Catch-all email: cos’è un indirizzo catch-all e i rischi

Un indirizzo email catch-all è una casella di posta che riceve la posta inviata a qualsiasi indirizzo di un dominio, compresi gli indirizzi che nessuno ha mai creato, purché l’indirizzo non abbia una casella o un alias propri: in pratica, tutta la posta del dominio in un’unica casella. Se example.com ha un catch-all, la posta indirizzata a shop@example.com, a r8kq2@example.com o a jnae@example.com (un errore di battitura per jane@example.com) viene accettata e recapitata in quella casella invece di tornare al mittente. CatchNone legge quella casella su iPhone, iPad e Mac e mostra a quale indirizzo è arrivato ogni messaggio, compresi gli indirizzi che non hai mai creato.

Ha anche altri nomi, e spesso si scrive tutto attaccato: catchall. Fastmail lo chiama catch-all o wildcard alias (alias jolly), cPanel Default Address (indirizzo predefinito) e iCloud+ Allow All Incoming Messages (consenti tutti i messaggi in entrata) su iPhone e “Consentire tutte le email in entrata” su iCloud.com, dove la guida di Apple parla di “indirizzo onnicomprensivo”. Google Workspace lo chiama routing catch-all (“Indirizzo catch-all”) e Cloudflare Email Routing ha una regola Catch-all. Gli strumenti di verifica chiamano “accept-all” un dominio che si comporta così. Per attivarne uno, leggi come configurare un’email catch-all con qualsiasi provider.

Di quale catch-all parli?

Il termine compare in due contesti, e ognuno richiede una risposta diversa.

Hai un dominio, o stai pensando di prenderne uno. Il catch-all è un’impostazione del provider che ospita la tua posta. Lo si attiva per non perdere la posta con l’indirizzo sbagliato, o per inventare un indirizzo nuovo a ogni iscrizione. Quasi tutta questa pagina è per te.
Uno strumento di pulizia delle liste ha segnato un indirizzo come “catch-all” o “accept-all”. È un giudizio sul dominio del destinatario, non sull’indirizzo. Passa direttamente a perché i verificatori segnalano i domini catch-all.

Come funziona un indirizzo email catch-all

Avere un dominio non ti dà, da solo, una casella di posta. Il suo record MX deve puntare a un provider di posta o a un servizio di inoltro, e i server che inviano consultano quel record per sapere dove recapitare. La RFC 5321, lo standard SMTP, stabilisce che, quando un dominio ha record MX, i mittenti devono usarli.

Il server del mittente indica poi i destinatari uno alla volta. Un server normale risponde 250 OK per una casella che esiste e 550 (“no such user”, utente inesistente) per una che non esiste, e il mittente riceve un messaggio di mancato recapito. Un catch-all risponde sì a qualsiasi nome prima della @:

Server del mittente
 1. Cerca il record MX di example.com (DNS)
 2. Si collega a quel server (SMTP)
 3. RCPT TO:<r8kq2@example.com>
    normale:   250 se esiste, 550 se no
    catch-all: 250 per qualsiasi indirizzo
 4. Invia il messaggio
Il tuo provider di posta
 5. Nessuna casella r8kq2, quindi la regola
    catch-all lo recapita nella tua casella

Un indirizzo che hai creato ha comunque la precedenza: Fastmail, per esempio, recapita la posta destinata a un alias specifico a quell’alias e non al catch-all. Inoltre un catch-all copre solo la parte prima della @. Un errore nel dominio, come jane@example.net quando intendevi example.com, finisce in un altro dominio o da nessuna parte, quindi nessun catch-all tuo può intercettarlo.

