فایل .eml را تجزیه کنید: هدرها، زنجیرهٔ Received، لینک‌ها، هش پیوست‌ها و ناهمخوانی‌های فرستنده.
جدید
بررسی احراز هویت ایمیل
شبکه: DoHجدید
خود ابزار به زبان انگلیسی است؛ این صفحه آن را به زبان شما توضیح می‌دهد.
از بررسی احراز هویت ایمیل استفاده کنید
کارکرد
یک دامنه وارد کنید تا ببینید چقدر در برابر جعل (spoofing) محافظت میشود: درخت include در SPF همراه با تعداد جستجوها، سیاست DMARC، اندازهٔ کلیدهای DKIM، MTA-STS، TLS-RPT، BIMI و MX.
نامهای DNS که شما جستجو میکنید به رله DNS PhishDestroy (/api/dns-resolve.php) ارسال میشوند که از Cloudflare یا DNS گوگل از طریق HTTPS پرسوجو میکند.
چگونه از بررسی احراز هویت ایمیل استفاده کنیم
- دامنه را وارد کنید. یک دامنه، یک آدرس ایمیل یا یک URL بنویسید. ابزار فقط دامنه را نگه می‌دارد، www. ابتدای URL را حذف میکند و پیشوندهایی مانند _dmarc را برمی‌دارد.
- selectorهای DKIM را اضافه کنید. اگر پیامی از این دامنه دارید، مقدار s= در هدر DKIM-Signature آن را در فیلد selectorها کپی کنید. حداکثر ۱۰ selector بررسی میشود.
- بررسی را اجرا کنید. دکمهٔ Check (بررسی) را بزنید، یا Try common DKIM selectors (امتحان selectorهای رایج DKIM) را برای آزمودن ۱۵ نام پرکاربرد. شمارنده نشان می‌دهد چند پرسوجوی DNS مصرف شده است.
- جدول Summary را بخوانید. هر رکورد یکی از وضعیت‌های pass، warn، fail، info یا error را همراه با یک یافتهٔ یک‌خطی می‌گیرد. بخش‌های پایین‌تر رکوردهای خام و درخت include در SPF را نشان میدهند.
- از نتیجه استفاده کنید. جعل دامنهای که SPF و سیاست DMARC اعمال‌شونده ندارد آسان است. هنگام قضاوت دربارهٔ پیامی که ادعا میکند از این دامنه آمده، این را در نظر داشته باشید.
مثال
دامنهای که هیچ ایمیلی نمی‌فرستد
example.comChecked example[.]com · 6 DNS queries through the relay (Cloudflare)
Summary
RECORD STATUS FINDING
SPF pass "v=spf1 -all": no server may send mail as example[.]com, so any message from it is forged
DMARC warn p=reject, sp=reject
DKIM info Not checked: DKIM keys can only be found by selector (see the DKIM-Signature s= of a message)
MTA-STS info No MTA-STS record (optional): senders may deliver over unencrypted or unverified TLS
TLS-RPT info No TLS-RPT record (optional): no reports about TLS delivery failures
BIMI info No BIMI record (optional). DMARC is at enforcement
MX info Null MX "0 .": the domain accepts no mail (RFC 7505)
SPF
DNS-QUERYING TERMS
0 of 10
VOID LOOKUPS
0 of 2
UNLISTED SENDERS GET
fail (-all)
v=spf1 -all
Include and redirect tree (lookups are numbered in evaluation order; include, a, mx, ptr, exists and redirect count, RFC 7208 §4.6.4)
example[.]com · 0 lookups here, 0 in this branch
fail -all
DMARC
Found at _dmarc.example[.]com
v=DMARC1;p=reject;sp=reject;adkim=s;aspf=s
warn no rua: the owner receives no aggregate reports
TAG VALUE MEANING
v DMARC1 version
p reject policy for the domain itself — reject: failing mail is refused
sp reject policy for subdomains (default: p) — reject: failing mail is refused
adkim s DKIM alignment: r = same organization, s = exact domain (default r)
aspf s SPF alignment: r = same organization, s = exact domain (default r)
DKIM
DNS cannot list DKIM keys: each one sits under a selector chosen by the sender (selector._domainkey.example[.]com). Enter the s= value from a message's DKIM-Signature header, or press “Try common
…SPF v=spf1 -all, DMARC p=reject و یک MX نامعتبر (0.0): دامنه اعلام میکند که نه ایمیلی ارسال میکند و نه دریافت، بنابراین هر پیامی از آن جعل شده است. DMARC تنها به دلیل اینکه رکورد آدرس rua ندارد با وضعیت warn علامت‌گذاری شده است، بنابراین مالک هیچ گزارش تجمیعی دریافت نمیکند؛ خود سیاست (p=reject, sp=reject) به‌طور کامل اجرا میشود.
