Correo catch-all: qué significa, cómo funciona y riesgos

Un correo catch-all, o dirección catch-all, es un buzón que recibe el correo enviado a cualquier dirección de un dominio, incluso a direcciones que nadie creó, siempre que esa dirección no tenga su propio buzón o alias. Si example.com tiene un catch-all, el correo enviado a shop@example.com, r8kq2@example.com o jnae@example.com (un error al escribir jane@example.com) se acepta y se entrega en ese único buzón, en lugar de devolverse al remitente. CatchNone lee ese buzón en iPhone, iPad y Mac y muestra a qué dirección llegó cada mensaje, incluidas las direcciones que nunca creaste.

También tiene otros nombres, como dirección comodín o, en la ayuda de Apple, dirección general, y a menudo se escribe en una sola palabra: catchall. Fastmail lo llama catch-all o alias comodín (wildcard alias); cPanel, Default Address (dirección predeterminada), e iCloud+, Allow All Incoming Messages (Permitir todos los mensajes entrantes) en el iPhone y “Permitir todos los correos electrónicos entrantes” en iCloud.com. Google Workspace lo llama catch-all routing (enrutamiento catch-all), y Cloudflare Email Routing (enrutamiento de correo) tiene una regla Catch-all. Las herramientas de verificación dicen que un dominio que se comporta así es “accept-all” (acepta todo). Para activarlo, consulta cómo configurar un correo catch-all en cualquier proveedor.

¿De qué catch-all hablas?

El término aparece en dos contextos, y cada uno necesita una respuesta distinta.

• Tienes un dominio o estás pensando en tener uno. El catch-all es una opción de tu proveedor de correo. La gente lo activa para no perder correos mal dirigidos o para inventar una dirección nueva en cada registro. Casi toda esta página es para ti.
• Una herramienta de limpieza de listas marcó una dirección como “catch-all” o “accept-all”. Eso es un veredicto sobre el dominio del destinatario, no sobre la dirección. Salta a por qué los verificadores marcan los dominios catch-all.

Cómo funciona un correo catch-all

Tener un dominio no te da un buzón por sí solo. Su registro MX tiene que apuntar a un proveedor de correo o a un servicio de reenvío, y los servidores que envían consultan ese registro para saber dónde entregar. El RFC 5321, el estándar de SMTP, dice que, cuando un dominio tiene registros MX, los remitentes deben usarlos.

Luego, el servidor del remitente nombra a cada destinatario, uno por uno. Un servidor normal responde 250 OK para un buzón que tiene y 550 (“no such user”, es decir, el usuario no existe) para uno que no tiene, y el remitente recibe un rebote. Un catch-all responde que sí a cualquier nombre que vaya antes de la @:

Servidor del remitente
 1. Busca el MX de example.com (DNS)
 2. Se conecta a ese servidor (SMTP)
 3. RCPT TO:<r8kq2@example.com>
    normal:    250 si existe, 550 si no
    catch-all: 250 para cualquier dirección
 4. Envía el mensaje
Tu proveedor de correo
 5. No hay buzón r8kq2, así que la regla
    catch-all lo entrega en tu buzón

Una dirección que ya configuraste sigue teniendo prioridad: Fastmail, por ejemplo, entrega el correo de un alias específico a ese alias y no al catch-all. Además, un catch-all solo cubre lo que va antes de la @. Un error en el dominio, como jane@example.net cuando querías escribir example.com, va a otro dominio o a ninguna parte, así que ningún catch-all tuyo puede atraparlo.

Catch-all vs. dirección comodín, alias y dirección con el signo +

“Dirección de correo comodín” (wildcard email address) suele significar lo mismo que catch-all. La ayuda de Fastmail lo llama “catch-all alias (also known as a wildcard alias)”, o sea, un alias catch-all también conocido como alias comodín, y se crea como *@example.com. Otros dos usos de “comodín” son cosas distintas:

• Un comodín de DNS (RFC 4592), como un registro *.example.com, responde por los nombres de subdominio que no tienen registros propios, como anything.example.com. No tiene nada que ver con lo que va antes de la @, y un catch-all no lo necesita.
• Un patrón en una regla o un filtro de correo solo ordena el correo que ya llegó. Un filtro en una cuenta de Gmail no puede hacer que un dominio acepte direcciones que su servidor de correo rechazaría.

El reenvío es una forma de entregar el correo, no un tipo de dirección. Un catch-all puede entregar en un buzón del mismo proveedor, como hacen iCloud+ y Fastmail, o reenviarlo todo a una bandeja de entrada en otro lado, como hace Cloudflare Email Routing.

