方。

以下错误涉及不同原因：

550 5.7.520 Access denied, your organization does not allow external forwarding.
550 5.7.1 Unauthenticated email from domain.com is not accepted
  due to the domain's DMARC policy.

外部转发阻止是组织策略，不证明缺少 SRS 或 ARC。有效且对齐的 DKIM 可在没有两者时满足 DMARC。文档未提及应当向供应商询问，而不是直接认定不支持。

5. 别名与授权回复身份

Catch-all 可以接住 billing@、support@、project-2026@。在 Gmail 中以 billing@yourdomain.com 而不是 admin@yourdomain.com 回复，需要合适的 Send As 身份、权限及必要验证。验证针对每个身份进行，并非每封邮件都重做。

核验受支持的 SMTP 账户和安全增加发件人的流程。24 小时的审批等待是规划示例；不经授权就能即时冒用任意地址并不是良好质量标准。

6. 反向散射与 NDR 控制

最终接收后，备用邮箱已满或路由失败可能触发 NDR。若 MAIL FROM 被伪造，这会产生反向散射，并可能增加被 Backscatterer.org 等列表收录的风险。过滤器丢弃本身并不自动生成通知。

询问 SMTP 阶段拒绝和安全隔离，避免向伪造发件人自动回复，也不要不加区分地删除可能真实的邮件。反向散射不是开放中继，但可能损害域名发信信誉及相关 IP 信誉。

7. IMAP 与数据导出

更换服务前应准备导出路径。标准 IMAP 可以帮助迁移，其他有文档且完整的导出方法也可能适用。要检查数据范围和可访问性，而不是只看协议名称。

应核验：

• 受支持的 IMAP 访问，使用端口 993 和 TLS
• .eml 或 .mbox 导出与兼容导入
• 协调批量读取限额，安全实施迁移

POP3 通常不像 IMAP 那样呈现文件夹，但删除取决于 DELE 和客户端设置，不是 RETR 自动删除。IMAP 不是唯一迁移路径，也不保证全部元数据完整迁移。经授权迁移时，应核验访问兼容性、备份、文件夹、邮件数量、格式及排除项，并在最后一次增量同步后检查新邮件。联系人和日历可能需要另行迁移。

8. 存储规则与超额处理

Catch-all 邮箱可能达到配额。应询问实际 SMTP 响应，例如 452 4.2.2 Insufficient storage，以及日志和重试行为。临时拒绝可能触发有限重试，但不保证之后送达。真实邮件不应在无从发现的情况下被静默丢弃。

确认存储按邮箱、域名还是账户共享。攻击消耗 80% 总配额是负载假设，不是普遍结论。邮箱限额可以减小影响，但仍需检查整体配额和实际模型。

核验 TrekMail 的 catch-all 模式

TrekMail 描述账户级共享容量和套餐内的多个邮箱。应确认总配额、单个邮箱的限额以及账户和套餐权限，不假定无限邮箱或只按域名收费。jobs@、billing@、support@、archive@ 等地址可在现行条件允许时显式创建。

历史每用户每月 $6-$12 的许可示例，对于每月仅收三封信的地址可能显得昂贵。比较时也应考虑办公套件的别名和共享邮箱：

旧地址、外部系统或询盘可能需要 catch-all，应核验当前 SMTP 日志、IMAP、SRS 和真实路由。历史描述包括 Starter 每月 $3.50、50 个域名，需卡的 14 天试用，以及 10 个域名、5GB 共享存储的免费方案。价格、限额与可用性应按现行条款核实。所述 Nano 自带 SMTP 方案需要使用自己的 SMTP 完成全部发信与回复，不能推广为其他套餐的统一条件。

总结

Catch-all 是有意识的路由选择，不是必须启用的默认设置。对每个供应商检查安全接收、错误处理、负载保护、可追踪投递与配额处理；被列表收录后，解除记录可能需要数周，具体时间取决于列表及处理情况。

提前核验 SMTP 拒绝、真实转发认证和反向散射控制。相关信誉影响可能持续数周，但不存在共同固定期限。主要为节省费用时，应比较套餐、别名和共享邮箱，不能认为换成某种收费模式就会解决所有路由问题。

核验 TrekMail 当前套餐、IMAP 能力和免费选择。