Catch-all email: qué es, cómo funciona y sus riesgos

Un catch-all email, o dirección de correo catch-all, es un buzón que recibe el correo enviado a cualquier dirección de un dominio, incluidas las que nadie ha configurado, siempre que esa dirección no tenga buzón ni alias propios. Si example.com tiene un catch-all, el correo enviado a shop@example.com, r8kq2@example.com o jnae@example.com (una errata de jane@example.com) se acepta y se entrega en ese único buzón, en lugar de devolverse al remitente. CatchNone lee ese buzón en iPhone, iPad y Mac y muestra a qué dirección llegó cada mensaje, incluidas las direcciones que nunca configuraste.

También recibe otros nombres, y a menudo se escribe junto: catchall. Fastmail lo llama catch-all alias o wildcard alias (alias catch-all o alias comodín); cPanel, Default Address (dirección predeterminada), e iCloud+, “Allow All Incoming Messages” (Permitir todos los mensajes entrantes) en el iPhone (en iCloud.com, “Permitir todos los correos electrónicos entrantes”; la guía de Apple en español habla de “dirección general”). Google Workspace lo llama catch-all routing (su guía en español habla de “dirección genérica”), y Cloudflare Email Routing tiene una regla Catch-all. Las herramientas de verificación llaman “accept-all” (acepta todo) a un dominio que se comporta así. Para activarlo, consulta cómo configurar un catch-all email en cualquier proveedor.

¿A qué catch-all te refieres?

El término aparece en dos contextos, y cada uno necesita una respuesta distinta.

• Tienes un dominio o te planteas tener uno. El catch-all es un ajuste de tu proveedor de correo. Se activa para no perder el correo mal dirigido o para poder inventarse una dirección nueva en cada registro. Casi toda esta página es para ti.
• Una herramienta de limpieza de listas ha marcado una dirección como “catch-all” o “accept-all”. Es un veredicto sobre el dominio del destinatario, no sobre la dirección. Salta a por qué los verificadores marcan los dominios catch-all.

Cómo funciona una dirección de correo catch-all

Tener un dominio no te da un buzón por sí solo. Su registro MX tiene que apuntar a un proveedor de correo o a un servicio de reenvío, y los servidores que envían consultan ese registro para saber dónde entregar. El RFC 5321, el estándar de SMTP, establece que, cuando un dominio tiene registros MX, los remitentes deben usarlos.

Después, el servidor del remitente indica cada destinatario, uno tras otro. Un servidor normal responde 250 OK para un buzón que tiene y 550 (“no existe ese usuario”) para uno que no tiene, y el remitente recibe una devolución. Un catch-all responde que sí a cualquier nombre que vaya antes de la @:

Servidor del remitente
 1. Busca el MX de example.com (DNS)
 2. Se conecta a ese servidor (SMTP)
 3. RCPT TO:<r8kq2@example.com>
    normal:    250 si existe, 550 si no
    catch-all: 250 para cualquier dirección
 4. Envía el mensaje
Tu proveedor de correo
 5. No hay buzón r8kq2, así que la regla
    catch-all lo entrega en tu buzón

Una dirección que hayas configurado sigue teniendo prioridad: Fastmail, por ejemplo, entrega el correo de un alias concreto en ese alias y no en el catch-all. Además, un catch-all solo cubre la parte anterior a la @. Una errata en el dominio, como jane@example.net cuando querías decir example.com, va a otro dominio o a ninguna parte, así que ningún catch-all tuyo puede recogerla.

Catch-all vs. dirección comodín, alias y dirección con +

“Dirección comodín” (wildcard email address) suele significar lo mismo que catch-all. La ayuda de Fastmail lo llama “catch-all alias (also known as a wildcard alias)” (alias catch-all, también llamado alias comodín), y se crea como *@example.com. Hay otros dos usos de “comodín” (wildcard) que son cosas distintas:

• Un comodín DNS (DNS wildcard, RFC 4592), como un registro *.example.com, responde por los nombres de subdominio que no tienen registros propios, como anything.example.com. No tiene nada que ver con la parte anterior a la @, y un catch-all no lo necesita.
• Un patrón en una regla o un filtro de correo solo clasifica el correo que ya ha llegado. Un filtro en una cuenta de Gmail no puede hacer que un dominio acepte direcciones que su servidor de correo rechazaría.

El reenvío es una forma de entregar, no un tipo de dirección. Un catch-all puede entregar en un buzón del mismo proveedor, como hacen iCloud+ y Fastmail, o reenviarlo todo a una bandeja de entrada de otro servicio, como hace Cloudflare Email Routing.

