Analizza un file .eml: intestazioni, catena Received, link, hash degli allegati, mittenti incoerenti.
Nuovo
Verifica autenticazione e-mail
Rete: DoHNuovo
Lo strumento è in inglese; questa pagina ne fornisce una spiegazione nella tua lingua.
Usa Verifica autenticazione e-mail
Cosa fa
Inserisci un dominio per vedere quanto è protetto contro lo spoofing: l'albero degli include SPF con il conteggio dei lookup, la policy DMARC, la dimensione delle chiavi DKIM, MTA-STS, TLS-RPT, BIMI e MX.
I nomi DNS che cerchi vengono inviati al relay DNS di PhishDestroy (/api/dns-resolve.php), che effettua la richiesta a Cloudflare o al DNS di Google tramite HTTPS.
Come utilizzare Verifica autenticazione e-mail
- Inserisci un dominio. Digita un dominio, un indirizzo e-mail o un URL. Lo strumento mantiene solo il dominio, elimina un www. iniziale da un URL e rimuove prefissi come _dmarc.
- Aggiungi i selettori DKIM. Se hai un messaggio del dominio, copia il valore s= della sua intestazione DKIM-Signature nel campo dei selettori. Ne vengono controllati fino a 10.
- Avvia il controllo. Premi Check, oppure Try common DKIM selectors per provare 15 nomi frequenti. Il contatore mostra quante query DNS sono state usate.
- Leggi la tabella Summary. Ogni record riceve pass, warn, fail, info o error con un esito di una riga. Le sezioni sotto mostrano i record grezzi e l'albero degli include SPF.
- Usa il risultato. Un dominio senza SPF e senza una policy DMARC applicata è facile da falsificare. Tienine conto quando valuti un messaggio che dice di provenire da quel dominio.
Esempio
Un dominio che non invia posta
example.comChecked example[.]com · 6 DNS queries through the relay (Cloudflare)
Summary
RECORD STATUS FINDING
SPF pass "v=spf1 -all": no server may send mail as example[.]com, so any message from it is forged
DMARC warn p=reject, sp=reject
DKIM info Not checked: DKIM keys can only be found by selector (see the DKIM-Signature s= of a message)
MTA-STS info No MTA-STS record (optional): senders may deliver over unencrypted or unverified TLS
TLS-RPT info No TLS-RPT record (optional): no reports about TLS delivery failures
BIMI info No BIMI record (optional). DMARC is at enforcement
MX info Null MX "0 .": the domain accepts no mail (RFC 7505)
SPF
DNS-QUERYING TERMS
0 of 10
VOID LOOKUPS
0 of 2
UNLISTED SENDERS GET
fail (-all)
v=spf1 -all
Include and redirect tree (lookups are numbered in evaluation order; include, a, mx, ptr, exists and redirect count, RFC 7208 §4.6.4)
example[.]com · 0 lookups here, 0 in this branch
fail -all
DMARC
Found at _dmarc.example[.]com
v=DMARC1;p=reject;sp=reject;adkim=s;aspf=s
warn no rua: the owner receives no aggregate reports
TAG VALUE MEANING
v DMARC1 version
p reject policy for the domain itself — reject: failing mail is refused
sp reject policy for subdomains (default: p) — reject: failing mail is refused
adkim s DKIM alignment: r = same organization, s = exact domain (default r)
aspf s SPF alignment: r = same organization, s = exact domain (default r)
DKIM
DNS cannot list DKIM keys: each one sits under a selector chosen by the sender (selector._domainkey.example[.]com). Enter the s= value from a message's DKIM-Signature header, or press “Try common
…SPF v=spf1 -all, DMARC p=reject e un MX nullo (0 .): il dominio dichiara di non inviare né ricevere posta, quindi qualsiasi messaggio proveniente da esso è contraffatto. DMARC è contrassegnato come «warn» solo perché il record non contiene un indirizzo rua=, pertanto il proprietario non riceve rapporti aggregati; la politica stessa (p=reject, sp=reject) viene applicata integralmente.
