Catch-all no e-mail: significado, como funciona e riscos

Um endereço de e-mail catch-all (ou endereço curinga) é uma caixa de correio que recebe os e-mails enviados para qualquer endereço de um domínio, inclusive endereços que ninguém criou, desde que o endereço não tenha caixa de correio nem alias próprio. Se example.com tem um catch-all, os e-mails para shop@example.com, r8kq2@example.com ou jnae@example.com (um erro de digitação de jane@example.com) são aceitos e entregues nessa única caixa de correio, em vez de voltarem para o remetente. O CatchNone lê essa caixa de correio no iPhone, no iPad e no Mac e mostra em qual endereço cada mensagem chegou, inclusive os endereços que você nunca criou.

Ele também tem outros nomes e muitas vezes aparece escrito junto, catchall. O Fastmail o chama de catch-all alias ou wildcard alias (alias catch-all ou curinga), o cPanel de Default Address (endereço padrão) e o iCloud+, no iPhone, de Allow All Incoming Messages (Permitir Todas as Mensagens Recebidas); no iCloud.com, é a opção de permitir o recebimento de todos os e-mails. O Google Workspace fala em catch-all routing (roteamento catch-all), e o Email Routing (roteamento de e-mail) do Cloudflare tem uma regra Catch-all. As ferramentas de verificação chamam um domínio que se comporta assim de “accept-all” (aceita tudo). Para ativar um, veja como configurar um e-mail catch-all em qualquer provedor.

De qual catch-all estamos falando?

O termo aparece em dois contextos, e cada um pede uma resposta diferente.

• Você tem um domínio ou está pensando em ter um. O catch-all é uma configuração no seu provedor de e-mail. As pessoas o ativam para não perder e-mails com o endereço errado ou para poder inventar um endereço novo a cada cadastro. A maior parte desta página é para você.
• Uma ferramenta de limpeza de listas marcou um endereço como “catch-all” ou “accept-all”. Isso é um veredito sobre o domínio do destinatário, não sobre o endereço. Vá direto para por que os verificadores marcam domínios catch-all.

Como funciona um endereço de e-mail catch-all

Ter um domínio não lhe dá, por si só, uma caixa de correio. O registro MX dele precisa apontar para um provedor de e-mail ou para um serviço de encaminhamento, e os servidores que enviam consultam esse registro para saber onde entregar. A RFC 5321, o padrão do SMTP, diz que, quando um domínio tem registros MX, os remetentes devem usá-los.

O servidor do remetente então informa cada destinatário, um por vez. Um servidor normal responde 250 OK para uma caixa de correio que existe e 550 (“usuário inexistente”) para uma que não existe, e a mensagem volta para o remetente. Um catch-all responde sim para qualquer nome antes do @:

Servidor do remetente
 1. Consulta o MX de example.com (DNS)
 2. Conecta-se a esse servidor (SMTP)
 3. RCPT TO:<r8kq2@example.com>
    normal:    250 se existe, 550 se não
    catch-all: 250 para qualquer endereço
 4. Envia a mensagem
Seu provedor de e-mail
 5. Não há caixa r8kq2, então a regra
    catch-all entrega na sua caixa de correio

Um endereço que você criou continua tendo prioridade: o Fastmail, por exemplo, entrega os e-mails de um alias específico nesse alias, e não no catch-all. Além disso, um catch-all só cobre a parte antes do @. Um erro de digitação no domínio, como jane@example.net quando você queria example.com, vai para outro domínio ou para lugar nenhum, então nenhum catch-all seu consegue pegá-lo.

Catch-all vs. endereço curinga, alias e endereço com sinal de mais

“Endereço de e-mail curinga” (wildcard email address) geralmente quer dizer o mesmo que catch-all. A ajuda do Fastmail fala em “alias catch-all (também conhecido como alias curinga)”, e você o cria como *@example.com. Dois outros usos de “curinga” são coisas diferentes:

• Um curinga de DNS (RFC 4592), como um registro *.example.com, responde por nomes de subdomínio que não têm registros próprios, como anything.example.com. Ele não tem nada a ver com a parte antes do @, e um catch-all não precisa dele.
• Um padrão em uma regra ou filtro de e-mail só organiza e-mails que já chegaram. Um filtro em uma conta do Gmail não faz um domínio aceitar endereços que o servidor de e-mail dele recusaria.

Encaminhamento é uma forma de entregar, não um tipo de endereço. Um catch-all pode entregar em uma caixa de correio no mesmo provedor, como fazem o iCloud+ e o Fastmail, ou mandar tudo para uma caixa de entrada em outro lugar, como faz o Email Routing do Cloudflare.