Catch-all vs indirizzo email wildcard, alias e plus address

“Indirizzo email wildcard” di solito significa la stessa cosa di catch-all. La guida di Fastmail parla di “alias catch-all (noto anche come alias wildcard)”, e lo crei come *@example.com. Altri due usi di “wildcard” indicano cose diverse:

Un wildcard DNS (RFC 4592), come un record *.example.com, risponde per i nomi di sottodominio che non hanno record propri, come anything.example.com. Non ha niente a che fare con la parte prima della @, e un catch-all non ne ha bisogno.
Un pattern in una regola o in un filtro della posta smista soltanto la posta già arrivata. Un filtro in un account Gmail non può far accettare a un dominio indirizzi che il suo server di posta rifiuterebbe.

Termine	Esempio	Cosa copre	Devi creare prima ogni indirizzo?	Bloccare un indirizzo
Catch-all (alias wildcard)	`anything@example.com`	Ogni indirizzo del dominio che non ha una casella propria	No	Una regola separata per quell’indirizzo
Alias	`shop@example.com`	Un solo indirizzo, recapitato in una casella che hai già	Sì	Disattivalo o eliminalo (con il catch-all attivo, la posta di un alias eliminato di solito finisce nel catch-all)
Plus address (indirizzo con il +)	`jane+shop@example.com`	Qualsiasi tag aggiunto a un indirizzo esistente	No, ma l’indirizzo base deve esistere	Solo con un filtro, e chiunque può togliere il tag

L’inoltro è un modo di recapitare la posta, non un tipo di indirizzo. Un catch-all può recapitare in una casella presso lo stesso provider, come fanno iCloud+ e Fastmail, oppure inoltrare tutto a una casella altrove, come fa Cloudflare Email Routing.

L’uso per la privacy: inventa un indirizzo a ogni iscrizione

È il motivo per cui molti attivano il catch-all. Non devi configurare niente in anticipo. Alla cassa di un negozio online scrivi bookshop@example.com, o qualcosa di casuale come r8kq2@example.com, e la posta del negozio arriva nella tua casella. Se in seguito quell’indirizzo riceve spam, o posta da un’azienda a cui non l’hai mai dato, sai da quale iscrizione viene.

Due abitudini lo rendono più efficace:

Usa indirizzi casuali invece dei nomi dei siti. Chiunque conosca il tuo dominio può indovinare amazon@example.com, quindi lo spam che ci arriva dimostra meno su chi l’ha fatto trapelare. Il generatore di nomi utente di Bitwarden ha un tipo “Catch-all email” (email catch-all) che crea un indirizzo casuale sul tuo dominio. Trovi altre opzioni nella guida per generare un indirizzo email casuale che funziona davvero.
Tieni un registro di quale indirizzo hai dato a quale sito, per esempio nella voce di quel sito nel tuo gestore di password.

Un indirizzo per sito rende anche più eloquenti i controlli sulle violazioni dei dati (data breach). Have I Been Pwned ti permette di cercare un intero dominio dopo aver dimostrato di controllarlo, gratis per i domini con al massimo 10 indirizzi coinvolti in violazioni, a settembre 2026. Il tuo registro ti dice poi a quale sito avevi dato ciascun indirizzo coinvolto.

Senza un dominio tuo, gli indirizzi @catchnone.com di CatchNone (Premium) non richiedono dominio, DNS o casella da configurare. Il servizio li assegna a caso su un dominio condiviso, quindi nessun nome tuo li collega tra loro. Alcuni servizi ti danno invece un sottodominio che funziona come un catch-all. Il sito di 33mail descrive ancora come inventare sul momento bbqtrading@you.33mail.com, e SimpleLogin (con il piano a pagamento Premium) e addy.io offrono sottodomini con catch-all. Il sottodominio collega tra loro i tuoi indirizzi proprio come farebbe un dominio tuo.

Gli svantaggi di un catch-all

Indirizzi indovinati e più spam

Su un dominio normale, la posta inviata a un indirizzo inesistente torna al mittente. Su un catch-all, ogni tentativo viene recapitato. Le FAQ di addy.io spiegano che spammer e bot “provano spesso indirizzi email casuali” come contact@ o admin@. cPanel avverte che un indirizzo predefinito inoltrato “potrebbe ricevere una grande quantità di spam” se gli spammer prendono di mira il tuo dominio. I provider descrivono il rischio senza quantificarlo. Tirare a indovinare è solo una delle strade; le altre sono in come fanno gli spammer a ottenere il tuo indirizzo email.