El uso para la privacidad: inventa una dirección en cada registro

Por esto activa mucha gente el catch-all. No hay que configurar nada de antemano. Al pagar en una tienda online escribes bookshop@example.com, o algo aleatorio como r8kq2@example.com, y el correo de la tienda llega a tu buzón. Si más adelante esa dirección recibe spam, o correo de una empresa a la que nunca se la diste, sabes de qué registro procede.

Dos costumbres hacen que funcione mejor:

• Usa direcciones aleatorias en lugar del nombre de la web. Cualquiera que conozca tu dominio puede adivinar amazon@example.com, así que el spam que llegue ahí demuestra menos sobre quién la filtró. El generador de nombres de usuario de Bitwarden tiene un tipo “Catch-all email” (correo catch-all) que crea una dirección aleatoria en tu dominio. Encontrarás más opciones en la guía para generar una dirección de correo aleatoria que funcione de verdad.
• Apunta qué dirección diste a cada web, por ejemplo en la entrada de esa web en tu gestor de contraseñas.

Una dirección por web también hace más reveladoras las comprobaciones de filtraciones. Have I Been Pwned te permite buscar un dominio entero en cuanto demuestras que lo controlas, gratis para dominios con hasta 10 direcciones filtradas, a septiembre de 2026. Tus notas te dicen entonces a qué web diste cada dirección filtrada.

Si no tienes dominio propio, las direcciones @catchnone.com de CatchNone (Premium) no necesitan dominio, DNS ni buzón que configurar. El servicio asigna cada una al azar en un dominio compartido, así que ningún nombre tuyo las vincula entre sí. Otros servicios te dan, en cambio, un subdominio que funciona como un catch-all. La web de 33mail sigue describiendo cómo inventarse bbqtrading@you.33mail.com sobre la marcha, y SimpleLogin (en su plan de pago Premium) y addy.io ofrecen subdominios con catch-all. El subdominio vincula tus direcciones entre sí igual que lo haría tu propio dominio.

Los inconvenientes de un catch-all

Direcciones adivinadas y más spam

En un dominio normal, el correo enviado a una dirección que no existe se devuelve. En un catch-all, cualquier dirección que alguien adivine se entrega. Las preguntas frecuentes de addy.io dicen que los spammers y los bots “a menudo prueban direcciones de correo aleatorias”, como contact@ o admin@. cPanel advierte de que una dirección predeterminada con reenvío “puede recibir una gran cantidad de spam” si los spammers apuntan a tu dominio. Los proveedores describen el riesgo sin ponerle cifra. Adivinar es solo una vía; las demás están en cómo consiguen los spammers las direcciones de correo.

Erratas que nunca se devuelven

Sin catch-all, quien escribe mal tu dirección recibe una devolución y puede volver a intentarlo; tanto Apple como Proton documentan esa devolución cuando el catch-all está desactivado. Con él, jnae@example.com se entrega y el remitente nunca se entera del error.

En un dominio que solo usas tú, a menudo es justo lo que quieres. Da problemas en dos casos. En un dominio compartido, como señala cPanel, el catch-all puede recibir correo mal escrito que iba destinado a direcciones existentes, de modo que puede leerlo quien no debe. Y el remitente sigue usando la dirección equivocada, así que si más adelante la bloqueas o desactivas el catch-all, su correo deja de llegarte sin previo aviso.

Tu dominio vincula tus direcciones entre sí

Privacy Guides advierte: “Si eres la única persona que usa tu dominio personalizado, tus acciones se pueden rastrear fácilmente entre webs con solo mirar el nombre de dominio de la dirección de correo e ignorar todo lo que hay antes del símbolo @”. Tu propio dominio sí hace que sea más fácil relacionarte entre webs que un dominio que comparte mucha gente, y si el dominio es tu nombre, te identifica directamente. Un catch-all te sigue diciendo quién filtró una dirección, pero no impide que nadie vea que esas direcciones van juntas.

Tus direcciones duran lo que dure el dominio

Todas las direcciones que te has inventado dependen del registro de tu dominio. Si el registro vence sin renovarse, quien registre el dominio después puede recibir el correo enviado a todas ellas, incluidos los enlaces para restablecer la contraseña. Activa la renovación automática y protege tu cuenta en el registrador de dominios.

¿Se puede desactivar una sola dirección en un dominio catch-all?

