Analiza pliku .eml: nagłówki, łańcuch „Received”, linki, skróty załączników, niezgodności nadawców.
Nowe
Narzędzie do sprawdzania autentyczności adresów e-mail
Sieć: DoHNowe
Samo narzędzie jest w języku angielskim; na tej stronie znajdziesz wyjaśnienia w Twoim języku.
Użyj Narzędzie do sprawdzania autentyczności adresów e-mail
Jak to działa
Wpisz domenę, aby sprawdzić, jak dobrze jest ona chroniona przed spoofingiem: drzewo include SPF wraz z liczbą wyszukiwań, politykę DMARC, rozmiary kluczy DKIM, MTA-STS, TLS-RPT, BIMI oraz rekordy MX.
Wyszukiwane nazwy DNS są przesyłane do serwera przekaźnikowego PhishDestroy (/api/dns-resolve.php), który kieruje zapytania do serwerów Cloudflare lub Google DNS za pośrednictwem protokołu HTTPS.
Jak korzystać z Narzędzie do sprawdzania autentyczności adresów e-mail
- Wpisz nazwę domeny. Wpisz nazwę domeny, adres e-mail lub adres URL. Narzędzie zachowuje wyłącznie nazwę domeny, usuwa początkowe „www.” z adresu URL oraz prefiksy, takie jak „_dmarc”.
- Dodaj selektory DKIM. Jeśli masz wiadomość z tej domeny, skopiuj wartość „s=” z nagłówka „DKIM-Signature” tej wiadomości do pola selektorów. Sprawdzanych jest maksymalnie 10 pozycji.
- Przeprowadź kontrolę. Kliknij „Sprawdź” lub wypróbuj popularne selektory DKIM, aby przetestować 15 najczęściej spotykanych nazw. Licznik pokazuje, ile zapytań DNS zostało wysłanych.
- Zapoznaj się z tabelą podsumowującą. Każdy rekord otrzymuje ocenę „pass”, „warn”, „fail”, „info” lub „error” wraz z jednowierszowym opisem wyniku. Poniższe sekcje przedstawiają surowe rekordy oraz drzewo włączeń SPF.
- Wykorzystaj wynik. Domenę bez rekordu SPF i bez polityki DMARC wymuszającej przestrzeganie zasad łatwo sfałszować. Należy o tym pamiętać, oceniając wiadomość, która rzekomo pochodzi z tej domeny.
Przykład
Domena, która nie wysyła żadnych wiadomości e-mail
example.comChecked example[.]com · 6 DNS queries through the relay (Cloudflare)
Summary
RECORD STATUS FINDING
SPF pass "v=spf1 -all": no server may send mail as example[.]com, so any message from it is forged
DMARC warn p=reject, sp=reject
DKIM info Not checked: DKIM keys can only be found by selector (see the DKIM-Signature s= of a message)
MTA-STS info No MTA-STS record (optional): senders may deliver over unencrypted or unverified TLS
TLS-RPT info No TLS-RPT record (optional): no reports about TLS delivery failures
BIMI info No BIMI record (optional). DMARC is at enforcement
MX info Null MX "0 .": the domain accepts no mail (RFC 7505)
SPF
DNS-QUERYING TERMS
0 of 10
VOID LOOKUPS
0 of 2
UNLISTED SENDERS GET
fail (-all)
v=spf1 -all
Include and redirect tree (lookups are numbered in evaluation order; include, a, mx, ptr, exists and redirect count, RFC 7208 §4.6.4)
example[.]com · 0 lookups here, 0 in this branch
fail -all
DMARC
Found at _dmarc.example[.]com
v=DMARC1;p=reject;sp=reject;adkim=s;aspf=s
warn no rua: the owner receives no aggregate reports
TAG VALUE MEANING
v DMARC1 version
p reject policy for the domain itself — reject: failing mail is refused
sp reject policy for subdomains (default: p) — reject: failing mail is refused
adkim s DKIM alignment: r = same organization, s = exact domain (default r)
aspf s SPF alignment: r = same organization, s = exact domain (default r)
DKIM
DNS cannot list DKIM keys: each one sits under a selector chosen by the sender (selector._domainkey.example[.]com). Enter the s= value from a message's DKIM-Signature header, or press “Try common
…SPF v=spf1 -all, DMARC p=reject oraz rekord MX o wartości null (0 .): domena deklaruje, że nie wysyła ani nie odbiera wiadomości e-mail, więc każda wiadomość pochodząca z tej domeny jest sfałszowana. DMARC ma oznaczenie „warn” wyłącznie dlatego, że rekord nie zawiera adresu rua=, więc właściciel nie otrzymuje raportów zbiorczych; sama polityka (p=reject, sp=reject) jest w pełni egzekwowana.
