Een .eml-bestand parseren: kopteksten, ‘Received’-keten, links, hashes van bijlagen, afwijkingen bij de afzender.
Nieuw
E-mailverificatiecontrole
Netwerk: DoHNieuw
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik E-mailverificatiecontrole
Wat het doet
Voer een domein in om te zien hoe goed het beveiligd is tegen spoofing: de SPF-include-boom met het aantal lookups, het DMARC-beleid, de grootte van de DKIM-sleutels, MTA-STS, TLS-RPT, BIMI en MX.
DNS-namen die je opzoekt, worden doorgestuurd naar het PhishDestroy DNS-relay (/api/dns-resolve.php), dat via HTTPS een verzoek indient bij Cloudflare of Google DNS.
Hoe gebruik je E-mailverificatiecontrole
- Voer een domein in. Voer een domeinnaam, een e-mailadres of een URL in. De tool behoudt alleen de domeinnaam, verwijdert het voorvoegsel „www.“ uit een URL en verwijdert voorvoegsels zoals „_dmarc“.
- DKIM-selectors toevoegen. Als je een bericht van het domein hebt, kopieer dan de s=-waarde van de DKIM-Signature-header naar het veld ‘selectors’. Er worden maximaal 10 waarden gecontroleerd.
- Voer de controle uit. Klik op ‘Check’ of probeer veelgebruikte DKIM-selectors om 15 veelvoorkomende namen te testen. De teller geeft aan hoeveel DNS-verzoeken er zijn gebruikt.
- Bekijk de overzichtstabel. Elk record krijgt de status ‘pass’, ‘warn’, ‘fail’, ‘info’ of ‘error’, vergezeld van een bevinding van één regel. In de onderstaande secties worden de ruwe records en de SPF-include-boom weergegeven.
- Gebruik het resultaat. Een domein zonder SPF en een strikt toegepast DMARC-beleid is gemakkelijk te vervalsen. Houd daar rekening mee wanneer je een bericht beoordeelt dat beweert afkomstig te zijn van dat domein.
Voorbeeld
Een domein dat geen e-mail verstuurt
example.comChecked example[.]com · 6 DNS queries through the relay (Cloudflare)
Summary
RECORD STATUS FINDING
SPF pass "v=spf1 -all": no server may send mail as example[.]com, so any message from it is forged
DMARC warn p=reject, sp=reject
DKIM info Not checked: DKIM keys can only be found by selector (see the DKIM-Signature s= of a message)
MTA-STS info No MTA-STS record (optional): senders may deliver over unencrypted or unverified TLS
TLS-RPT info No TLS-RPT record (optional): no reports about TLS delivery failures
BIMI info No BIMI record (optional). DMARC is at enforcement
MX info Null MX "0 .": the domain accepts no mail (RFC 7505)
SPF
DNS-QUERYING TERMS
0 of 10
VOID LOOKUPS
0 of 2
UNLISTED SENDERS GET
fail (-all)
v=spf1 -all
Include and redirect tree (lookups are numbered in evaluation order; include, a, mx, ptr, exists and redirect count, RFC 7208 §4.6.4)
example[.]com · 0 lookups here, 0 in this branch
fail -all
DMARC
Found at _dmarc.example[.]com
v=DMARC1;p=reject;sp=reject;adkim=s;aspf=s
warn no rua: the owner receives no aggregate reports
TAG VALUE MEANING
v DMARC1 version
p reject policy for the domain itself — reject: failing mail is refused
sp reject policy for subdomains (default: p) — reject: failing mail is refused
adkim s DKIM alignment: r = same organization, s = exact domain (default r)
aspf s SPF alignment: r = same organization, s = exact domain (default r)
DKIM
DNS cannot list DKIM keys: each one sits under a selector chosen by the sender (selector._domainkey.example[.]com). Enter the s= value from a message's DKIM-Signature header, or press “Try common
…SPF v=spf1 -all, DMARC p=reject en een null MX (0 .): het domein geeft aan dat het geen e-mail verzendt of ontvangt, dus elk bericht dat van dit domein afkomstig is, is vervalst. DMARC is alleen gemarkeerd als ‘warn’ omdat het record geen rua=-adres heeft, waardoor de eigenaar geen geaggregeerde rapporten ontvangt; het beleid zelf (p=reject, sp=reject) wordt volledig gehandhaafd.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| SPF-record | Een ontbrekend record is een fout. Met +all worden alle servers doorgelaten en met ?all of no all is er geen bescherming; -all of ~all werkt zoals je zou verwachten. |
| SPF-opzoekingen en het aantal ongeldige resultaten | Include, a, mx, ptr, exists en redirect: elke aanroep kost een DNS-lookup. Bij meer dan 10 lookups, of meer dan 2 die geen resultaat opleveren, mislukt de SPF-controle met een ‘permerror’. |