Errori di battitura che non tornano mai indietro

Senza catch-all, chi sbaglia a scrivere il tuo indirizzo riceve un messaggio di mancato recapito e può riprovare; Apple e Proton documentano entrambi questo rimbalzo quando il catch-all è disattivato. Con il catch-all, jnae@example.com viene recapitato e il mittente non si accorge mai dell’errore.

Su un dominio che usi solo tu, spesso è proprio quello che vuoi. Crea problemi in due casi. Su un dominio condiviso, osserva cPanel, il catch-all può ricevere posta con errori di battitura destinata a indirizzi esistenti, quindi potrebbe leggerla la persona sbagliata. E il mittente continua a usare l’indirizzo sbagliato, quindi se in seguito lo blocchi o disattivi il catch-all, la sua posta smette di arrivarti senza alcun avviso.

Il tuo dominio collega tra loro i tuoi indirizzi

Privacy Guides avverte: “Se sei l’unica persona a usare il tuo dominio personalizzato, le tue azioni possono essere facilmente tracciate da un sito all’altro semplicemente guardando il nome di dominio nell’indirizzo email e ignorando tutto ciò che precede il simbolo @.” Un dominio tuo ti rende effettivamente più facile da collegare tra un sito e l’altro rispetto a un dominio condiviso da molte persone, e se il dominio è il tuo nome ti identifica senza ombra di dubbio. Un catch-all ti dice comunque chi ha fatto trapelare un indirizzo, ma non impedisce a nessuno di vedere che quegli indirizzi sono collegati.

I tuoi indirizzi durano solo quanto il dominio

Ogni indirizzo che hai inventato dipende dalla registrazione del tuo dominio. Se scade, chi registra il dominio dopo di te può ricevere la posta inviata a tutti quegli indirizzi, compresi i link per reimpostare la password. Attiva il rinnovo automatico e proteggi il tuo account presso il registrar.

Si può disattivare un solo indirizzo su un dominio catch-all?

Sì, con la maggior parte dei provider, ma non tramite l’impostazione catch-all in sé: aggiungi una regola o un alias separato per ogni indirizzo che vuoi bloccare, e se il mittente riceva o meno un messaggio di mancato recapito dipende dal provider. L’opzione Disable (disattiva) di Fastmail e l’impostazione Reject message (rifiuta messaggio) di Google Workspace fanno tornare la posta al mittente, un forwarder (inoltro) di cPanel può rifiutarla con un errore, l’azione Drop (scarta) di Cloudflare Email Routing la elimina in silenzio e iCloud+ rimanda al mittente la posta inviata a un indirizzo che hai creato e poi eliminato, secondo Apple (iCloud+ consente tre indirizzi attivi per dominio, quindi potresti dover prima liberare un posto).

Va bene per pochi indirizzi trapelati; per decine diventa un elenco da gestire, e Cloudflare limita le regole di routing a 200 per dominio (entrambi i limiti sono aggiornati a settembre 2026). Qualunque sia il provider, dopo invia un messaggio di prova da un altro account. I passaggi per ogni provider sono in come bloccare un indirizzo su un catch-all e, per iCloud, nella guida al Dominio email personalizzato di iCloud+.

Con i piani a pagamento (a settembre 2026), servizi di alias come addy.io e SimpleLogin possono gestire un catch-all sul tuo dominio, creando ogni alias la prima volta che riceve posta, e poi ti permettono di disattivarne uno qualsiasi.

Catch-all o servizio di alias?