Co jest sprawdzane
| Sygnał | Co to oznacza |
|---|---|
| Rekord SPF | Brakujący wpis oznacza błąd. Opcja +all pozwala na przejście każdemu serwerowi, a opcje ?all lub no all nie zapewniają żadnej ochrony; opcje -all lub ~all działają zgodnie z oczekiwaniami. |
| Wyszukiwanie SPF i liczba unieważnień | Polecenia „Include”, „a”, „mx”, „ptr”, „exists” oraz „redirect” powodują, że każde z nich generuje koszt w postaci jednego zapytania DNS. Jeśli liczba zapytań przekroczy 10 lub więcej niż 2 z nich nie zwróci żadnego wyniku, spowoduje to błąd „permerror” w SPF. |
| Polityka DMARC | p=none powoduje jedynie monitorowanie, opcja „quarantine” przekierowuje wiadomości, których wysłanie nie powiodło się, do folderu spam, a opcja „reject” odrzuca je. Ostrzeżenia dotyczą również wartości pct poniżej 100, ustawienia sp=none oraz braku adresu RUA. |
| Odziedziczony DMARC | Jeśli subdomenie nie przypisano żadnego wpisu, odczytywany jest wpis domeny organizacyjnej i oznaczany jako odziedziczony. |
| Klucz DKIM | Wyświetlane według selektora wraz z typem i rozmiarem. Klucz RSA poniżej 1024 bitów oznacza błąd, poniżej 2048 – ostrzeżenie, a puste pole „p=” oznacza, że klucz został unieważniony. |
| MTA-STS i TLS-RPT | Opcjonalne wpisy, w których prosi się nadawców o stosowanie zweryfikowanego protokołu TLS oraz o zgłaszanie niepowodzeń. Jeśli brakuje tych wpisów, wyświetla się informacja, a nie komunikat o błędzie. |
| BIMI | Opcjonalny wpis dotyczący logo marki. Jest on brany pod uwagę wyłącznie wtedy, gdy ustawienie DMARC to „quarantine” lub „reject” z wartością pct=100. |
| MX | Wyświetla listę serwerów pocztowych. Pusty wpis MX (0 .) oznacza, że domena nie przyjmuje poczty; NXDOMAIN oznacza, że domena nie istnieje. |
Więcej przykładów
Adres URL zamiast nazwy domeny
https://www.example.net/loginUwaga: adres www.example.net został sprawdzony jako example.net, po czym wykonano 6 zapytań DNS: SPF pozytywny dla „v=spf1 -all”, ostrzeżenie DMARC dla p=reject, sp=reject bez adresu RUA, DKIM nie sprawdzono, brak rekordów MTA-STS, TLS-RPT ani BIMI oraz rekord MX o wartości null.
Domena, która nie istnieje
nothing.exampleBłąd SPF (brak rekordu SPF), błąd DMARC (brak rekordu DMARC) oraz błąd MX, ponieważ domena nothing.example nie istnieje (NXDOMAIN). W wierszu BIMI zaznaczono, że DMARC nie jest w trybie egzekwowania.
Nazwa rekordu DKIM
google._domainkey.example.orgSelektor „google” należy wpisać w polu selektorów, a opcja „example.org” musi być zaznaczona. W wierszu DKIM widnieje komunikat „google: revoked”, ponieważ rekord klucza ma puste pole p=.
Najczęściej zadawane pytania
Jakie informacje sprawdza narzędzie do weryfikacji autentyczności wiadomości e-mail?
Rekord SPF oraz wszystkie w nim zawarte elementy typu „include” i „redirect” są uwzględniane przy liczeniu zapytań DNS w ramach limitu 10 oraz bezskutecznych wyszukiwań w ramach limitu 2 (RFC 7208). Odczytuje również rekord DMARC, przechodząc w razie potrzeby do domeny organizacyjnej, klucze DKIM dla podanych selektorów oraz rekordy MTA-STS, TLS-RPT, BIMI i MX.
Czego program sprawdzający nie jest w stanie wykryć?
DNS nie może wyświetlić listy kluczy DKIM: każdy z nich znajduje się pod selektorem wybranym przez nadawcę, więc należy wprowadzić wartość s= z nagłówka DKIM-Signature wiadomości lub wypróbować popularne selektory; brak trafienia niczego nie dowodzi. Plik polityki MTA-STS oraz logo BIMI nie są pobierane, a makra SPF zależne od nadawcy nie są rozwijane.
Co jest przesyłane przez sieć?
Tylko nazwy DNS utworzone na podstawie wprowadzonej domeny, takie jak _dmarc.example.com, są przekazywane do serwera przekaźnikowego PhishDestroy, który wysyła zapytania do Cloudflare lub Google za pośrednictwem protokołu DNS over HTTPS. Jedno sprawdzenie wymaga od około 5 do 25 zapytań; serwer przekaźnikowy pozwala na 60 zapytań na minutę.
Czy dobry wynik oznacza, że wiadomość e-mail z tej domeny jest autentyczna?
Nie. Narzędzie sprawdzające analizuje opublikowaną politykę domeny, a nie konkretną wiadomość. Aby sprawdzić, czy dana wiadomość e-mail przeszła weryfikację SPF, DKIM i DMARC, otwórz jej kod źródłowy w programie EML Analyzer.
Dlaczego DMARC wyświetla ostrzeżenie, mimo że ustawiono p=reject?
Ostrzeżenia dotyczą również ustawień, które osłabiają zasięg lub raportowanie: brak adresu RUAdres w raportach zbiorczych, wartość pct poniżej 100 lub sp=none dla subdomen. Sama polityka odrzucania nadal obowiązuje.
Czym jest wyszukiwanie w polu pustym?
Zapytanie DNS wysłane podczas sprawdzania SPF, które nie zwraca żadnych użytecznych rekordów, na przykład termin typu „a:” lub „mx:”, którego nazwa nie ma przypisanych adresów ani serwerów pocztowych. SPF dopuszcza dwa takie rekordy; pojawienie się trzeciego powoduje niepowodzenie z błędem „permerror”.