מה זה catch-all email address? משמעות, סיכונים ובדיקה

כתובת catch-all ‏(catch-all email address) היא תיבת דואר שמקבלת אימיילים שנשלחו לכל כתובת בדומיין, כולל כתובות שאף אחד לא הגדיר, כל עוד לכתובת אין תיבת דואר או כתובת חלופית (email alias) משלה. אם ל-example.com יש catch-all, דואר שנשלח אל shop@example.com, ‏r8kq2@example.com או jnae@example.com (שגיאת הקלדה של jane@example.com) מתקבל ונמסר לאותה תיבת דואר אחת, במקום לחזור לשולח כהודעה חוזרת. ‏CatchNone קורא את תיבת הדואר הזו ב-iPhone, ב-iPad וב-Mac ומראה לאיזו כתובת הגיעה כל הודעה, כולל כתובות שמעולם לא הגדרת.

יש לה גם שמות אחרים, ולעיתים קרובות כותבים אותה כמילה אחת, catchall. ב-Fastmail קוראים לה catch-all או wildcard alias (כתובת חלופית כללית), ב-cPanel ‏Default Address (כתובת ברירת מחדל), וב-iCloud+‎ היא נקראת ב-iPhone ‏Allow All Incoming Messages (קבלת כל ההודעות הנכנסות) וב-iCloud.com ‏Allow all incoming emails (קבלת כל האימיילים הנכנסים). Google Workspace קורא לה catch-all routing (“כתובת מסלקת דואר” בממשק העברי), וב-Cloudflare Email Routing יש כלל Catch-all. כלי אימות קוראים לדומיין שמתנהג כך “accept-all” (מקבל הכול). כדי להפעיל כתובת כזו, כדאי לקרוא את המדריך איך מגדירים catch-all email אצל כל ספק.

לאיזה catch-all הכוונה?

המונח מופיע בשני הקשרים, וכל אחד מהם דורש תשובה אחרת.

• יש לך דומיין, או שהוא בתכנון. ה-catch-all הוא הגדרה אצל ספק הדואר שלך. מפעילים אותה כדי שדואר שנשלח לכתובת שגויה לא ילך לאיבוד, או כדי להמציא כתובת חדשה לכל הרשמה. רוב העמוד הזה מיועד לך.
• כלי לניקוי רשימות תפוצה סימן כתובת כ-“catch-all” או כ-“accept-all”. זו קביעה לגבי הדומיין של הנמען, לא לגבי הכתובת. אפשר לדלג לסעיף למה כלי אימות מסמנים דומיינים עם catch-all.

איך עובדת כתובת catch-all

בעלות על דומיין לא נותנת לך תיבת דואר מעצמה. רשומת ה-MX שלו צריכה להפנות לספק דואר או לשירות העברה, ושרתים ששולחים דואר בודקים את הרשומה הזו כדי לדעת לאן למסור. RFC 5321, תקן ה-SMTP, קובע שכאשר לדומיין יש רשומות MX, השולחים חייבים להשתמש בהן.

לאחר מכן השרת של השולח מציין את הנמענים אחד אחד. שרת רגיל עונה 250 OK על תיבת דואר שקיימת אצלו ו-550 (“no such user”, אין משתמש כזה) על תיבה שלא קיימת, והשולח מקבל הודעה חוזרת. catch-all עונה “כן” לכל שם שלפני ה-@:

השרת של השולח
 1. מחפש את רשומת ה-MX של example.com (DNS)
 2. מתחבר לשרת הזה (SMTP)
 3. RCPT TO:<r8kq2@example.com>
    שרת רגיל:  250 אם הכתובת קיימת, 550 אם לא
    catch-all: 250 לכל כתובת
 4. שולח את ההודעה
ספק הדואר שלך
 5. אין תיבת דואר r8kq2, ולכן כלל ה-catch-all
    מוסר את ההודעה לתיבת הדואר שלך

כתובת שהגדרת עדיין גוברת: Fastmail, למשל, מוסר דואר של כתובת חלופית מסוימת לאותה כתובת חלופית ולא ל-catch-all. וחוץ מזה, catch-all מכסה רק את החלק שלפני ה-@. שגיאת הקלדה בדומיין, כמו jane@example.net במקום example.com, מגיעה לדומיין אחר או לשום מקום, ולכן אף catch-all שלך לא יכול לתפוס אותה.

