Analise um arquivo .eml: cabeçalhos, cadeia Received, links, hashes de anexos, remetentes divergentes.
Nova
Verificador de autenticação de e-mail
Rede: DoHNova
A ferramenta em si está em inglês; esta página explica como usá-la no seu idioma.
Use Verificador de autenticação de e-mail
O que ele faz
Digite um domínio para ver o quanto ele está protegido contra falsificação (spoofing): a árvore de includes do SPF com a contagem de consultas, a política DMARC, os tamanhos das chaves DKIM, MTA-STS, TLS-RPT, BIMI e MX.
Os nomes DNS que você consulta são enviados ao relé DNS do PhishDestroy (/api/dns-resolve.php), que faz a consulta ao Cloudflare ou ao Google DNS por meio de HTTPS.
Como usar Verificador de autenticação de e-mail
- Digite um domínio. Digite um domínio, um endereço de e-mail ou uma URL. A ferramenta mantém só o domínio, remove um www. inicial de uma URL e retira prefixos como _dmarc.
- Adicione seletores DKIM. Se você tem uma mensagem do domínio, copie o valor s= do cabeçalho DKIM-Signature dela para o campo de seletores. Até 10 são verificados.
- Faça a verificação. Clique em Check (verificar) ou em Try common DKIM selectors para testar 15 nomes frequentes. O contador mostra quantas consultas DNS foram usadas.
- Leia a tabela Summary. Cada registro recebe pass, warn, fail, info ou error, com uma constatação de uma linha. As seções abaixo mostram os registros brutos e a árvore de includes do SPF.
- Use o resultado. Um domínio sem SPF e sem uma política DMARC que bloqueie é fácil de falsificar. Leve isso em conta ao avaliar uma mensagem que diz vir dele.
Exemplo
Um domínio que não envia e-mail
example.comChecked example[.]com · 6 DNS queries through the relay (Cloudflare)
Summary
RECORD STATUS FINDING
SPF pass "v=spf1 -all": no server may send mail as example[.]com, so any message from it is forged
DMARC warn p=reject, sp=reject
DKIM info Not checked: DKIM keys can only be found by selector (see the DKIM-Signature s= of a message)
MTA-STS info No MTA-STS record (optional): senders may deliver over unencrypted or unverified TLS
TLS-RPT info No TLS-RPT record (optional): no reports about TLS delivery failures
BIMI info No BIMI record (optional). DMARC is at enforcement
MX info Null MX "0 .": the domain accepts no mail (RFC 7505)
SPF
DNS-QUERYING TERMS
0 of 10
VOID LOOKUPS
0 of 2
UNLISTED SENDERS GET
fail (-all)
v=spf1 -all
Include and redirect tree (lookups are numbered in evaluation order; include, a, mx, ptr, exists and redirect count, RFC 7208 §4.6.4)
example[.]com · 0 lookups here, 0 in this branch
fail -all
DMARC
Found at _dmarc.example[.]com
v=DMARC1;p=reject;sp=reject;adkim=s;aspf=s
warn no rua: the owner receives no aggregate reports
TAG VALUE MEANING
v DMARC1 version
p reject policy for the domain itself — reject: failing mail is refused
sp reject policy for subdomains (default: p) — reject: failing mail is refused
adkim s DKIM alignment: r = same organization, s = exact domain (default r)
aspf s SPF alignment: r = same organization, s = exact domain (default r)
DKIM
DNS cannot list DKIM keys: each one sits under a selector chosen by the sender (selector._domainkey.example[.]com). Enter the s= value from a message's DKIM-Signature header, or press “Try common
…SPF v=spf1 -all, DMARC p=reject e um MX nulo (0 .): o domínio declara que não envia nem recebe e-mails; portanto, qualquer mensagem proveniente dele é falsificada. O DMARC está marcado apenas como “warn” porque o registro não possui um endereço rua=; portanto, o proprietário não recebe relatórios agregados; a política em si (p=reject, sp=reject) é totalmente aplicada.
