Catch-all e-posta tehlikeli mi? Güvenli kurulum rehberi

Catch-all (tüm geleni yakala) e-posta, yanlış yazılan adreslere bile mesaj teslimi sağladığı için pratik görünebilir. Ancak aynı mekanizma, spam ve kötüye kullanım denemeleri için de “teslimat açık kapısı” etkisi yaratır. Bu rehberde catch-all’ın ne yaptığını, hangi durumlarda faydalı olduğunu ve hangi kontrollerle tehlikeyi ciddi biçimde azalttığınızı net adımlarla anlatıyorum.

Catch-all e-posta tam olarak ne yapar?

Catch-all, gönderici tarafında adres adı yanlış yazılsa bile (ör: kullanı[email protected] yerine kullanici.no@ornek.com) e-postanın domain içinde var olmayan alıcıya giderken boşa düşmemesini sağlar. Sistem, kullanıcı adı uymadığında mesajı tanımlı tek bir hedef kutuya (ör. postmaster@ veya bilgi@) yönlendirir.

Bu davranış iki pratik sonucu doğurur: - E-posta kaybı azalır: Kullanıcı adı hataları ve eski adresler için otomatik “yakalama” sağlar. - Gürültü artabilir: Alan adına karşı deneme/av (dictionary attack) yapan otomasyonlar, sahte alıcı adlarına yolladığı mesajların bir kısmını teslim alır.

Catch-all hangi sunucu/altyapı katmanında çalışır?

Catch-all genellikle posta sunucusu tarafında uygulanır (ör. Postfix/Exim kuralları veya kontrol panelindeki yönlendirme ayarları). Bazı sistemlerde catch-all, SMTP seviye kabul (accept) sonra yönlendirme şeklinde işler; bazı panellerde ise “mailbox olmadığı için forward et” mantığıyla uygulanır. Kritik nokta şudur: Catch-all doğru filtrelerle birleştirilmezse, teslim edilen mesajlar spam analizi yükünü ve riskini büyütür.

Catch-all tehlikeli mi? Risk nereden gelir?

Catch-all’ın ana riski, “var olmayan alıcılara” gelen trafiğin boşa düşmek yerine teslim edilmesidir. Bu da saldırganların şu amaçlarla işini kolaylaştırır:

• Kayıt dışı alıcı adlarını test etme: Otomasyon, sözlükten yüzlerce kullanıcı adı üretir ve hangilerinin teslim edildiğini görür.
• Spam hacmini büyütme: Spam botları, catch-all sayesinde daha yüksek teslim oranına ulaşır.
• Kimlik avı (phishing) için görünürlük: Teslim olan mesajlar kötü niyetli içerik barındırabilir; yakalama kutusu iş yükünüzü artırır.

Tehlikeyi artıran 5 pratik senaryo

1. Yakalama kutusuna güçlü filtre yoksa (spam skoru zayıf, karantina yok).
2. Yakalama kutusu kişisel bir posta gibi kullanılıyorsa (iş akışı karışır, yanlışlıkla açık bırakılır).
3. Domain için SPF/DKIM/DMARC yapılandırılmamışsa.
4. Posta sunucusunda rate limit (hız sınırlama) yoksa.
5. Yakalama kutusunda otomatik yedekleme/arsiv planı yoksa, büyüyen kutu hem depolamayı hem yönetimi zorlar.

Catch-all ne zaman faydalı? Net fayda alanları

Catch-all, “teslimat sürekliliği” istenen bazı senaryolarda mantıklıdır.

Faydalı olduğu 3 net senaryo

• Kurumsal iletişim ve yanlış yazım toleransı: Satış@, destek@ gibi ana adreslere gelen yanlış yazımların kaybolmaması.
• Yeni kullanıcı onboard süreci: İlk kurulum sırasında kullanıcının tam adresi oluşmadan e-postaların tamamen kaybolmaması.
• Kısa süreli domain geçişleri: MX değişikliği sırasında “bazı adresler” henüz aktif değilken mesajların tamamen kaçırılmaması.

Burada önemli nokta: Catch-all “spam kutusu” olmamalı. Faydayı korurken risk kontrolünü tasarımla yapmak gerekir.

Güvenli kullanım için kontrol listesi (en kritik kısım)

Catch-all kullanmayı düşünüyorsanız hedef, yakalama kutusuna teslim edilen mesaj sayısını azaltmak ve teslim edilenlerin güven seviyesini yükseltmektir.

1) SPF, DKIM, DMARC şart

Bu üçü, catch-all olsa bile sahte gönderenlerin teslim oranını ciddi biçimde düşürür.

• SPF: Domain adına kimlerin gönderim yapabileceğini belirtir.
• DKIM: Mesajın bütünlüğünü doğrular.
• DMARC: Politika ve raporlama katmanı ekler; “reddet” veya “karantinaya al” adımlarını yönetir.

Aksiyon: DMARC için başlangıçta p=quarantine ve raporlama (rua) ile ilerlemek, yanlış pozitif riskini azaltır. Ardından doğrulamalar oturunca p=reject seviyesine geçin.

2) Yakalama kutusu yerine “karantina veya ayrı posta akışı” kullanın

Catch-all hedefini tek bir kişisel kutu yapmak yerine, iki aşamalı yaklaşım daha güvenlidir: - Catch-all’i ayrı bir servis kutusuna yönlendirin (ör. catchall@domain). - Bu kutudan sonra otomatik karantina/etiketleme uygulayın.