כתובת catch-all מול wildcard email address, כתובת חלופית וכתובת פלוס

המונח “wildcard email address” בדרך כלל מתאר אותו דבר כמו catch-all. במרכז העזרה של Fastmail קוראים לה “catch-all alias (also known as a wildcard alias)” (כתובת חלופית מסוג catch-all, שנקראת גם wildcard alias), ויוצרים אותה בתור *@example.com. יש עוד שני שימושים במילה “wildcard”, והם דברים אחרים:

• DNS wildcard ‏(RFC 4592) היא רשומה כללית ב-DNS, מערכת השמות של האינטרנט, כמו רשומת *.example.com, שעונה עבור שמות של תת-דומיינים שאין להם רשומות משלהם, כמו anything.example.com. אין לה שום קשר לחלק שלפני ה-@, ו-catch-all לא צריך אותה.
• תבנית בכלל או במסנן דואר רק ממיינת דואר שכבר הגיע. מסנן בחשבון Gmail לא יכול לגרום לדומיין לקבל כתובות ששרת הדואר שלו היה דוחה.

העברה (forwarding) היא דרך למסור דואר, לא סוג של כתובת. catch-all יכול למסור לתיבת דואר אצל אותו ספק, כמו ב-iCloud+‎ וב-Fastmail, או להעביר הכול לתיבת דואר נכנס במקום אחר, כמו ב-Cloudflare Email Routing.

השימוש לפרטיות: ממציאים כתובת בכל הרשמה

זו הסיבה שאנשים רבים מפעילים catch-all. לא צריך להגדיר שום דבר מראש. בעמוד התשלום של חנות מקלידים bookshop@example.com, או משהו רנדומלי כמו r8kq2@example.com, והדואר מהחנות מגיע לתיבת הדואר שלך. אם בהמשך הכתובת הזו מקבלת ספאם, או אימיילים מחברה שמעולם לא נתת לה אותה, אפשר לדעת מאיזו הרשמה זה הגיע.

שני הרגלים עוזרים לשיטה לעבוד טוב יותר:

• כדאי להשתמש בכתובות רנדומליות ולא בשמות של אתרים. כל מי שמכיר את הדומיין שלך יכול לנחש את amazon@example.com, ולכן ספאם שמגיע אליה מוכיח פחות על מי שהדליף אותה. במחולל שמות המשתמש של Bitwarden יש סוג “Catch-all email” (אימייל catch-all) שיוצר כתובת רנדומלית בדומיין שלך. עוד אפשרויות מופיעות במדריך ליצירת כתובת מייל רנדומלית שבאמת עובדת.
• כדאי לתעד איזו כתובת נתת לאיזה אתר, למשל ברשומה של אותו אתר במנהל הסיסמאות.

כשלכל אתר יש כתובת משלו, גם בדיקה של דליפות מידע מלמדת יותר. Have I Been Pwned מאפשר לחפש בדומיין שלם אחרי שמוכיחים שהוא בשליטתך, בחינם לדומיינים שיש בהם עד 10 כתובות שדלפו, נכון לספטמבר 2026. התיעוד שלך יגלה אז לאיזה אתר נמסרה כל כתובת שדלפה.

