Catch-all E-posta Nedir?

RFC 5321'e göre bir SMTP sunucusu, bilinmeyen bir alıcıya gelen postayı varsayılan olarak 550 5.1.1 User unknown hatasıyla reddeder. Catch-all (Türkçe: "hepsini yakala") mekanizması bu davranışı değiştirir: alan adınızda tanımlı olmayan herhangi bir adrese — örneğin xyz123@sirketiniz.com.tr — gelen mesajlar reddedilmek yerine belirlediğiniz bir posta kutusuna yönlendirilir.

Bu özellik teknik olarak wildcard e-posta yönlendirmesi olarak da bilinir ve mail sunucusu düzeyinde, MX kaydından bağımsız biçimde yapılandırılır. Kullanım amacı kuruma göre farklılık gösterir:

• Eski veya yanlış yazılmış adreslere gelen önemli mesajları kurtarmak
• Departman değişikliklerinde geçiş dönemini sorunsuz yönetmek
• Satın alınan alan adına gelen kalıntı trafiği izlemek
• Kampanyalarda kullanılan takip adreslerini (kampanya2024@...) ayrı kurmadan almak

Nasıl Çalışır? Teknik Altyapı

Bir e-posta alan adınıza ulaştığında sunucu önce yerel alıcı tablosuna bakar. RFC 5321, Bölüm 4.1.1.3'te tanımlanan RCPT TO komutunda geçen adres yerel tabloda bulunamazsa sunucu catch-all kuralını devreye alır. Süreç şöyle işler:

1. MX kaydı çözümlenir: Gönderen sunucu DNS üzerinden alan adınızın MX kaydını sorgular.
2. SMTP bağlantısı kurulur: Gönderen, mail sunucunuzla 25. port üzerinden iletişime geçer.
3. RCPT TO doğrulaması: Sunucu alıcıyı kontrol eder; adres tanımlı değilse catch-all devreye girer.
4. Mesaj wildcard kutusuna teslim edilir: Orijinal To: başlığı korunur, sadece teslimat yolu değişir.

Bu noktada kritik bir ayrım vardır: catch-all etkin olduğunda sunucunuz artık hiçbir adresi reddetmez. Bu durum, spam göndericilerin "dictionary attack" (sözlük saldırısı) ile alan adınıza rastgele adresler deneyerek geçerli adresleri keşfetmesinin önünü açar.

Avantajlar ve Riskler: Karşılaştırmalı Tablo

Güvenlik Riskleri ve KVKK Boyutu

Sophos resmi teknik belgelerine göre catch-all etkin alan adları, botnet tarafından düzenlenen dictionary attack saldırılarında öncelikli hedef konumundadır. Saldırganlar geçerli bir adres bulduklarında bu bilgiyi phishing ve sosyal mühendislik kampanyalarında kullanır.

KVKK'nın 12. maddesi uyarınca veri sorumluları, kişisel verilerin güvenliğini sağlamakla yükümlüdür. Catch-all kutusuna düşen mesajlar üçüncü kişilere ait kişisel veriler içerebilir. Bu verilerin yetkisiz erişime açık tutulması, KVKK ihlali oluşturabilir. Bu nedenle:

• Catch-all kutusuna erişimi yalnızca yetkili personelle sınırlayın.
• Mesajları otomatik silme politikasıyla (örneğin 30 gün) yönetin.
• Kutu içeriğini düzenli aralıklarla denetim altında tutun.

Ayrıca Microsoft Defender for Office 365 teknik dokümantasyonuna göre catch-all kutuları, yüksek hacimli gelen posta nedeniyle anti-spam filtrelerini zorlayabilir ve kiracı genelinde teslim performansını etkileyebilir.

Microsoft 365'te Catch-all Kurulumu

Microsoft 365 (eski adıyla Office 365), yerel arayüzde catch-all özelliğini doğrudan sunmaz. Ancak Exchange Online'ın Dynamic Distribution Group ve özellikle catch-all için önerilen yöntem olan "Accepted Domain + Transport Rule" kombinasyonuyla bu işlev sağlanır.