O que ele verifica
| Sinal | O que isso significa |
|---|---|
| Registro SPF | A ausência de registro é um fail. +all deixa qualquer servidor passar, e ?all ou a falta de all não dão proteção; -all ou ~all é o esperado. |
| Contagens de consultas e de consultas vazias do SPF | include, a, mx, ptr, exists e redirect custam uma consulta DNS cada. Mais de 10 consultas, ou mais de 2 que não retornam nada, quebram o SPF com um permerror. |
| Política DMARC | p=none apenas monitora, quarantine manda o e-mail reprovado para o spam e reject o recusa. Os avisos também cobrem pct abaixo de 100, sp=none e a falta de um endereço rua. |
| DMARC herdado | Se um subdomínio não tem registro, o registro do domínio organizacional é lido e marcado como herdado. |
| Chave DKIM | Exibida por seletor, com tipo e tamanho. RSA abaixo de 1024 bits é um fail, abaixo de 2048 é um aviso, e um p= vazio significa que a chave foi revogada. |
| MTA-STS e TLS-RPT | Registros opcionais que pedem aos remetentes que usem TLS verificado e relatem falhas. Se estiverem ausentes, você recebe uma nota, não um erro. |
| BIMI | Um registro opcional de logotipo da marca. Ele só vale quando o DMARC está em quarantine ou reject com pct=100. |
| MX | Lista os servidores de e-mail. Um null MX (0 .) significa que o domínio não aceita e-mail; NXDOMAIN significa que o domínio não existe. |
Mais exemplos
Uma URL em vez de um domínio
https://www.example.net/loginUma nota de que www.example.net é verificado como example.net e, em seguida, 6 consultas DNS: SPF pass para "v=spf1 -all", DMARC warn para p=reject, sp=reject sem endereço rua, DKIM não verificado, nenhum registro MTA-STS, TLS-RPT ou BIMI e um null MX.
Um domínio que não existe
nothing.exampleSPF fail (sem registro SPF), DMARC fail (sem registro DMARC) e MX fail, porque nothing.example não existe (NXDOMAIN). A linha do BIMI observa que o DMARC não está em modo de bloqueio.
Um nome de registro DKIM
google._domainkey.example.orgO seletor google vai para o campo de seletores e example.org é verificado. A linha do DKIM mostra "google: revoked" porque o registro da chave tem um p= vazio.
Perguntas frequentes
O que o verificador de autenticação de e-mail consulta?
O registro SPF e todos os include e redirect que ele puxa, contando os termos que fazem consultas DNS frente ao limite de 10 e as consultas vazias frente ao limite de 2 (RFC 7208). Ele também lê o registro DMARC, recorrendo ao domínio organizacional quando necessário, as chaves DKIM dos seletores que você informar e os registros MTA-STS, TLS-RPT, BIMI e MX.
O que o verificador não consegue ver?
O DNS não permite listar chaves DKIM: cada uma fica sob um seletor escolhido pelo remetente, então informe o valor s= do cabeçalho DKIM-Signature de uma mensagem ou tente os seletores comuns; não encontrar uma chave não prova nada. O arquivo de política MTA-STS e o logotipo BIMI não são baixados, e macros SPF que dependem do remetente não são expandidas.
O que é enviado pela rede?
Apenas nomes DNS montados a partir do domínio que você digita, como _dmarc.example.com, vão para o relay DNS do PhishDestroy, que consulta a Cloudflare ou o Google via DNS over HTTPS. Uma verificação usa de 5 a 25 consultas, aproximadamente; o relay permite 60 por minuto.
Um bom resultado significa que um e-mail desse domínio é legítimo?
Não. O verificador lê a política publicada pelo domínio, não uma mensagem específica. Para ver se um e-mail passou no SPF, no DKIM e no DMARC, abra o código-fonte dele no EML Analyzer.
Por que o DMARC aparece como warn mesmo com p=reject?
Os avisos também cobrem configurações que enfraquecem a cobertura ou os relatórios: falta de endereço rua para relatórios agregados, pct abaixo de 100 ou sp=none para subdomínios. A política reject em si continua valendo.
O que é uma consulta vazia (void lookup)?
Uma consulta DNS feita durante a avaliação do SPF que não retorna registros utilizáveis, por exemplo um termo a: ou mx: cujo nome não tem endereços nem servidores de e-mail. O SPF permite duas; uma terceira o faz falhar com um permerror.