בלי דומיין משלך, כתובות ‎@catchnone.com של CatchNone ‏(Premium) לא דורשות דומיין, DNS או תיבת דואר להגדיר. השירות מקצה כל אחת מהן באופן רנדומלי בדומיין משותף, כך ששום שם שלך לא מקשר ביניהן. יש שירותים שנותנים לך במקום זה תת-דומיין שעובד כמו catch-all. באתר של 33mail עדיין מתואר איך ממציאים במקום כתובת כמו bbqtrading@you.33mail.com, ו-SimpleLogin (במסלול Premium בתשלום שלו) ו-addy.io מציעים תת-דומיינים עם catch-all. תת-הדומיין מקשר בין הכתובות שלך בדיוק כמו שדומיין משלך היה עושה.

החסרונות של catch-all

כתובות שמנחשים ויותר ספאם במייל

בדומיין רגיל, דואר לכתובת שלא קיימת חוזר לשולח. בדומיין עם catch-all, כל ניחוש נמסר. בשאלות הנפוצות של addy.io כתוב ששולחי ספאם ובוטים “מנסים לעיתים קרובות כתובות אימייל אקראיות”, כמו contact@‎ או admin@‎. cPanel מזהיר שכתובת ברירת מחדל שמועברת הלאה “עלולה לקבל כמות גדולה של ספאם” אם שולחי ספאם מכוונים לדומיין שלך. הספקים מתארים את הסיכון בלי לנקוב במספרים. ניחוש הוא רק דרך אחת; את האחרות אפשר למצוא במדריך איך שולחי ספאם משיגים כתובות מייל.

שגיאות הקלדה שאף פעם לא חוזרות

בלי catch-all, מי שטועה בהקלדת הכתובת שלך מקבל הודעה חוזרת ויכול לנסות שוב; גם Apple וגם Proton מתעדים את ההודעה החוזרת הזו כש-catch-all כבוי. כשהוא פועל, jnae@example.com נמסרת והשולח אף פעם לא מגלה שטעה.

בדומיין שמשמש רק אותך, לעיתים קרובות זה בדיוק מה שרוצים. זה יוצר בעיה בשני מקרים. בדומיין משותף, כפי ש-cPanel מציין, ה-catch-all עלול לקבל דואר עם שגיאת הקלדה שנועד לכתובות קיימות, כך שהאדם הלא נכון עלול לקרוא אותו. בנוסף, השולח ממשיך להשתמש בכתובת השגויה, ולכן אם בהמשך חוסמים אותה או מכבים את ה-catch-all, הדואר שלו מפסיק להגיע אליך בלי אזהרה.

הדומיין שלך מקשר בין הכתובות שלך

האתר Privacy Guides מזהיר: “אם הדומיין המותאם אישית משמש רק אותך, קל לעקוב אחרי הפעולות שלך באתרים שונים פשוט לפי שם הדומיין שבכתובת האימייל, תוך התעלמות מכל מה שלפני הסימן @”. דומיין משלך אכן מקל לקשר אותך בין אתרים, יותר מדומיין שאנשים רבים חולקים, ואם הדומיין הוא השם שלך, הוא מזהה אותך באופן ישיר. catch-all עדיין מגלה לך מי הדליף כתובת, אבל הוא לא מונע מאף אחד לראות שהכתובות קשורות זו לזו.

הכתובות שלך קיימות רק כל עוד הדומיין קיים

כל כתובת שהמצאת תלויה ברישום הדומיין שלך. אם הרישום פג, מי שירשום את הדומיין אחריך יוכל לקבל דואר שנשלח לכל הכתובות האלה, כולל קישורים לאיפוס סיסמה. כדאי להפעיל חידוש אוטומטי ולאבטח את החשבון שלך אצל רשם הדומיינים.

אפשר לכבות כתובת אחת בדומיין עם catch-all?