Sí, en la mayoría de los proveedores, pero no desde el propio ajuste del catch-all: añades una regla o un alias aparte para cada dirección que quieras bloquear, y que el remitente reciba o no una devolución depende del proveedor. La opción “Disable” (Desactivar) de Fastmail y el ajuste “Reject message” (Rechazar mensaje) de Google Workspace devuelven el correo, un reenviador (forwarder) de cPanel puede rechazarlo con un error, la acción “Drop” (Descartar) de Cloudflare Email Routing lo elimina sin avisar, e iCloud+ devuelve el correo enviado a una dirección que creaste y luego eliminaste, según Apple (iCloud+ admite tres direcciones activas por dominio, así que puede que antes necesites un hueco libre).

Para unas pocas direcciones filtradas no hay problema; con decenas se convierte en una lista que mantener, y Cloudflare limita las reglas de enrutamiento a 200 por dominio (ambos límites, a septiembre de 2026). Sea cual sea el proveedor, envía después un mensaje de prueba desde otra cuenta. Los pasos para cada proveedor están en cómo bloquear una dirección en un catch-all y, para iCloud, en la guía del “Dominio de correo electrónico personalizado” de iCloud+.

En sus planes de pago (a septiembre de 2026), servicios de alias como addy.io y SimpleLogin pueden gestionar un catch-all en tu propio dominio, creando cada alias la primera vez que recibe correo, y después te permiten desactivar cualquiera de ellos.

¿Catch-all o un servicio de alias?

Privacy Guides prefiere un servicio de alias dedicado porque los alias se pueden activar y desactivar de uno en uno y las respuestas salen desde el alias. La mayoría de los proveedores también pueden bloquear direcciones sueltas, con una regla por dirección, como se ha explicado arriba. El envío depende del proveedor: Fastmail te deja escribir cualquier dirección en el campo From (De) en un dominio catch-all, mientras que Cloudflare Email Routing no permite enviar ni responder desde tu dominio. Aun así, lo de la vinculación sigue en pie.

Un catch-all en tu propio dominio te conviene si quieres direcciones que sobrevivan a cualquier servicio concreto; un dominio de alias compartido te conviene si quieres registros que no se puedan relacionar por el dominio. CatchNone funciona con ambos: en tu propio dominio lee directamente tu buzón catch-all, y con Premium sus direcciones @catchnone.com están en un dominio compartido, donde, si desactivas una, los remitentes reciben una devolución. En los dos casos, cada mensaje lleva una etiqueta con la dirección a la que llegó. Es de solo recepción por diseño, así que ese correo se queda en su propia app y tú respondes desde tu cuenta habitual. Para los costes y la comparación completa, consulta si merece la pena tener un dominio de correo propio.

Para quien gestiona listas: por qué los verificadores marcan los dominios catch-all

Las herramientas de verificación comprueban una dirección hablando con el servidor de correo del destinatario por SMTP y deteniéndose antes de enviar ningún mensaje. Si el servidor responde 250 a cualquier dirección, la comprobación no demuestra nada, porque las direcciones reales y las inventadas parecen iguales. Cuando un servidor ya ha aceptado un mensaje, un fallo posterior vuelve como una devolución aparte, o el mensaje se descarta sin avisar: Kickbox dice que un servidor así “puede descartar el mensaje sin avisar o enviar un mensaje de devolución a posteriori”.

Cómo etiquetan el resultado las herramientas:

• Kickbox: “Accept-All” (acepta todo), clasificado como “Risky” (arriesgado), con el consejo “Use caution when sending to risky addresses” (ten cuidado al enviar a direcciones arriesgadas).
• NeverBounce: “Accept all (Unverifiable)” (acepta todo, no verificable), y añade que el catch-all “es un ajuste del servidor de correo del destinatario, no un veredicto sobre cada dirección: estas direcciones suelen ser válidas”.
• Hunter: el estado accept_all, con una puntuación que estima la probabilidad de que la dirección sea válida.

Es habitual. ZeroBounce indica que más del 9 % de las direcciones que procesó en 2025 dieron catch-all, y MailerCheck da un 8,6 % para las direcciones que ha verificado. ZeroBounce también dice que el enrutamiento de entrada de Microsoft 365 puede hacer que las comprobaciones parezcan de un catch-all aunque no exista ningún buzón catch-all, mientras que Microsoft documenta que sus dominios “Authoritative” (autoritativos) rechazan a los destinatarios desconocidos.

¿Deberías enviar a direcciones catch-all?

Un resultado catch-all significa “desconocido”, no “no válido”. Conserva las direcciones catch-all que llegaron mediante un registro confirmado o que han hecho clic en un enlace de tus correos, envía al resto en tandas pequeñas y elimina las que se devuelvan.