Bu ayrımın pratik etkisi: - Spam/şüpheli içerik iş akışınıza karışmaz. - Kullanıcı hatasıyla gelen gerçek e-postaları yine bulabilirsiniz.

3) Rate limit ve greylisting uygulayın

Catch-all, teslimat oranını artırabildiği için SMTP tarafında hız sınırlama gerekir.

Uygulama mantığı: - Belirli IP aralıklarında saniye başına kabul limitleri - Şüpheli kalıplarda geçici geciktirme - Aynı gönderenden/kimliksiz gelenlerden yükselen trafiğe kademeli aksiyon

Bu kontroller, brute-force denemeleriyle yakalanan sahte alıcı sayısını azaltır.

4) İçerik filtreleme: “dışarıda teslim, içeride bekletme”

Kontrol paneli veya posta sunucusu düzeyinde spam filtreleme şu bileşenlerle güçlenmeli: - Spam skorlama ve eşik değerleri - Karantina (quarantine) ya da “şüpheli klasörü” - RBL/URL reputation gibi kaynakların devreye alınması

Net hedef: Catch-all ile gelen trafiğin anlamlı kısmını hiç kimsenin gelen kutusunda göstermeden önce filtrelemektir.

5) Otomatik silme/arsiv ve saklama süreleri

Yakalama kutusunda büyüme kaçınılmazdır; bu yüzden saklama politikası belirleyin.

Örnek hedefler: - Şüpheli/kategorize edilmiş e-postalar için daha kısa saklama - Gerçek teslimat şüphesi olmayanlar için uzun süre arsiv

Aksiyon: “Kutu dolarsa” önce filtreler bozulur; sonra sistem yeni postaları reddetmeye başlayabilir. Bu nedenle depolama izleme şarttır.

Catch-all ile birlikte neyi test etmelisiniz?

Karar vermeden önce domaininiz için “teslimat davranışı” test edilmelidir. Aşağıdaki testler özellikle hızlı sonuç verir.

1) Yanlış adres denemesi testi

• Bilerek var olmayan bir kullanıcı adıyla test e-postası gönderin.
• Catch-all’e gidiyor mu kontrol edin.
• Aynı e-postanın spam olarak etiketlenip karantinaya alınıp alınmadığını gözleyin.

2) Kimlik doğrulama testi

• SPF/DKIM/DMARC sonuçlarını kontrol edin.
• DMARC “hangi durumda reject/quarantine uyguluyor” davranışını doğrulayın.

3) Yük/rate davranışı testi

• Kısa sürede çok sayıda gönderim denemesi yapın (kendi denetiminizde, kontrollü).
• Rate limit devreye giriyor mu izleyin.

4) Kullanıcı hatası akışı

• Gerçek bir kullanıcı hatası senaryosunda (isim benzerliği, eski adres) yakalama kutusunda “doğru e-postayı bulmak” ne kadar sürüyor ölçün.

NetKıyas bakış açısıyla: Hangi hosting senaryolarında catch-all daha kritik?

Catch-all’ın risk profili sadece posta sunucusu ayarlarına değil, mail akışının yönetimine de bağlıdır. Aşağıdaki durumlarda ekstra kontrol şarttır.

Paylaşımlı hosting (shared)

• Kontrol panelindeki filtre/limit seçenekleri sınırlı olabilir.
• Catch-all tek bir kutuya yönlendirildiyse gelen kutusu kısa sürede kirlenebilir.

VPS/VDS (kendi posta sunucusu veya yönetilen mail)

• Posta sunucusu ayarları (rate limit, policy, quarantine) daha ayrıntılı uygulanabilir.
• Bu, catch-all kullanımını “tasarlanabilir” hale getirir.

Dedicated sunucu

• En yüksek kontrol sizde olur; ama bakım sorumluluğu daha büyüktür.
• Log, izleme ve otomasyon kurulduğunda risk yönetimi daha sağlam olur.

Hızlı karar rehberi: Catch-all açık mı kapalı mı?

Aşağıdaki tablo, kararın teknik kriterlerle netleşmesini sağlar.

Uygulanabilir “minimum güvenli kurulum”

Catch-all kullanacaksanız aşağıdaki asgari seti hedefleyin: - DMARC aktif (en az p=quarantine ile) - DKIM imzası aktif - SPF kayıtları doğru - Catch-all hedefi kişisel gelen kutusu değil (ayrı kutu) - Karantina/etiketleme eşikleri tanımlı - Rate limit/throttling uygulanıyor - Depolama ve saklama süresi planlı

Sonuç: Catch-all tehlikeli değil, yönetilmediğinde tehlikeli

Catch-all, doğru filtreleme ve kimlik doğrulama ile faydalı bir teslimat toleransı sağlar. Yönetim yoksa spam ve kötüye kullanım trafiğini yakalama kutusuna taşıyarak operasyonel riski büyütür. Aksiyon olarak bugün şu sırayı izleyin: Önce SPF/DKIM/DMARC doğrulayın, ardından catch-all hedefini ayrı bir akışa alıp karantina/etiketleme ve rate limit uygulayın; en son yanlış adres testiyle gerçek teslimat davranışını gözleyin.