כן, אצל רוב הספקים, אבל לא דרך הגדרת ה-catch-all עצמה: מוסיפים כלל נפרד או כתובת חלופית נפרדת לכל כתובת שרוצים לעצור, ואם השולח יקבל הודעה חוזרת תלוי בספק. האפשרות Disable (השבתה) של Fastmail וההגדרה Reject message (דחיית ההודעה) של Google Workspace מחזירות את הדואר לשולח, מעביר דואר (forwarder) של cPanel יכול לדחות אותו עם הודעת שגיאה, הפעולה Drop (השמטה) של Cloudflare Email Routing מוחקת אותו בשקט, ו-iCloud+‎ מחזיר דואר שנשלח לכתובת שיצרת ואחר כך מחקת, לפי Apple (ב-iCloud+‎ אפשר להחזיק שלוש כתובות פעילות לכל דומיין, כך שייתכן שיהיה צורך לפנות מקום קודם).

זה מסתדר כשמדובר בכמה כתובות שדלפו; כשמדובר בעשרות, זו כבר רשימה שצריך לתחזק, ו-Cloudflare מגביל את כללי הניתוב ל-200 לכל דומיין (שתי המגבלות נכונות לספטמבר 2026). אצל כל ספק, כדאי לשלוח אחר כך הודעת בדיקה מחשבון אחר. הצעדים לכל ספק מופיעים במדריך איך עוצרים כתובת אחת ב-catch-all, ולגבי iCloud, במדריך ל“דומיין דוא״ל מותאם אישית” של iCloud+‎.

במסלולים בתשלום שלהם (נכון לספטמבר 2026), שירותי כתובות חלופיות כמו addy.io ו-SimpleLogin יכולים להפעיל catch-all בדומיין משלך, ליצור כל כתובת חלופית בפעם הראשונה שמגיע אליה דואר, ואחר כך לאפשר לך לכבות כל אחת מהן בנפרד.

catch-all או שירות של כתובות חלופיות?

Privacy Guides מעדיף שירות ייעודי לכתובות חלופיות, כי אפשר להפעיל ולכבות כל כתובת חלופית בנפרד, והתשובות יוצאות מהכתובת החלופית. גם רוב ספקי הדואר יכולים לחסום כתובות בודדות, עם כלל אחד לכל כתובת, כפי שתואר למעלה. שליחה תלויה בספק: Fastmail מאפשר להקליד כל כתובת From (מאת) בדומיין עם catch-all, ואילו Cloudflare Email Routing לא תומך בשליחה או בתשובה מהדומיין שלך. עם זאת, הטענה לגבי הקישור בין הכתובות עדיין בתוקף.

catch-all בדומיין משלך מתאים אם חשוב לך שהכתובות יחזיקו מעמד יותר מכל שירות בודד; דומיין משותף של שירות כתובות חלופיות מתאים אם חשוב לך שאי אפשר יהיה לקשר בין ההרשמות לפי הדומיין. ‏CatchNone עובד עם שתי הדרכים: בדומיין משלך הוא קורא ישירות את תיבת הדואר של ה-catch-all, ועם Premium הכתובות שלו ב-‎@catchnone.com יושבות בדומיין משותף, ושם כשמכבים אחת מהן, השולחים מקבלים הודעה חוזרת. בשני המקרים, כל הודעה מסומנת בתג של הכתובת שאליה הגיעה. הוא רק מקבל דואר, וזה מכוון, כך שהדואר הזה נשאר באפליקציה נפרדת ומשיבים מהחשבון הרגיל שלך. לעלויות ולהשוואה המלאה, כדאי לקרוא את המדריך האם שווה להחזיק מייל עם דומיין משלך.

לבעלי רשימות תפוצה: למה כלי אימות מייל מסמנים דומיינים עם catch-all

כלי אימות מייל (email verification) בודקים כתובת באמצעות שיחה עם שרת הדואר של הנמען ב-SMTP, ועוצרים לפני שנשלחת הודעה כלשהי. אם השרת עונה 250 לכל כתובת, הבדיקה לא מוכיחה כלום, כי כתובות אמיתיות וכתובות מומצאות נראות אותו דבר. אחרי ששרת קיבל הודעה, כישלון מאוחר יותר חוזר כהודעה חוזרת נפרדת, או שההודעה נזרקת בשקט: לפי Kickbox, שרת כזה “עשוי להשליך את ההודעה בשקט או לשלוח הודעה חוזרת בדיעבד”.