Cómo ordenar el correo catch-all por dirección

Ordena por la dirección a la que se envió cada mensaje, pero el correo que te llega en copia oculta (CCO) no muestra tu dirección en Para ni en CC (RFC 5322), y el correo de las listas suele ir dirigido a la propia lista. Una cabecera Delivered-To, descrita en el RFC 9228, de carácter experimental, ayuda si tu proveedor la añade. Las reglas y búsquedas para cada proveedor están en cómo leer el correo catch-all dirección por dirección.

Dónde encaja CatchNone

La opción “Usa tu propio dominio” de CatchNone está pensada para leer un buzón catch-all. Se conecta desde tu dispositivo directamente al buzón en el que entrega tu catch-all, en modo de solo lectura, por IMAP (TLS, puerto 993 por defecto) o JMAP, así que ese correo nunca pasa por los servidores de CatchNone, y nunca modifica tus registros DNS. Cada mensaje lleva una etiqueta con la dirección a la que llegó, así que se nota cuándo una dirección se ha filtrado o se ha vendido, y “Actividad” señala el correo que llega a un alias sin uso y los remitentes que escriben por primera vez. El correo enviado a una dirección que nunca creaste aparece bajo esa dirección con una insignia gris; si más adelante creas un alias con esa dirección, desde “Personalizar”, su correo anterior adopta el nombre y el color del alias. El límite de 10 del plan Gratis cuenta los alias que creas, no las direcciones cuyo correo aparece, y en Lite y Premium no hay límite de alias en ese caso. Descarga CatchNone, disponible para iPhone, iPad y Mac.

CatchNone es de solo recepción, así que el correo del catch-all se queda en su propia app y tú respondes desde tu cuenta habitual. Cada comprobación lee los 100 mensajes más recientes de la bandeja de entrada de los últimos 30 días, así que, si tu catch-all atrae mucho spam, un buzón dedicado al catch-all evita que el correo de los alias quede fuera. CatchNone no filtra el spam ni bloquea direcciones en tu dominio; de eso se encargan las reglas de tu proveedor. Si no tienes dominio, CatchNone ofrece direcciones aleatorias @catchnone.com con Premium, sin dominio, DNS ni buzón que configurar: si desactivas una, los remitentes reciben una devolución, y cada mensaje se conserva 30 días desde que llega.

Preguntas frecuentes

¿Es seguro el correo catch-all?

Un catch-all no hace más peligroso ningún mensaje concreto; el phishing es el mismo llegue a la dirección que llegue. Lo que añade es exposición: las direcciones adivinadas se entregan, las erratas te llegan en lugar de devolverse y, en un dominio que solo usas tú, tus direcciones se pueden relacionar entre sí. Para un remitente, una dirección catch-all no es peligrosa, solo imposible de verificar: algunas se devolverán a posteriori, y por eso Kickbox las clasifica como “Risky” (arriesgadas).

¿Puede Microsoft 365 tener una dirección catch-all?

No. Exchange Online no tiene ningún ajuste de catch-all: cuando todos los buzones de un dominio están en Microsoft 365, rechaza el correo dirigido a direcciones desconocidas con 550 5.4.1, y los apaños que circulan no son indicaciones oficiales. La guía de configuración explica por qué Microsoft 365 no tiene catch-all y qué hacer en su lugar.

¿Puede una cuenta de Gmail tener un catch-all?

No para una dirección @gmail.com, porque cada una es una sola cuenta, aunque las direcciones con + y las variantes con puntos de tu propia dirección siguen llegándote. Con un dominio propio, Google Workspace ofrece el catch-all routing (una “dirección genérica”), o un servicio de reenvío como Cloudflare Email Routing puede enviar todas las direcciones a una bandeja de entrada normal de Gmail, como se explica en usar Gmail con un dominio personalizado mediante Cloudflare.

¿Debería activar el catch-all en mi dominio?

Actívalo si quieres inventarte direcciones sobre la marcha o no quieres perder el correo mal dirigido, y aceptas bloquear una a una las direcciones filtradas. Déjalo desactivado si prefieres crear cada dirección a propósito. Hay términos medios: Proton recomienda dirigir el catch-all a una dirección dedicada para que no te llene la bandeja de entrada, y addy.io te permite definir un patrón para que solo se creen automáticamente las direcciones que coincidan. Si lo activas, la guía de configuración tiene los pasos para cada proveedor, y estos proveedores de correo para un dominio personalizado ofrecen catch-all si el tuyo no lo tiene.