| DMARC-beleid | p=none controleert alleen; ‘quarantaine’ stuurt mislukte e-mails naar de spamfolder en ‘reject’ wijst ze af. Waarschuwingen hebben ook betrekking op een pct-waarde onder de 100, sp=none en een ontbrekend rua-adres. |
| Overgenomen DMARC | Als een subdomein geen record heeft, wordt het record van het organisatiedomein gelezen en gemarkeerd als ‘overgenomen’. |
| DKIM-sleutel | Weergave per selector met type en grootte. RSA met minder dan 1024 bits leidt tot een foutmelding, minder dan 2048 bits tot een waarschuwing, en een lege p= betekent dat de sleutel is ingetrokken. |
| MTA-STS en TLS-RPT | Optionele vermeldingen waarin afzenders worden gevraagd om geverifieerde TLS te gebruiken en storingen te melden. Als deze ontbreken, krijg je een melding te zien, geen foutmelding. |
| BIMI | Een optioneel record met het merklogo. Dit telt alleen mee wanneer DMARC is ingesteld op ‘quarantaine’ of ‘afwijzen’ met pct=100. |
| MX | Geeft een overzicht van de mailservers. Een null MX (0 .) betekent dat het domein geen e-mail accepteert; NXDOMAIN betekent dat het domein niet bestaat. |
Nog meer voorbeelden
Een URL in plaats van een domeinnaam
https://www.example.net/loginLet op: www.example.net wordt gecontroleerd als example.net, waarna er 6 DNS-verzoeken volgen: SPF geslaagd voor "v=spf1 -all", DMARC-waarschuwing voor p=reject, sp=reject zonder RUA-adres, DKIM niet gecontroleerd, geen MTA-STS-, TLS-RPT- of BIMI-record, en een null MX.
Een domein dat niet bestaat
nothing.exampleSPF-fout (geen SPF-record), DMARC-fout (geen DMARC-record) en MX-fout omdat nothing.example niet bestaat (NXDOMAIN). In de BIMI-regel wordt vermeld dat DMARC niet wordt afgedwongen.
Een DKIM-recordnaam
google._domainkey.example.orgDe selector ‘google’ wordt in het veld ‘selectors’ ingevoerd en ‘example.org’ is aangevinkt. In de DKIM-rij staat ‘google: revoked’, omdat het sleutelrecord een leeg ‘p=’-veld heeft.
Veelgestelde vragen
Wat controleert de e-mailverificatietool?
Het SPF-record en alle daarin opgenomen include- en redirect-verwijzingen; het telt het aantal DNS-query’s mee binnen de limiet van 10 en het aantal ongeldige lookups binnen de limiet van 2 (RFC 7208). Het leest ook het DMARC-record, waarbij het terugvalt op het organisatiedomein, DKIM-sleutels voor de door u opgegeven selectors, en de MTA-STS-, TLS-RPT-, BIMI- en MX-records.
Wat kan de controleur niet zien?
DNS kan geen lijst van DKIM-sleutels weergeven: elke sleutel staat onder een door de afzender gekozen selector. Voer daarom de s=-waarde in uit de DKIM-Signature-header van een bericht of probeer de gangbare selectors; als er geen resultaat wordt gevonden, bewijst dat nog niets. Het MTA-STS-beleidsbestand en het BIMI-logo worden niet gedownload, en SPF-macro’s die afhankelijk zijn van de afzender worden niet uitgepakt.
Wat wordt er via het netwerk verzonden?
Alleen DNS-namen die zijn opgebouwd uit het door jou ingevoerde domein, zoals _dmarc.example.com, worden doorgestuurd naar het PhishDestroy DNS-relay, dat via DNS over HTTPS een verzoek indient bij Cloudflare of Google. Een controle vereist ongeveer 5 tot 25 verzoeken; het relay staat 60 verzoeken per minuut toe.
Betekent een goed resultaat dat een e-mail van dit domein legitiem is?
Nee. De checker controleert het gepubliceerde beleid van het domein, niet een specifiek bericht. Om te zien of een e-mail de SPF-, DKIM- en DMARC-controles heeft doorstaan, open je de broncode ervan in EML Analyzer.
Waarom wordt DMARC als ‘warn’ gemarkeerd, zelfs als p=reject is ingesteld?
Waarschuwingen hebben ook betrekking op instellingen die de dekking of rapportage verminderen: geen RUA-adres voor geaggregeerde rapporten, een percentage lager dan 100 of sp=none voor subdomeinen. Het afwijzingsbeleid zelf blijft van kracht.
Wat is een void-lookup?
Een DNS-query die tijdens de SPF-evaluatie wordt uitgevoerd en geen bruikbare records oplevert, bijvoorbeeld een a: of mx:-term waarvan de naam geen adressen of mailservers bevat. SPF staat er twee toe; bij een derde wordt de evaluatie afgebroken met een permerror.