כך הכלים מסמנים את התוצאה:

• Kickbox: ‏“Accept-All” (מקבל הכול), בקטגוריה Risky (מסוכן), עם העצה “כדאי לנהוג בזהירות בשליחה לכתובות מסוכנות”.
• NeverBounce: ‏“Accept all (Unverifiable)” (מקבל הכול, לא ניתן לאימות), ומוסיף ש-catch-all “הוא הגדרה בשרת הדואר של הנמען, לא קביעה לגבי הכתובת הבודדת; לעיתים קרובות האימיילים האלה תקינים”.
• Hunter: הסטטוס accept_all, עם ציון שמעריך עד כמה סביר שהכתובת תקינה.

זה נפוץ. לפי ZeroBounce, יותר מ-9% מהכתובות שעיבד ב-2025 קיבלו את התוצאה catch-all, ו-MailerCheck מדווח על 8.6% מהכתובות שאימת. ZeroBounce גם טוען שהניתוב של דואר נכנס ב-Microsoft 365 יכול לגרום לבדיקות להיראות כמו catch-all גם כשאין תיבת catch-all, ואילו Microsoft מתעדת שדומיינים מסוג Authoritative (סמכותיים) אצלה דוחים נמענים לא מוכרים.

כדאי לשלוח לכתובות catch-all?

תוצאת catch-all פירושה “לא ידוע”, לא “לא תקין”. כדאי לשמור כתובות catch-all שהגיעו דרך הרשמה שאושרה או שבעליהן כבר לחצו על קישור באימייל שלך, לשלוח לשאר במנות קטנות, ולהסיר כל כתובת שמחזירה הודעה חוזרת.

מיון דואר catch-all לפי כתובת

ממיינים לפי הכתובת שאליה נשלחה כל הודעה, אבל בדואר שנשלח אליך כעותק מוסתר (Bcc) הכתובת שלך לא מופיעה בשדות To או Cc ‏(RFC 5322), ודואר של רשימות תפוצה ממוען לעיתים קרובות לרשימה עצמה. כותרת Delivered-To, שמתוארת ב-RFC 9228 הניסיוני, עוזרת כשספק הדואר שלך מוסיף אותה. כללים וחיפושים לכל ספק מופיעים במדריך קריאת דואר catch-all כתובת אחר כתובת.

איפה CatchNone נכנס לתמונה

המסלול “הבא דומיין משלך” של CatchNone בנוי לקריאת תיבת דואר מסוג “לכידת הכול (catch-all)”. הוא מתחבר מהמכשיר שלך ישירות לתיבת הדואר שה-catch-all שלך מוסר אליה, לקריאה בלבד, דרך IMAP ‏(TLS, פורט 993 כברירת מחדל) או JMAP, כך שהדואר הזה אף פעם לא עובר דרך השרתים של CatchNone, והוא אף פעם לא משנה את רשומות ה-DNS שלך. כל הודעה מסומנת בתג של הכתובת שאליה הגיעה, כך שכתובת שדלפה או נמכרה מתגלה, והלשונית “פעילות” מצביעה על דואר לכינוי שלא בשימוש ועל שולחים חדשים. דואר לכתובת שמעולם לא יצרת מופיע תחת אותה כתובת עם תג אפור; אם יוצרים אחר כך כינוי עם הכתובת הזו, דרך “התאמה אישית”, הדואר הקודם שלה מקבל את השם והצבע של הכינוי. המגבלה של 10 במסלול “חינם” סופרת כינויים שיצרת, לא כתובות שהדואר שלהן מופיע, וב-Lite וב-Premium אין הגבלה על מספר הכינויים בדומיין משלך. מורידים את CatchNone, שזמין ל-iPhone, ל-iPad ול-Mac.