Privacy Guides preferisce un servizio di alias dedicato perché gli alias si possono attivare e disattivare uno alla volta e le risposte partono dall’alias. Anche la maggior parte dei provider può bloccare singoli indirizzi, con una regola per indirizzo, come descritto sopra. L’invio dipende dal provider: Fastmail ti permette di scrivere qualsiasi indirizzo nel campo Da su un dominio catch-all, mentre Cloudflare Email Routing non supporta l’invio né le risposte dal tuo dominio. Il punto sul collegamento tra gli indirizzi, però, resta valido.

Un catch-all sul tuo dominio fa per te se vuoi indirizzi che sopravvivano a qualsiasi singolo servizio; un dominio di alias condiviso fa per te se vuoi iscrizioni che non si possano ricondurre l’una all’altra tramite il dominio. CatchNone funziona con entrambi: sul tuo dominio legge direttamente la casella del catch-all, e con Premium i suoi indirizzi @catchnone.com stanno su un dominio condiviso, dove disattivarne uno fa ricevere ai mittenti un messaggio di mancato recapito. In ogni caso, ogni messaggio porta il badge dell’indirizzo a cui è arrivato. È di sola ricezione per scelta, quindi quella posta resta nella sua app e rispondi dal tuo solito account. Per i costi e il confronto completo, leggi se vale la pena avere un dominio email tuo.

Per chi gestisce liste: perché i verificatori segnalano i domini catch-all

Gli strumenti di verifica controllano un indirizzo dialogando via SMTP con il server di posta del destinatario e fermandosi prima che venga inviato qualsiasi messaggio. Se il server risponde 250 per ogni indirizzo, il controllo non prova niente, perché gli indirizzi veri e quelli inventati sembrano uguali. Una volta che un server ha accettato un messaggio, un errore successivo torna indietro come messaggio di mancato recapito separato, oppure il messaggio viene scartato in silenzio: Kickbox spiega che un server del genere “può scartare il messaggio in silenzio o inviare un messaggio di mancato recapito in un secondo momento”.

Come etichettano il risultato gli strumenti:

Kickbox: “Accept-All”, nella categoria Risky (rischioso), con il consiglio “Use caution when sending to risky addresses” (fai attenzione quando invii a indirizzi rischiosi).
NeverBounce: “Accept all (Unverifiable)” (accetta tutto, non verificabile), e aggiunge che il catch-all “è un’impostazione del server di posta del destinatario, non un giudizio sul singolo indirizzo: questi indirizzi sono spesso validi”.
Hunter: lo stato accept_all, con un punteggio che stima quanto è probabile che l’indirizzo sia valido.

È un caso frequente. ZeroBounce riporta che oltre il 9% degli indirizzi elaborati nel 2025 è risultato catch-all, e MailerCheck indica l’8,6% per gli indirizzi che ha verificato. ZeroBounce afferma anche che il routing in entrata di Microsoft 365 può far sembrare catch-all i controlli anche quando non esiste alcuna casella catch-all, mentre Microsoft documenta che i suoi domini Authoritative (autorevoli) rifiutano i destinatari sconosciuti.

Conviene inviare agli indirizzi catch-all?

Un risultato catch-all significa “sconosciuto”, non “non valido”. Tieni gli indirizzi catch-all arrivati con un’iscrizione confermata o che hanno cliccato un link nelle tue email, invia agli altri in piccoli lotti e rimuovi quelli che tornano indietro.

Smistare la posta catch-all per indirizzo

Smista in base all’indirizzo a cui è stato inviato ciascun messaggio, ma la posta che ti arriva in Ccn non mostra il tuo indirizzo in A o Cc (RFC 5322), e la posta delle mailing list è spesso indirizzata alla lista. Un’intestazione Delivered-To, descritta nella RFC 9228, ancora sperimentale, aiuta se il tuo provider la aggiunge. Regole e ricerche per ogni provider sono in leggere la posta catch-all indirizzo per indirizzo.