El uso para la privacidad: inventa una dirección en cada registro

Por esto mucha gente activa el catch-all. No configuras nada por adelantado. Al pagar en una tienda en línea escribes bookshop@example.com, o algo aleatorio como r8kq2@example.com, y el correo de la tienda llega a tu buzón. Si más adelante esa dirección recibe spam, o correo de una empresa a la que nunca se la diste, sabes de qué registro salió.

Dos hábitos hacen que funcione mejor:

• Usa direcciones aleatorias en lugar de nombres de sitios. Cualquiera que conozca tu dominio puede adivinar amazon@example.com, así que el spam que llega ahí demuestra menos sobre quién la filtró. El generador de nombres de usuario de Bitwarden tiene un tipo “Catch-all email” (correo catch-all) que crea una dirección aleatoria en tu dominio. Hay más opciones en la guía para generar una dirección de correo aleatoria que de verdad funcione.
• Lleva un registro de qué dirección le diste a qué sitio, por ejemplo en la entrada de ese sitio en tu gestor de contraseñas.

Una dirección por sitio también hace más reveladoras las revisiones de filtraciones de datos. Have I Been Pwned te deja buscar un dominio completo una vez que demuestras que lo controlas, gratis para dominios con hasta 10 direcciones filtradas, a septiembre de 2026. Después, tu registro te dice a qué sitio le diste cada dirección filtrada.

Si no tienes un dominio propio, las direcciones @catchnone.com de CatchNone (Premium) no necesitan dominio, DNS ni buzón que configurar. El servicio asigna cada una al azar en un dominio compartido, así que ningún nombre tuyo las vincula entre sí. Otros servicios te dan, en cambio, un subdominio que funciona como un catch-all. El sitio de 33mail todavía describe cómo inventar bbqtrading@you.33mail.com en el momento, y SimpleLogin (en su plan de pago Premium) y addy.io ofrecen subdominios con catch-all. El subdominio vincula tus direcciones entre sí igual que lo haría tu propio dominio.

Las desventajas de un catch-all

Direcciones adivinadas y más spam

En un dominio normal, el correo enviado a una dirección que no existe rebota. En un catch-all, cada intento se entrega. Las preguntas frecuentes de addy.io dicen que los spammers y los bots “a menudo prueban direcciones de correo aleatorias”, como contact@ o admin@. cPanel advierte que una dirección predeterminada con reenvío “puede recibir una gran cantidad de spam” si los spammers atacan tu dominio. Los proveedores describen el riesgo sin ponerle un número. Adivinar es solo una vía; las demás están en cómo consiguen los spammers tu dirección de correo.

Errores de escritura que nunca rebotan

Sin un catch-all, quien escribe mal tu dirección recibe un rebote y puede volver a intentarlo; Apple y Proton documentan ese rebote cuando el catch-all está desactivado. Con uno, jnae@example.com se entrega y el remitente nunca se entera del error.

En un dominio que solo usas tú, eso suele ser lo que quieres. Causa problemas en dos casos. En un dominio compartido, advierte cPanel, el catch-all puede recibir correos mal escritos que iban para direcciones existentes, así que la persona equivocada podría leerlos. Y el remitente sigue usando la dirección equivocada, así que, si más adelante la bloqueas o desactivas el catch-all, su correo deja de llegarte sin ningún aviso.

Tu dominio vincula tus direcciones entre sí

Privacy Guides advierte: “Si eres la única persona que usa tu dominio personalizado, tus acciones se pueden rastrear fácilmente entre sitios web con solo mirar el nombre de dominio de la dirección de correo e ignorar todo lo que va antes del símbolo @”. Tu propio dominio sí hace que sea más fácil relacionarte entre sitios que un dominio que comparte mucha gente, y si el dominio es tu nombre, te identifica directamente. Un catch-all te sigue diciendo quién filtró una dirección, pero no impide que cualquiera vea que esas direcciones van juntas.

Tus direcciones duran solo lo que dure el dominio

Cada dirección que inventaste depende del registro de tu dominio. Si vence, quien registre el dominio después puede recibir el correo enviado a todas ellas, incluidos los enlaces para restablecer la contraseña. Activa la renovación automática y protege tu cuenta en el registrador de dominios.

¿Se puede desactivar una sola dirección en un dominio catch-all?