O uso para privacidade: invente um endereço a cada cadastro

É por isso que muita gente ativa o catch-all. Você não precisa configurar nada antes. No checkout de uma loja, você digita bookshop@example.com, ou algo aleatório como r8kq2@example.com, e os e-mails da loja chegam na sua caixa de correio. Se esse endereço depois receber spam, ou e-mails de uma empresa para a qual você nunca o informou, você sabe de qual cadastro ele veio.

Dois hábitos fazem isso funcionar melhor:

• Use endereços aleatórios em vez do nome do site. Quem conhece seu domínio consegue adivinhar amazon@example.com, então spam nesse endereço prova menos sobre quem o vazou. O gerador de nomes de usuário do Bitwarden tem um tipo “Catch-all email” (e-mail catch-all) que cria um endereço aleatório no seu domínio. Há mais opções no guia para gerar um endereço de e-mail aleatório que funciona de verdade.
• Anote qual endereço você deu para qual site, por exemplo na entrada desse site no seu gerenciador de senhas.

Um endereço por site também deixa as verificações de vazamento de dados mais reveladoras. O Have I Been Pwned permite pesquisar um domínio inteiro depois que você prova que o controla, de graça para domínios com até 10 endereços vazados, em setembro de 2026. Suas anotações então mostram para qual site cada endereço vazado foi informado.

Sem um domínio próprio, os endereços @catchnone.com do CatchNone (Premium) dispensam domínio, DNS e caixa de correio para configurar. O serviço atribui cada um aleatoriamente em um domínio compartilhado, então nenhum nome seu liga um endereço ao outro. Outros serviços oferecem um subdomínio que funciona como um catch-all. O site do 33mail ainda descreve como inventar bbqtrading@you.33mail.com na hora, e o SimpleLogin (no plano pago Premium) e o addy.io oferecem subdomínios com catch-all. O subdomínio liga seus endereços entre si da mesma forma que seu próprio domínio faria.

As desvantagens de um catch-all

Endereços adivinhados e mais spam

Em um domínio comum, os e-mails para um endereço que não existe voltam para o remetente. Em um catch-all, todo palpite é entregue. O FAQ do addy.io diz que spammers e bots “muitas vezes tentam endereços de e-mail aleatórios”, como contact@ ou admin@. O cPanel alerta que um endereço padrão encaminhado “pode receber uma grande quantidade de spam” se spammers mirarem seu domínio. Os provedores descrevem o risco sem dar um número. Adivinhar é só um dos caminhos; os outros estão em como os spammers conseguem endereços de e-mail.

Erros de digitação que nunca voltam

Sem um catch-all, quem digita seu endereço errado recebe a mensagem de volta e pode tentar de novo; a Apple e o Proton documentam essa devolução quando o catch-all está desativado. Com um catch-all, jnae@example.com é entregue e o remetente nunca fica sabendo do erro.

Em um domínio que só você usa, muitas vezes é isso que você quer. O problema aparece em dois casos. Em um domínio compartilhado, observa o cPanel, o catch-all pode receber e-mails com erro de digitação destinados a endereços que existem, e a pessoa errada pode lê-los. Além disso, o remetente continua usando o endereço errado; então, se depois você bloqueá-lo ou desativar o catch-all, os e-mails dele deixam de chegar até você sem nenhum aviso.

Seu domínio liga seus endereços entre si

O Privacy Guides alerta: “Se você é a única pessoa que usa seu domínio personalizado, suas ações podem ser facilmente rastreadas entre sites, bastando olhar o nome de domínio no endereço de e-mail e ignorar tudo o que vem antes do símbolo @.” Seu próprio domínio de fato torna mais fácil ligar você entre sites do que um domínio que muita gente compartilha e, se o domínio é o seu nome, ele identifica você diretamente. Um catch-all ainda mostra quem vazou um endereço, mas não impede ninguém de ver que os endereços pertencem à mesma pessoa.

Seus endereços só duram enquanto o domínio durar

Cada endereço que você inventou depende do registro do seu domínio. Se o registro vencer, quem registrar o domínio em seguida pode receber os e-mails enviados para todos eles, inclusive links de redefinição de senha. Ative a renovação automática e proteja sua conta no registrador de domínios.

Dá para desativar um único endereço em um domínio catch-all?