آنچه بررسی میکند
| سیگنال | معنای آن |
|---|---|
| رکورد SPF | نبودن رکورد یعنی fail. +all به همهٔ سرورها اجازهٔ عبور می‌دهد و ?all یا نبودن all هیچ محافظتی ایجاد نمیکند؛ مقدار مورد انتظار -all یا ~all است. |
| شمار جستجوها و جستجوهای تهی در SPF | هر یک از include، a، mx، ptr، exists و redirect یک جستجوی DNS مصرف میکند. بیش از ۱۰ جستجو، یا بیش از ۲ جستجو که چیزی برنمی‌گردانند، SPF را با permerror از کار می‌اندازد. |
| سیاست DMARC | p=none فقط پایش میکند، quarantine ایمیل ناموفق را به پوشهٔ اسپم می‌فرستد و reject آن را رد میکند. هشدارها pct کمتر از 100، sp=none و نبودن آدرس rua را هم شامل میشوند. |
| DMARC به ارث رسیده | اگر زیردامنه رکوردی نداشته باشد، رکورد دامنهٔ سازمانی خوانده میشود و با برچسب به ارث رسیده (inherited) مشخص میشود. |
| کلید DKIM | برای هر selector همراه با نوع و اندازه نمایش داده میشود. کلید RSA کمتر از 1024 بیت fail و کمتر از 2048 بیت هشدار است، و p= خالی یعنی کلید باطل شده است. |
| MTA-STS و TLS-RPT | رکوردهای اختیاری که از فرستندگان می‌خواهند از TLS تأییدشده استفاده کنند و خطاها را گزارش دهند. اگر وجود نداشته باشند، یک یادداشت می‌بینید، نه خطا. |
| BIMI | رکوردی اختیاری برای لوگوی برند. فقط زمانی اعتبار دارد که DMARC روی quarantine یا reject با pct=100 باشد. |
| MX | سرورهای ایمیل را فهرست میکند. null MX (0 .) یعنی دامنه هیچ ایمیلی نمی‌پذیرد؛ NXDOMAIN یعنی دامنه وجود ندارد. |
نمونه‌های بیشتر
یک URL به‌جای دامنه
https://www.example.net/loginیادداشتی که می‌گوید www.example.net به‌عنوان example.net بررسی میشود، سپس 6 پرسوجوی DNS: SPF با وضعیت pass برای "v=spf1 -all"، DMARC با وضعیت warn برای p=reject، sp=reject بدون آدرس rua، DKIM بررسی‌نشده، بدون رکورد MTA-STS، TLS-RPT یا BIMI، و یک null MX.
دامنهای که وجود ندارد
nothing.exampleSPF با وضعیت fail (no SPF record)، DMARC با وضعیت fail (no DMARC record) و MX با وضعیت fail، چون nothing.example وجود ندارد (NXDOMAIN). ردیف BIMI یادآوری میکند که DMARC در حالت اعمال (enforcement) نیست.
نام یک رکورد DKIM
google._domainkey.example.orgselector با نام google در فیلد selectorها قرار می‌گیرد و example.org بررسی میشود. ردیف DKIM عبارت "google: revoked" را نشان می‌دهد، چون رکورد کلید p= خالی دارد.
سوالات متداول
Email Authentication Checker چه چیزهایی را جستجو میکند؟
رکورد SPF و هر include و redirect که به آن اضافه میشود، با شمارش بخشهایی که پرسوجوی DNS انجام میدهند در برابر سقف ۱۰ و جستجوهای تهی (void) در برابر سقف ۲ (RFC 7208). همچنین رکورد DMARC را میخواند و در صورت نبود آن به دامنهٔ سازمانی رجوع میکند، کلیدهای DKIM را برای selectorهایی که وارد میکنید میخواند، و رکوردهای MTA-STS، TLS-RPT، BIMI و MX را هم بررسی میکند.
این ابزار چه چیزهایی را نمیتواند ببیند؟
DNS نمیتواند کلیدهای DKIM را فهرست کند: هر کلید زیر selectorی قرار دارد که فرستنده انتخاب کرده است، پس مقدار s= را از هدر DKIM-Signature یک پیام وارد کنید یا selectorهای رایج را امتحان کنید؛ پیدا نشدن کلید چیزی را ثابت نمیکند. فایل سیاست MTA-STS و لوگوی BIMI دانلود نمیشوند و ماکروهای SPF که به فرستنده وابستهاند گسترش داده نمیشوند.
چه چیزی از طریق شبکه فرستاده میشود؟
فقط نامهای DNS ساختهشده از دامنهای که وارد میکنید، مانند _dmarc.example.com، به رلهٔ DNS متعلق به PhishDestroy فرستاده میشوند که از طریق DNS over HTTPS از Cloudflare یا Google میپرسد. هر بررسی حدود ۵ تا ۲۵ پرسوجو مصرف میکند؛ رله ۶۰ پرسوجو در دقیقه را مجاز میداند.
آیا نتیجهٔ قوی یعنی ایمیلی که از این دامنه آمده اصل است؟
نه. این ابزار سیاست منتشرشدهٔ دامنه را میخواند، نه یک پیام خاص را. برای اینکه ببینید یک ایمیل مشخص SPF، DKIM و DMARC را گذرانده است یا نه، متن خام آن را در EML Analyzer باز کنید.
چرا DMARC حتی با p=reject وضعیت warn دارد؟
هشدارها تنظیماتی را هم شامل میشوند که پوشش یا گزارشدهی را ضعیف میکنند: نبودن آدرس rua برای گزارشهای تجمیعی، pct کمتر از 100 یا sp=none برای زیردامنهها. خود سیاست reject همچنان اعمال میشود.
جستجوی تهی (void lookup) چیست؟
پرسوجوی DNSی که هنگام ارزیابی SPF انجام میشود و هیچ رکورد قابل استفادهای برنمیگرداند، برای مثال بخش a: یا mx: که نامش هیچ آدرس یا سرور ایمیلی ندارد. SPF دو مورد را مجاز میداند؛ مورد سوم باعث شکست آن با permerror میشود.