Sí, en la mayoría de los proveedores, pero no desde la propia opción de catch-all: agregas una regla o un alias aparte para cada dirección que quieres detener, y que el remitente reciba un rebote o no depende del proveedor. La opción Disable (Desactivar) de Fastmail y la opción Reject message (Rechazar mensaje) de Google Workspace rebotan el correo, un reenviador de cPanel puede rechazarlo con un error, la acción Drop (Descartar) de Cloudflare Email Routing lo elimina sin avisar, e iCloud+ devuelve el correo enviado a una dirección que creaste y luego eliminaste, según Apple (iCloud+ permite tres direcciones activas por dominio, así que quizá primero necesites liberar un lugar).

Eso funciona bien para unas pocas direcciones filtradas; con decenas se vuelve una lista que hay que mantener, y Cloudflare limita las reglas de enrutamiento a 200 por dominio (ambos límites a septiembre de 2026). Sea cual sea el proveedor, después envía un mensaje de prueba desde otra cuenta. Los pasos para cada proveedor están en cómo detener una sola dirección en un catch-all y, para iCloud, en la guía del dominio de correo electrónico personalizado de iCloud+.

En sus planes de pago (a septiembre de 2026), los servicios de alias como addy.io y SimpleLogin pueden manejar un catch-all en tu propio dominio, crear cada alias la primera vez que recibe correo y luego dejarte desactivar cualquiera de ellos.

¿Catch-all o un servicio de alias?

Privacy Guides prefiere un servicio de alias dedicado, porque los alias se pueden activar y desactivar uno por uno y las respuestas salen desde el alias. La mayoría de los proveedores también pueden bloquear direcciones sueltas, con una regla por dirección, como se explica arriba. El envío depende del proveedor: Fastmail te deja escribir cualquier dirección de remitente (From) en un dominio catch-all, mientras que Cloudflare Email Routing no permite enviar ni responder desde tu dominio. Aun así, lo de la vinculación sigue en pie.

Un catch-all en tu propio dominio te conviene si quieres direcciones que duren más que cualquier servicio; un dominio de alias compartido te conviene si quieres registros que no se puedan relacionar por el dominio. CatchNone funciona con los dos: en tu propio dominio lee directamente tu buzón catch-all, y con Premium sus direcciones @catchnone.com están en un dominio compartido, donde al desactivar una, los remitentes reciben un rebote. En ambos casos, cada mensaje lleva una insignia con la dirección a la que llegó. Solo recibe, por diseño, así que ese correo queda en su propia app y respondes desde tu cuenta de correo habitual. Para ver los costos y la comparación completa, consulta si vale la pena tener tu propio dominio de correo.

Para dueños de listas: por qué los verificadores marcan los dominios catch-all

Las herramientas de verificación comprueban una dirección hablando con el servidor de correo del destinatario por SMTP y deteniéndose antes de enviar cualquier mensaje. Si el servidor responde 250 para cualquier dirección, la comprobación no demuestra nada, porque las direcciones reales y las inventadas se ven iguales. Una vez que un servidor aceptó un mensaje, un fallo posterior vuelve como un rebote aparte, o el mensaje se descarta en silencio: Kickbox dice que un servidor así “puede descartar el mensaje en silencio o enviar un mensaje de rebote después”.

Cómo etiquetan el resultado las herramientas:

• Kickbox: “Accept-All” (acepta todo), clasificado como Risky (riesgoso), con el consejo “Use caution when sending to risky addresses” (ten cuidado al enviar a direcciones riesgosas).
• NeverBounce: “Accept all (Unverifiable)” (acepta todo, no verificable), y agrega que el catch-all “es una opción del servidor de correo del destinatario, no un veredicto sobre cada dirección: estos correos a menudo son válidos”.
• Hunter: el estado accept_all, con una puntuación que estima qué tan probable es que la dirección sea válida.

Es algo común. ZeroBounce informa que más del 9 % de las direcciones que procesó en 2025 resultaron catch-all, y MailerCheck da un 8.6 % para las direcciones que ha verificado. ZeroBounce también dice que el enrutamiento de entrada de Microsoft 365 puede hacer que las comprobaciones parezcan catch-all aunque no exista ningún buzón catch-all, mientras que Microsoft documenta que sus dominios Authoritative (autoritativos) rechazan a los destinatarios desconocidos.

¿Conviene enviar a direcciones catch-all?

Un resultado catch-all significa “desconocido”, no “no válido”. Conserva las direcciones catch-all que llegaron por un registro confirmado o que hicieron clic en un enlace de tus correos, envía a las demás en lotes pequeños y elimina las que reboten.