Sim, na maioria dos provedores, mas não pela própria configuração de catch-all: você cria uma regra ou um alias separado para cada endereço que quer bloquear, e se o remetente recebe a mensagem de volta depende do provedor. A opção Disable (Desativar) do Fastmail e a configuração Reject message (Rejeitar mensagem) do Google Workspace devolvem o e-mail, um forwarder (encaminhador) do cPanel pode recusá-lo com um erro, a ação Drop (Descartar) do Email Routing do Cloudflare o apaga sem aviso, e o iCloud+ devolve os e-mails enviados para um endereço que você criou e depois apagou, segundo a Apple (o iCloud+ permite três endereços ativos por domínio, então talvez você precise liberar uma vaga antes).

Isso funciona para alguns endereços vazados; para dezenas, vira uma lista para manter, e o Cloudflare limita as regras de roteamento a 200 por domínio (os dois limites valem para setembro de 2026). Seja qual for o provedor, envie depois uma mensagem de teste de outra conta. O passo a passo para cada provedor está em como bloquear um endereço em um catch-all e, para o iCloud, no guia do Domínio de E-mail Personalizado do iCloud+.

Nos planos pagos (em setembro de 2026), serviços de alias como o addy.io e o SimpleLogin podem operar um catch-all no seu próprio domínio, criando cada alias na primeira vez que ele recebe um e-mail, e depois deixam você desativar qualquer um deles.

Catch-all ou serviço de alias?

O Privacy Guides prefere um serviço de aliases dedicado, porque os aliases podem ser ativados e desativados um a um e as respostas saem pelo alias. A maioria dos provedores também consegue bloquear endereços isolados, com uma regra por endereço, como descrito acima. O envio depende do provedor: o Fastmail deixa você digitar qualquer endereço de remetente (From) em um domínio catch-all, enquanto o Email Routing do Cloudflare não permite enviar nem responder pelo seu domínio. O argumento sobre a ligação entre os endereços, porém, continua valendo.

Um catch-all no seu próprio domínio combina com você se quer endereços que durem mais do que qualquer serviço específico; um domínio de aliases compartilhado combina com você se quer cadastros que não possam ser associados pelo domínio. O CatchNone funciona com os dois: no seu próprio domínio, ele lê direto a sua caixa de correio catch-all e, com o Premium, os endereços @catchnone.com ficam em um domínio compartilhado, onde desativar um deles faz os e-mails voltarem para o remetente. Nos dois casos, cada mensagem traz o selo do endereço em que chegou. Ele só recebe, por design, então esses e-mails ficam em um app próprio, e você responde pela sua conta de sempre. Para custos e a comparação completa, veja se vale a pena ter seu próprio domínio de e-mail.

Para donos de listas: por que os verificadores marcam domínios catch-all

As ferramentas de verificação checam um endereço conversando com o servidor de e-mail do destinatário por SMTP e parando antes de enviar qualquer mensagem. Se o servidor responde 250 para todo endereço, a checagem não prova nada, porque endereços reais e inventados parecem iguais. Depois que um servidor aceita uma mensagem, uma falha posterior volta como uma devolução separada, ou a mensagem é descartada em silêncio: o Kickbox diz que esse servidor “pode descartar a mensagem em silêncio ou enviar uma mensagem de devolução depois”.

Como as ferramentas rotulam o resultado:

• Kickbox: “Accept-All” (aceita tudo), classificado como Risky (arriscado), com o conselho “Tenha cautela ao enviar para endereços arriscados”.
• NeverBounce: “Accept all (Unverifiable)” (aceita tudo, não verificável), acrescentando que o catch-all “é uma configuração no servidor de e-mail do destinatário, não um veredito sobre o endereço individual — esses e-mails muitas vezes são válidos”.
• Hunter: o status accept_all, com uma pontuação que estima a probabilidade de o endereço ser válido.

Isso é comum. A ZeroBounce informa que mais de 9% dos endereços que processou em 2025 deram catch-all, e a MailerCheck fala em 8,6% dos endereços que já verificou. A ZeroBounce também diz que o roteamento de entrada do Microsoft 365 pode fazer as sondagens parecerem catch-all quando não existe nenhuma caixa catch-all, enquanto a documentação da Microsoft diz que os domínios Authoritative (autoritativos) dela rejeitam destinatários desconhecidos.

Você deve enviar para endereços catch-all?

Um resultado catch-all significa “desconhecido”, não “inválido”. Mantenha os endereços catch-all que vieram de um cadastro confirmado ou que já clicaram em um link nos seus e-mails, envie para o restante em lotes pequenos e remova os que voltarem.

