Darmowe narzędzie
Sprawdzanie DMARC, SPF i DKIM. Czy ktoś może wysyłać pocztę jako ta domena?
Wpisz domenę, aby sprawdzić jej rekordy SPF i DMARC, a opcjonalnie także klucze DKIM. Każdy z nich zostanie wyjaśniony prostym językiem: na co pozwala, co blokuje i czego brakuje.
Zapytania DNS trafiają z Twojej przeglądarki prosto do publicznego resolwera Cloudflare (cloudflare-dns.com). AntiBait nie widzi, jaką domenę sprawdzasz.
Co sprawdza
Trzy rekordy, które decydują, kto może wysyłać pocztę jako domena.
Poczta e-mail powstała bez żadnej kontroli nadawcy, więc każdy może wpisać w pole From dowolny adres. Trzy rekordy DNS naprawiają to dla domeny: SPF wymienia serwery, które mogą wysyłać jej pocztę, DKIM publikuje klucze do weryfikacji jej podpisów, a DMARC mówi serwerom odbiorców, co zrobić z wiadomością podającą się za pochodzącą z tej domeny, gdy nie przejdzie żadnego z tych sprawdzeń.
Pod domenę ze ścisłą polityką DMARC trudno się podszyć. Domenę bez DMARC albo z polityką, która tylko monitoruje, można podrobić w polu From, a taka wiadomość może i tak trafić do skrzynki odbiorczej. Sprawdź tu swoją domenę albo nadawcę, co do którego masz wątpliwości.
Rekord SPF
Które serwery mogą wysyłać pocztę domeny, jak kończy się rekord (-all, ~all, ?all lub +all) i ile zapytań DNS wymaga po rozwinięciu wszystkich include:.
Polityka DMARC
Polityka dla domeny i jej subdomen (none, quarantine lub reject), odsetek poczty, którego dotyczy, tryb zgodności i adres raportów.
Klucze DKIM
Opcjonalnie klucze publiczne pod popularnymi selektorami i pod Twoim własnym, z typem i długością klucza oraz informacją, czy klucz jest unieważniony albo w trybie testowym.
Wyjaśnienie prostym językiem
Każdy problem jest opisany pod kątem tego, co oznacza dla podszywania się i doręczalności, od najpoważniejszego.
Wynik
Jak czytać wynik.
Najważniejsza jest polityka DMARC: to ona sprawia, że nieudane sprawdzenia SPF i DKIM kończą się faktycznym zablokowaniem poczty.
- p=reject
- Serwery odbiorców mają odrzucać pocztę, która nie przechodzi DMARC. Najsilniejsza ochrona przed wysyłaniem poczty w imieniu domeny.
- p=quarantine
- Poczta, która nie przechodzi DMARC, ma być traktowana jako podejrzana, co zwykle oznacza folder spam.
- p=none
- Tylko monitorowanie. Właściciel domeny dostaje raporty, ale serwery odbiorców nie są proszone o żadne działanie wobec podrobionej poczty. Dobry pierwszy krok, ale nie stan docelowy.
- -all i ~all
- Tak kończy się SPF. -all mówi, że serwery spoza listy mają nie przejść weryfikacji, ~all, że należy traktować je podejrzliwie. Przy egzekwowanej polityce DMARC oba warianty są w porządku; +all przepuszcza każdy serwer na świecie.
- 10 zapytań DNS
- SPF dopuszcza najwyżej 10 elementów wymagających zapytania DNS (include, a, mx, ptr, exists, redirect), licząc też zagnieżdżone include. Powyżej tej liczby rekord jest błędny i SPF przestaje działać dla wszystkich wiadomości.
Pytania
Częste pytania.
Czym różnią się SPF, DKIM i DMARC?
SPF wymienia serwery, które mogą wysyłać pocztę domeny. DKIM dodaje podpis kryptograficzny, który serwer odbiorcy sprawdza kluczem opublikowanym w DNS. DMARC łączy oba z adresem w polu From: wiadomość przechodzi DMARC, gdy SPF albo DKIM przechodzi dla tej samej domeny, a polityka DMARC mówi, co zrobić, gdy nie przechodzi żadne z nich.
Dlaczego narzędzie nie znajduje mojego klucza DKIM?
Klucz DKIM znajduje się pod nazwą wybraną przez nadawcę, czyli selektorem, a DNS nie pozwala wylistować selektorów. Narzędzie sprawdza selektory popularnych usług pocztowych. Swój znajdziesz w znaczniku s= nagłówka DKIM-Signature w wiadomości wysłanej z Twojej domeny; wpisz go w pole selektora.
Czy p=none wystarczy?
Nie. Przy p=none serwery odbiorców wysyłają raporty, ale nie blokują podrobionej poczty. Zacznij od p=none, aby zobaczyć, kto wysyła pocztę jako Twoja domena, popraw konfigurację prawdziwych nadawców, a potem przejdź na quarantine i w końcu reject.
Po zmianie rekordu narzędzie nadal pokazuje stary. Dlaczego?
Odpowiedzi DNS są zapamiętywane na czas TTL rekordu, często godzinę, czasem dobę. Resolwer Cloudflare może zwracać starą odpowiedź, dopóki ten czas nie minie.
Czy ścisła polityka DMARC zatrzyma każdy phishing?
Zatrzymuje jedną technikę: podrabianie dokładnie Twojej domeny w polu From. Nie chroni przed podobnymi domenami, przejętymi kontami ani darmowymi skrzynkami z nazwą Twojej marki w nazwie nadawcy, dlatego w odebranej poczcie i tak trzeba sprawdzać treść i linki.
Pełna analiza
Masz wątpliwości co do całej wiadomości? Sprawdź ją w całości.
To narzędzie patrzy na jeden fragment wiadomości. Analizator AntiBait czyta cały e-mail: uwierzytelnienie nadawcy, linki i to, dokąd przekierowują, załączniki, samą treść i tożsamość nadawcy, a potem wyjaśnia werdykt. Możesz wypróbować go za darmo, bez zakładania konta.