Yöntem 1: Transport Rule ile Catch-all (Önerilen)

1. Exchange Admin Center (EAC) > Mail flow > Rules bölümüne gidin.
2. "+ Yeni kural oluştur" seçeneğini tıklayın.
3. Koşul: "Alıcı... alan adı şunlardan biridir" — alan adınızı girin.
4. İstisna: "Alıcı... bu kişilerden biridir" — mevcut tüm gerçek posta kutularını seçin.
5. Eylem: "Mesajı şuraya yönlendir" — catch-all olarak kullanacağınız posta kutusunu belirtin.
6. Kuralı kaydedin ve test edin.

Yöntem 2: PowerShell ile Hızlı Kurulum

Exchange Online PowerShell modülü yüklüyse aşağıdaki komut bloğu aynı transport rule'u programatik olarak oluşturur:

# Exchange Online'a bağlan
Connect-ExchangeOnline -UserPrincipalName admin@sirketiniz.com.tr

# Catch-all posta kutusunu oluştur (henüz yoksa)
New-Mailbox -Name "Catch-All" -MicrosoftOnlineServicesID catchall@sirketiniz.com.tr -Password (ConvertTo-SecureString "GucluSifre123!" -AsPlainText -Force)

# Mevcut tüm posta kutularını al
$mevcutKutular = Get-Mailbox -ResultSize Unlimited | Select-Object -ExpandProperty PrimarySmtpAddress

# Transport Rule oluştur
New-TransportRule -Name "Catch-All Rule" `
  -RecipientDomainIs "sirketiniz.com.tr" `
  -ExceptIfSentTo $mevcutKutular `
  -RedirectMessageTo "catchall@sirketiniz.com.tr" `
  -Enabled $true

Not: Transport rule'daki istisna listesi statiktir. Yeni posta kutusu eklendikçe bu listeyi güncellemeniz gerekir. Otomasyonu PowerShell zamanlama görevi ile sağlayabilirsiniz.

Google Workspace'te Catch-all

Google Workspace Admin Console'da catch-all kurulumu daha doğrudan bir arayüze sahiptir:

1. Admin Console > Apps > Google Workspace > Gmail > Default routing bölümüne gidin.
2. "Add another rule" seçeneğini tıklayın.
3. "Envelope recipient" altında "Pattern match" seçin ve .*@alanadi.com.tr regex ifadesini girin.
4. Eylemi "Change envelope recipient" olarak ayarlayın ve hedef adresi belirtin.
5. Kaydedip yayınlayın (değişiklik yayılması 24 saate kadar sürebilir).

Catch-all Yerine Kullanılabilecek Alternatifler

Catch-all'ın getirdiği spam riskini kabul etmek istemiyorsanız aşağıdaki alternatifler daha kontrollü bir yönetim sağlar:

En İyi Uygulamalar: Catch-all'ı Güvenli Kullanmak

• Ayrı bir posta kutusu kullanın: Catch-all postalarını asla birincil iş kutunuza yönlendirmeyin.
• Gelişmiş spam filtresi uygulayın: Microsoft Defender for Office 365 Plan 1 veya Google Workspace'in gelişmiş spam korumasını etkinleştirin.
• Otomatik arşivleme kurun: 30 ila 90 günlük saklama politikası belirleyin.
• SPF, DKIM ve DMARC'ı yapılandırın: RFC 7208 (SPF), RFC 6376 (DKIM) ve RFC 7489 (DMARC) standartlarına uygun kayıtlarla alanınızın itibarını koruyun. DMARC politikanızı en azından p=quarantine olarak ayarlayın.
• Düzenli denetim: Catch-all kutusunu haftada en az bir kez inceleyin; beklenmedik trafik artışı saldırı işareti olabilir.
• Rate limiting: Postfix veya Exchange üzerinde bağlantı başına alım limitini kısıtlayarak dictionary attack etkisini azaltın.

Microsoft 365 Plan Karşılaştırması (Catch-all Bağlamında)

Son güncelleme: Haziran 2026 · Fiyatlar USD bazlıdır, kur değişkendir; TL karşılığı için güncel kur ile hesaplayın.