Como separar os e-mails do catch-all por endereço

Separe pelo endereço para o qual cada mensagem foi enviada, mas os e-mails que você recebe em cópia oculta (Cco) não mostram seu endereço em Para ou Cc (RFC 5322), e os e-mails de listas muitas vezes são endereçados à própria lista. Um cabeçalho Delivered-To, descrito na RFC 9228, que é experimental, ajuda quando seu provedor o adiciona. As regras e buscas de cada provedor estão em ler os e-mails do catch-all endereço por endereço.

Onde o CatchNone se encaixa

O caminho “Use seu próprio domínio” do CatchNone foi feito para ler uma caixa de correio catch-all. Ele se conecta direto do seu dispositivo à caixa de correio em que o seu catch-all entrega, apenas para leitura, por IMAP (TLS, porta 993 por padrão) ou JMAP; assim, esses e-mails nunca passam pelos servidores do CatchNone, e ele nunca altera o seu DNS. Cada mensagem traz o selo do endereço em que chegou, então um endereço vazado ou vendido fica evidente, e a “Atividade” aponta mensagens em um alias fora de uso e remetentes novos. Os e-mails para um endereço que você nunca criou aparecem sob esse endereço com um selo cinza; se depois você criar um alias com esse endereço, em “Personalizar”, os e-mails anteriores passam a levar o nome e a cor do alias. O limite de 10 do plano Gratuito conta os aliases que você cria, não os endereços cujos e-mails aparecem, e o Lite e o Premium não têm limite de aliases nesse caminho. Baixe o CatchNone, disponível para iPhone, iPad e Mac.

O CatchNone só recebe, então os e-mails do catch-all ficam em um app próprio, e você responde pela sua conta de sempre. Cada verificação lê as 100 mensagens mais recentes da caixa de entrada dos últimos 30 dias; então, se o seu catch-all atrai muito spam, uma caixa de correio dedicada a ele evita que os e-mails dos aliases fiquem de fora. O CatchNone não filtra spam nem bloqueia endereços no seu domínio; as regras do seu provedor fazem isso. Sem um domínio, o CatchNone oferece endereços @catchnone.com aleatórios com o Premium, sem domínio, DNS nem caixa de correio para configurar: desativar um deles faz os e-mails voltarem para o remetente, e cada mensagem fica guardada por 30 dias depois que chega.

Perguntas frequentes

Os e-mails catch-all são seguros?

Um catch-all não torna nenhuma mensagem mais perigosa; um phishing é o mesmo, seja qual for o endereço a que chega. O que ele acrescenta é exposição: endereços adivinhados são entregues, erros de digitação chegam até você em vez de voltar e, em um domínio que só você usa, seus endereços podem ser ligados entre si. Para quem envia, um endereço catch-all não é perigoso, só não verificável: alguns vão gerar uma devolução depois, e é por isso que o Kickbox os classifica como Risky (arriscados).

O Microsoft 365 pode ter um endereço catch-all?

Não. O Exchange Online não tem uma configuração de catch-all: quando todas as caixas de correio de um domínio estão no Microsoft 365, ele rejeita e-mails para endereços desconhecidos com 550 5.4.1, e as soluções alternativas que circulam não são orientações oficiais. O guia de configuração explica por que o Microsoft 365 não tem catch-all e o que fazer no lugar.

Uma conta do Gmail pode ter um catch-all?

Não para um endereço @gmail.com, porque cada um é uma única conta, embora os endereços com sinal de mais e as versões com pontos do seu próprio endereço continuem chegando até você. Com um domínio seu, o Google Workspace tem o roteamento catch-all, ou um serviço de encaminhamento como o Email Routing do Cloudflare pode mandar todos os endereços para uma caixa de entrada comum do Gmail, como descrito em usar o Gmail com um domínio personalizado pelo Cloudflare.

Devo ativar o catch-all no meu domínio?

Ative se você quer inventar endereços na hora ou não quer perder e-mails com o endereço errado, e se está disposto a bloquear endereços vazados um por um. Deixe desativado se prefere criar cada endereço de propósito. Há meios-termos: o Proton recomenda apontar o catch-all para um endereço dedicado, para não bagunçar sua caixa de entrada, e o addy.io permite definir um padrão para que só os endereços que correspondem a ele sejam criados automaticamente. Se você ativar, o guia de configuração tem o passo a passo de cada provedor, e estes provedores de e-mail para domínio personalizado oferecem catch-all, caso o seu não ofereça.