Cosa verifica
| Segnale | Cosa significa |
|---|---|
| Record SPF | Un record mancante è un fail. +all fa passare qualsiasi server e ?all o l'assenza di all non danno alcuna protezione; -all o ~all è ciò che ci si aspetta. |
| Conteggio dei lookup e dei void lookup SPF | include, a, mx, ptr, exists e redirect costano ciascuno un lookup DNS. Più di 10 lookup, o più di 2 che non restituiscono nulla, rompono SPF con un permerror. |
| Policy DMARC | p=none si limita a monitorare, quarantine manda nello spam la posta che non supera i controlli e reject la rifiuta. Gli avvisi riguardano anche pct inferiore a 100, sp=none e l'assenza di un indirizzo rua. |
| DMARC ereditato | Se un sottodominio non ha un record, viene letto quello del dominio organizzativo e contrassegnato come ereditato. |
| Chiave DKIM | Mostrata per ogni selettore con tipo e dimensione. RSA sotto i 1024 bit è un fail, sotto i 2048 un avviso, e un p= vuoto significa che la chiave è revocata. |
| MTA-STS e TLS-RPT | Record facoltativi che chiedono ai mittenti di usare TLS verificato e di segnalare i problemi. Se mancano, ottieni una nota, non un errore. |
| BIMI | Un record facoltativo per il logo del marchio. Conta solo quando DMARC è a quarantine o reject con pct=100. |
| MX | Elenca i server di posta. Un null MX (0 .) significa che il dominio non accetta posta; NXDOMAIN significa che il dominio non esiste. |
Altri esempi
Un URL invece di un dominio
https://www.example.net/loginUna nota indica che www.example.net viene controllato come example.net, poi 6 query DNS: SPF pass per "v=spf1 -all", DMARC warn per p=reject, sp=reject senza indirizzo rua, DKIM non controllato, nessun record MTA-STS, TLS-RPT o BIMI, e un null MX.
Un dominio che non esiste
nothing.exampleSPF fail (nessun record SPF), DMARC fail (nessun record DMARC) e MX fail perché nothing.example non esiste (NXDOMAIN). La riga BIMI segnala che DMARC non è in modalità di applicazione.
Il nome di un record DKIM
google._domainkey.example.orgIl selettore google finisce nel campo dei selettori e viene controllato example.org. La riga DKIM riporta "google: revoked" perché il record della chiave ha un p= vuoto.
Domande frequenti
Cosa cerca Email Authentication Checker?
Il record SPF e ogni include e redirect che richiama, contando i termini che generano query DNS rispetto al limite di 10 e i void lookup rispetto al limite di 2 (RFC 7208). Legge inoltre il record DMARC, ripiegando sul dominio organizzativo, le chiavi DKIM per i selettori indicati, e i record MTA-STS, TLS-RPT, BIMI e MX.
Cosa non riesce a vedere lo strumento?
Il DNS non permette di elencare le chiavi DKIM: ognuna si trova sotto un selettore scelto dal mittente, quindi inserisci il valore s= dall'intestazione DKIM-Signature di un messaggio oppure prova i selettori comuni; un mancato riscontro non prova nulla. Il file di policy MTA-STS e il logo BIMI non vengono scaricati, e le macro SPF che dipendono dal mittente non vengono espanse.
Cosa viene inviato in rete?
Solo nomi DNS costruiti dal dominio che inserisci, come _dmarc.example.com, che vanno al relay DNS di PhishDestroy, il quale interroga Cloudflare o Google tramite DNS over HTTPS. Un controllo usa da circa 5 a 25 query; il relay ne consente 60 al minuto.
Un buon risultato significa che un'e-mail di questo dominio è autentica?
No. Lo strumento legge la policy pubblicata dal dominio, non un messaggio specifico. Per vedere se una certa e-mail ha superato SPF, DKIM e DMARC, apri il suo sorgente in EML Analyzer.
Perché DMARC è segnato come warn anche con p=reject?
Gli avvisi riguardano anche impostazioni che indeboliscono la copertura o i report: nessun indirizzo rua per i report aggregati, pct inferiore a 100 o sp=none per i sottodomini. La policy reject in sé resta valida.
Cos'è un void lookup?
Una query DNS eseguita durante la valutazione di SPF che non restituisce record utilizzabili, ad esempio un termine a: o mx: il cui nome non ha indirizzi o server di posta. SPF ne consente due; un terzo lo fa fallire con un permerror.