Test bezpieczeństwa poczty
Wystarczy podać domenę, aby zobaczyć, jak dobrze jest chroniona przed podszywaniem się w poczcie e-mail i nadużyciem certyfikatów. Test odczytuje wyłącznie publiczne rekordy DNS i wystawia ocenę z konkretnymi poprawkami.
Zapytania wykonywane są w przeglądarce za pośrednictwem publicznego resolwera DNS Cloudflare (1.1.1.1). Nie otrzymujemy ani nie przechowujemy wpisanej domeny.
Co sprawdza test
SPF wymienia serwery uprawnione do wysyłania poczty w imieniu domeny. DKIM pozwala odbiorcom zweryfikować podpis kryptograficzny każdej wiadomości. DMARC wiąże oba mechanizmy z adresem widocznym w polu Od (From) i mówi odbiorcom, co zrobić z pocztą, która nie przejdzie weryfikacji: doręczyć ją, przenieść do spamu czy odrzucić.
Test sprawdza również DNSSEC, który podpisuje odpowiedzi DNS domeny, CAA, który ogranicza, kto może wystawiać dla niej certyfikaty, oraz MTA-STS i raportowanie TLS, które chronią pocztę w trakcie przesyłania.
Jak czytać ocenę
Każdy rekord daje punkty, a ocena odpowiada odsetkowi zdobytych punktów. Domena bez DMARC albo z SPF dopuszczającym dowolny serwer nie może uzyskać dobrej oceny, ponieważ każdy może wysłać pocztę, która wygląda, jakby z niej pochodziła. DKIM jest wyszukiwany tylko pod typowymi nazwami selektorów, więc klucz opublikowany pod nietypowym selektorem może zostać zgłoszony jako brakujący.
Pytania
Czy test łączy się z moimi serwerami?
Nie. Odczytuje wyłącznie publiczne rekordy DNS, te same, które odczytuje każdy serwer pocztowy na świecie, gdy odbiera Państwa e-maile.
Nasza domena nie wysyła e-maili. Czy potrzebujemy tych rekordów?
Tak. Atakujący lubią domeny, które nie wysyłają poczty, bo nikt nie zauważa sfałszowanych wiadomości. Rekordy SPF z -all i DMARC z p=reject je blokują.
Czy wysoka ocena wystarczy?
Pokazuje, że część bezpieczeństwa poczty zależna od DNS jest w porządku. Nie mówi nic o serwerach pocztowych, kontach ani użytkownikach. To obejmuje test penetracyjny.
Potrzebują Państwo więcej, niż pokaże narzędzie?
Narzędzie sprawdza jedną rzecz. Nasi konsultanci patrzą na całość.
Zarządzane usługi bezpieczeństwaPowiązane artykuły
-
Jak rozpoznać link phishingowy, zanim się w niego kliknie
Jak czytać adres URL tak, jak buduje go atakujący: domena rejestrowalna, domeny łudząco podobne i punycode, sztuczka z @, przekierowania i skracacze.
-
SPF, DKIM i DMARC w praktyce – bezpieczna droga do p=reject
Jak SPF, DKIM i DMARC chronią domenę przed podszywaniem się, jak bezpiecznie przejść z p=none na p=reject i jakie błędy blokują pocztę.