‏CatchNone רק מקבל דואר, כך שדואר ה-catch-all נשאר באפליקציה נפרדת ומשיבים מהחשבון הרגיל שלך. כל בדיקה קוראת את 100 ההודעות החדשות ביותר בדואר הנכנס מ-30 הימים האחרונים, ולכן אם ה-catch-all שלך מושך הרבה ספאם, תיבת דואר ייעודית ל-catch-all מונעת מדואר הכתובות החלופיות להידחק החוצה. ‏CatchNone לא מסנן ספאם ולא חוסם כתובות בדומיין שלך; את זה עושים הכללים של ספק הדואר שלך. בלי דומיין, CatchNone מציע כתובות רנדומליות ב-‎@catchnone.com עם Premium, בלי דומיין, DNS או תיבת דואר להגדיר: כשמכבים אחת מהן, השולחים מקבלים הודעה חוזרת, וכל הודעה נשמרת 30 יום מרגע שהיא מגיעה.

שאלות נפוצות

האם כתובות catch-all בטוחות?

ה-catch-all לא הופך אף הודעה בודדת למסוכנת יותר; פישינג הוא אותו פישינג, לא משנה לאיזו כתובת הוא מגיע. מה שהוא מוסיף הוא חשיפה: כתובות שמנחשים נמסרות, שגיאות הקלדה מגיעות אליך במקום לחזור לשולח, ובדומיין שמשמש רק אותך אפשר לקשר בין הכתובות שלך. מבחינת שולח, כתובת catch-all לא מסוכנת, רק לא ניתנת לאימות: חלק מהכתובות האלה יחזירו הודעה חוזרת בדיעבד, ולכן Kickbox מסווג אותן כ-Risky (מסוכנות).

אפשר להגדיר כתובת catch-all ב-Microsoft 365?

לא. ב-Exchange Online אין הגדרת catch-all: כשכל תיבות הדואר של דומיין נמצאות ב-Microsoft 365, הוא דוחה דואר לכתובות לא מוכרות עם 550 5.4.1, והפתרונות העוקפים שמסתובבים ברשת אינם הנחיות רשמיות. מדריך ההגדרה מסביר למה אין catch-all ב-Microsoft 365 ומה עושים במקום.

האם לחשבון Gmail יכול להיות catch-all?

לא לכתובת ‎@gmail.com, כי כל כתובת כזו היא חשבון יחיד, אבל כתובות פלוס וגרסאות עם נקודות של הכתובת שלך עדיין מגיעות אליך. עם דומיין בבעלותך, ב-Google Workspace יש ניתוב catch-all ‏(catch-all routing), או ששירות העברה כמו Cloudflare Email Routing יכול להעביר כל כתובת לתיבת דואר נכנס רגילה ב-Gmail, כפי שמתואר במדריך שימוש ב-Gmail עם דומיין מותאם אישית דרך Cloudflare.

כדאי להפעיל catch-all בדומיין שלי?

כדאי להפעיל אותו אם רוצים להמציא כתובות במקום או לא לאבד דואר שנשלח לכתובת שגויה, ואם מוכנים לחסום כתובות שדלפו אחת אחת. עדיף להשאיר אותו כבוי אם מעדיפים ליצור כל כתובת במכוון. יש גם דרכי ביניים: Proton ממליץ להפנות את ה-catch-all לכתובת ייעודית כדי שלא יעמיס על הדואר הנכנס שלך, ו-addy.io מאפשר להגדיר תבנית כך שרק כתובות שתואמות לה נוצרות אוטומטית. אם מפעילים אותו, במדריך ההגדרה יש את הצעדים לכל ספק, וספקי האימייל האלה לדומיין מותאם אישית מציעים catch-all אם הספק שלך לא מציע.