Tutte le richieste partono direttamente dal browser: il DNS via DNS-over-HTTPS presso Cloudflare (ripiego: Google), i titolari di rete e i paesi tramite l'API RIPE Stat, i selettori DKIM osservati tramite l'archivio pubblico archive.prove.email, le bandiere da flagcdn.com. Un selettore inserito da voi viene trasmesso all'archivio solo se cliccate esplicitamente sul pulsante nella scheda DKIM.

Che cosa viene verificato?

Punteggio e verdetto sullo spoofing: Tutti i risultati confluiscono in un punteggio complessivo (0–100). Lo strumento indica inoltre, in una frase, che cosa succederebbe davvero presso i destinatari a un messaggio contraffatto a nome del dominio. Il report si può copiare in Markdown per i ticket.
Record MX: Quali server di posta sono responsabili del dominio, con riconoscimento del provider (Microsoft 365, SEPPmail, Proofpoint …), Null MX (RFC 7505) e fallback su A. Ogni server è cliccabile e mostra indirizzi IP, PTR con verifica FCrDNS, il titolare della rete (ASN) e lo stato TLSA.
DNSSEC: Se la zona è firmata e se il resolver convalida le risposte (flag AD). Senza DNSSEC, DANE non ha alcun effetto.
SPF: Il record SPF viene risolto in modo ricorsivo: le catene include e redirect vengono seguite e i lookup DNS contati rispetto al limite di 10 (RFC 7208), uno degli errori di configurazione SPF più frequenti. Lo strumento calcola inoltre quanti indirizzi IPv4 il record autorizza complessivamente all'invio.
DKIM: Circa 60 selettori diffusi dei grandi provider (Microsoft 365, Google Workspace, SendGrid, Mailchimp …) vengono verificati automaticamente, insieme a tutti i selettori che l'archivio DKIM pubblico (prove.email) conosce per il dominio. Così si trovano anche selettori datati o casuali che nessun elenco fisso può indovinare. Le chiavi trovate vengono analizzate: tipo e lunghezza (ad es. RSA 2048 oppure Ed25519), delega CNAME a servizi terzi e chiavi revocate (p= vuoto); è possibile interrogare anche selettori propri.
DMARC: Policy (p=), indirizzi per i report ed errori tipici come record DMARC duplicati o pct<100.
MTA-STS e TLS-RPT: Se il dominio impone la cifratura del trasporto tramite policy e se riceve i report TLS.
DANE / TLSA: Record TLSA sulla porta 25 degli host MX, con avviso quando TLSA resta inefficace perché manca la convalida DNSSEC.
BIMI: Record del logo e certificato Verified Mark, con avviso quando BIMI resta inefficace perché DMARC non viene applicato in modo rigoroso.

Feedback

Questo strumento le è utile? Manca una funzione, o un risultato non è corretto? I riscontri direttamente qui nei commenti sono benvenuti.

I commenti vengono caricati da GitHub / Giscus.