Dove si colloca CatchNone

Il percorso Usa il tuo dominio di CatchNone è pensato per leggere una casella catch-all. Si collega dal tuo dispositivo direttamente alla casella in cui il tuo catch-all recapita la posta, in sola lettura tramite IMAP (TLS, porta 993 di default) o JMAP, quindi quella posta non passa mai dai server di CatchNone, e non modifica mai i tuoi DNS. Ogni messaggio porta il badge dell’indirizzo a cui è arrivato, così un indirizzo trapelato o venduto salta fuori, e “Attività” segnala la posta arrivata su un alias che non usi e i mittenti che ti scrivono per la prima volta. La posta inviata a un indirizzo che non hai mai creato compare sotto quell’indirizzo con un badge grigio; se in seguito crei un alias con quell’indirizzo, tramite Personalizza, la sua posta precedente prende il nome e il colore dell’alias. Il limite di 10 del piano Gratuito conta gli alias che crei, non gli indirizzi la cui posta compare, e con Lite e Premium non c’è alcun limite di alias sul tuo dominio. Scarica CatchNone, disponibile per iPhone, iPad e Mac.

CatchNone è di sola ricezione, quindi la posta del catch-all resta nella sua app e rispondi dal tuo solito account. Ogni controllo legge i 100 messaggi più recenti della posta in arrivo degli ultimi 30 giorni, quindi se il tuo catch-all attira molto spam, una casella dedicata al catch-all evita che la posta degli alias resti esclusa. CatchNone non filtra lo spam e non blocca indirizzi sul tuo dominio: se ne occupano le regole del tuo provider. Senza un dominio, CatchNone offre indirizzi @catchnone.com casuali con Premium, senza dominio, DNS o casella da configurare: se ne disattivi uno, i mittenti ricevono un messaggio di mancato recapito, e ogni messaggio viene conservato per 30 giorni dall’arrivo.

Domande frequenti

Le email catch-all sono sicure?

Un catch-all non rende più pericoloso nessun singolo messaggio; il phishing è lo stesso a qualunque indirizzo arrivi. Quello che aggiunge è esposizione: gli indirizzi indovinati vengono recapitati, gli errori di battitura arrivano a te invece di tornare al mittente e, su un dominio che usi solo tu, i tuoi indirizzi si possono collegare tra loro. Per chi invia, un indirizzo catch-all non è pericoloso, solo non verificabile: alcuni torneranno indietro in un secondo momento, ed è per questo che Kickbox li classifica come Risky.

Microsoft 365 può avere un indirizzo catch-all?

No. Exchange Online non ha un’impostazione catch-all: quando tutte le caselle di un dominio sono in Microsoft 365, rifiuta la posta indirizzata a indirizzi sconosciuti con 550 5.4.1, e le soluzioni alternative che circolano non sono indicazioni ufficiali. La guida alla configurazione spiega perché Microsoft 365 non ha un catch-all e cosa fare invece.

Un account Gmail può avere un catch-all?

Non per un indirizzo @gmail.com, perché ognuno corrisponde a un solo account, anche se gli indirizzi con il + e le varianti con i punti del tuo indirizzo ti arrivano comunque. Con un dominio di tua proprietà, Google Workspace ha il routing catch-all, oppure un servizio di inoltro come Cloudflare Email Routing può inoltrare ogni indirizzo a una normale casella Gmail, come spiegato in usare Gmail con un dominio personalizzato tramite Cloudflare.

Conviene attivare il catch-all sul mio dominio?

Attivalo se vuoi inventare indirizzi sul momento o non vuoi perdere la posta con l’indirizzo sbagliato, e accetti di bloccare uno per uno gli indirizzi trapelati. Lascialo disattivato se preferisci creare ogni indirizzo di proposito. Esistono vie di mezzo: Proton consiglia di far puntare il catch-all a un indirizzo dedicato, così non ti riempie la posta in arrivo, e addy.io ti permette di impostare un pattern in modo che vengano creati automaticamente solo gli indirizzi corrispondenti. Se lo attivi, la guida alla configurazione riporta i passaggi per ogni provider, e questi provider email per un dominio personalizzato offrono un catch-all se il tuo non lo fa.