Cómo ordenar el correo catch-all por dirección

Ordena por la dirección a la que se envió cada mensaje, pero el correo que te llega con copia oculta (CCO) no muestra tu dirección en Para ni en CC (RFC 5322), y el correo de listas suele ir dirigido a la lista. Un encabezado Delivered-To, descrito en el RFC 9228, que es experimental, ayuda cuando tu proveedor lo agrega. Las reglas y búsquedas para cada proveedor están en leer el correo catch-all dirección por dirección.

Dónde encaja CatchNone

La opción “Usa tu propio dominio” de CatchNone está pensada para leer un buzón catch-all. Se conecta desde tu dispositivo directamente al buzón donde tu catch-all entrega el correo, en modo de solo lectura, por IMAP (TLS, puerto 993 de forma predeterminada) o JMAP, así que ese correo nunca pasa por los servidores de CatchNone, y nunca cambia tu DNS. Cada mensaje lleva una insignia con la dirección a la que llegó, así que se nota cuando una dirección se filtra o se vende, y Actividad te señala el correo que llega a un alias sin usar y los remitentes nuevos. El correo enviado a una dirección que nunca creaste aparece bajo esa dirección con una insignia gris; si más adelante creas un alias con esa dirección, desde “Personalizar”, su correo anterior toma el nombre y el color del alias. El límite de 10 del plan Gratis cuenta los alias que creas, no las direcciones cuyo correo aparece, y Lite y Premium no tienen límite de alias en ese caso. Descarga CatchNone, disponible para iPhone, iPad y Mac.

CatchNone solo recibe, así que el correo del catch-all queda en su propia app y respondes desde tu cuenta de correo habitual. Cada revisión lee los 100 mensajes más recientes de la bandeja de entrada de los últimos 30 días, así que, si tu catch-all atrae mucho spam, un buzón dedicado al catch-all evita que el correo de los alias quede fuera. CatchNone no filtra el spam ni bloquea direcciones en tu dominio; de eso se encargan las reglas de tu proveedor. Sin dominio, CatchNone ofrece direcciones aleatorias @catchnone.com con Premium, sin dominio, DNS ni buzón que configurar: al desactivar una, los remitentes reciben un rebote, y cada mensaje se guarda 30 días a partir de su llegada.

Preguntas frecuentes

¿Los correos catch-all son seguros?

Un catch-all no hace que un mensaje en particular sea más peligroso; el phishing es el mismo sin importar a qué dirección llegue. Lo que agrega es exposición: las direcciones adivinadas se entregan, los errores de escritura te llegan en lugar de rebotar y, en un dominio que solo usas tú, tus direcciones se pueden vincular entre sí. Para un remitente, una dirección catch-all no es peligrosa, solo imposible de verificar: algunas rebotarán después, y por eso Kickbox las clasifica como Risky (riesgosas).

¿Microsoft 365 puede tener una dirección catch-all?

No. Exchange Online no tiene una opción de catch-all: cuando todos los buzones de un dominio están en Microsoft 365, rechaza el correo enviado a direcciones desconocidas con 550 5.4.1, y las soluciones alternativas que circulan no son guías oficiales. La guía de configuración explica por qué Microsoft 365 no tiene catch-all y qué hacer en su lugar.

¿Una cuenta de Gmail puede tener un catch-all?

No para una dirección @gmail.com, porque cada una es una sola cuenta, aunque las direcciones con el signo + y las versiones con puntos de tu propia dirección te siguen llegando. Con un dominio propio, Google Workspace tiene enrutamiento catch-all, o un servicio de reenvío como Cloudflare Email Routing puede enviar todas las direcciones a una bandeja de entrada normal de Gmail, como se explica en usar Gmail con un dominio personalizado mediante Cloudflare.

¿Debería activar el catch-all en mi dominio?

Actívalo si quieres inventar direcciones en el momento o no quieres perder correos mal dirigidos, y estás dispuesto a bloquear una por una las direcciones filtradas. Déjalo desactivado si prefieres crear cada dirección a propósito. Hay términos medios: Proton recomienda dirigir el catch-all a una dirección dedicada para que no te llene la bandeja de entrada, y addy.io te deja definir un patrón para que solo se creen automáticamente las direcciones que coincidan con él. Si lo activas, la guía de configuración tiene los pasos para cada proveedor, y estos proveedores de correo para un dominio personalizado ofrecen catch-all si el tuyo no lo tiene.