Comprobador de seguridad DNS
Si nadie ha configurado lo contrario, cualquier persona en Internet puede enviar correo electrónico que parezca provenir de su dominio. Apunte el escáner a un dominio que usted controle y obtenga los registros de autenticación de correo, el estado de DNSSEC y la configuración detrás de ellos: calificados, guardados y vigilados para el día en que cambie.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Cinco razones para comprobar tu propio DNS
DNS es la única capa en esta lista donde el daño suele recaer en otra persona. Un dominio suplantable se utiliza contra tus clientes, tus proveedores y los tuyos propios.personal.
01
Descubre si alguien puede enviar correo como tú
Los registros de correo deciden esto (SPF, DKIM y DMARC, con MTA-STS y TLS-RPT protegiendo la conexión que transporta el correo) y cada uno tiene su propia página: SPF, DKIM, DMARC, MTA-STS y DNSSEC.
Un dominio sin registro DMARC es un dominio desde el que cualquiera puede escribir phishing convincente.
02
Encuentre los registros que sobrevivieron a lo que señalaron
Los registros DNS se crean para un servicio y lo sobreviven. El registro que apunta a una plataforma en la nube por la que la empresa dejó de pagar es la ruta clásica hacia la adquisición de un subdominio: cualquiera que afirme ese nombre de servicio ahora ofrece contenido de su subdominio, bajo su nombre.
03
Ver si DNSSEC está activado y si es correcto
DNSSEC firma las respuestas DNS para que un cliente pueda saber que no fueron manipuladas durante el tránsito. Está desactivado de forma predeterminada en la mayoría de los proveedores. También es el único elemento de esta lista en el que una configuración a medio terminar es peor que ninguna, porque una firma rota hace que el dominio no se resuelva en lugar de simplemente resolverse de forma insegura.
04
Capta el cambio que nadie anunció
El DNS es editado por más personas que cualquier otra capa: el marketing añade una herramienta y la TI se mueveun proveedor de correo, un contratista que apunta un subdominio a alguna parte. Cada edición es pequeña y ninguna de ellas se revisa. Un registro SPF que crece una entrada a la vez eventualmente excede su límite de búsqueda y deja de funcionar silenciosamente.
05
Producir evidencia de que el dominio está protegido
Las aseguradoras y los clientes empresariales preguntan cada vez más sobre DMARC por su nombre. Un informe fechado que muestra la política y cuándo cambió es una mejor respuesta que una captura de pantalla de un DNSpanel, y es evidencia que puedes conservar.
Sepa el día en que cambia su DNS
Los cambios de DNS entran en vigor de forma silenciosa e inmediata, y la persona que realizó el cambio a menudo no forma parte del equipo de seguridad.
Los análisis programados convierten eso en una diferencia de la que le informan: este registro no estaba aquí la semana pasada, esta política pasó de quarantine a none, esta calificación bajó. Las alertas llegan a la aplicación, por correo electrónico o a través de Slack, Teams,Jira o un webhook.
Paso 01 · Nombra el dominio
Un dominio que usted controla, agregado a su cuenta AYAsec. La propiedad se verifica antes de enviar cualquier cosa: AYAsec no programará análisis en infraestructura sobre la cual no haya demostrado control y [demostrará que requiere un registro DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). La verificación rápida anterior omite esto: sin cuenta, sin verificación, solo limitación de velocidad de IP y una regla de que el objetivo debe ser una dirección pública.
Paso 02 · Dejala ejecución del cheque
Las respuestas de DNS son públicas, por lo que este escaneo lee en lugar de sondear. Consulta el dominio como lo haría un servidor de correo o un solucionador.
Paso 03 · Leer el resultado
Los hallazgos llegan ordenados por gravedad y con calificaciones de A+ a F. Una política DMARC faltante y un registro TXT desordenado no se encuentran en la misma lista indiferenciada.
Lo que comprueba el escaneo
01
Autenticación de correo
SPF, DKIM, DMARC, MTA-STS y TLS-RPT: si cada uno existey lo que le indica al servidor receptor que haga, con SPF, DKIM, DMARC y MTA-STS disponibles en sus propias páginas.
02
DNSSEC
Si el dominio está firmado y si la cadena de confianza está intacta.
03
Registros y servidores de nombres
La configuración en sí: qué servidores de nombres tienen autoridad y si el conjunto de registros contiene algo que no debería estar allí.
DNSlleva el 20% de la nota compuesta. HTTP conlleva el 30 %, TLS y puertos conlleva el 20 % cada uno y la credibilidad del dominio conlleva el 10 %.
Preguntas antes de escanear
¿Qué puedo escanear?
Infraestructura de su propiedad o contratada para realizar pruebas. La verificación rápida anterior no verifica eso por usted: solo limita la velocidad por IP y se niega a apuntar a nada que no sea una dirección pública. En su lugar, agregue el dominio a una cuenta de AYAsec y el control se verificará antes de que se ejecute cualquier cosa programada: un límite tanto legal como práctico, ya que un escaneo no verificado tampoco le sirve como evidencia.
Los registros DNS son públicos. ¿Por qué es necesario¿verificación?
Los registros son públicos y la verificación es de sólo lectura, por lo que el análisis en sí es inofensivo. La verificación se trata de lo que sucede a continuación: un dominio en su cuenta AYAsec es monitoreado, calificado y mantenido en su historial, y nada de eso debería ser posible para un dominio que no es suyo.
No enviamos correo electrónico desde este dominio. ¿Todavía necesitamos SPF y DMARC?
Sí, y posiblemente más. Un dominio que no envía correo debería indicarlo explícitamente: un SPFregistro que no autoriza nada y una política DMARC de reject. Un dominio estacionado sin registros es el más fácil de todos de suplantar, porque nadie está mirando las respuestas.
¿Activar DMARC detendrá nuestro propio correo electrónico?
Puede hacerlo, si está habilitado en reject antes de que se conozcan los remitentes legítimos. Esa es la razón por la que la política existe en tres etapas: comience en none y lea los informes, pase a quarantine y luego a reject. El escaneo te diceen qué etapa te encuentras, no es que debas saltar hasta el final.
¿Vale la pena habilitar DNSSEC?
Depende de su proveedor. Donde es un interruptor, sí. Cuando se trata de administración manual de claves, la respuesta honesta es que una configuración DNSSEC rota desconecta su dominio, y un dominio que se resuelve de manera insegura representa un riesgo menor que un dominio que no se resuelve.
¿Conservas los resultados?
No es la comprobación rápida anterior: permanece en la memoria durante unos quince minutos para que puedas leerla una vez y luego desaparece. Se trata de una elección deliberada de privacidad, no de una limitación: nadie más que tú ve ese análisis y puedes descargar el resultado completo antes de que caduque. En su lugar, agregue el dominio a una cuenta de AYAsec y se mantendrán todos los escaneos: una serie que le indica cuándo alguien cambió el registro. La retención depende de su plan.
Mantenga la historia, no soloel resultado
Ejecute la verificación completa de sus propios dominios, según un cronograma, y marque cada cambio para quien necesite verlo.
Más escáneres de seguridad gratuitos para HTTP, TLS y puertos
DNS es una de las cinco capas puntuadas. Los demás responden cada uno a una pregunta diferente:
Escáner de puertos en línea: ¿qué está dispuesto a hablar este patrimonio con unextraño acerca de?
Comprobador SSL/TLS: ¿el cifrado es correcto y cuándo caduca el certificado?
Comprobador de seguridad HTTP: ¿la aplicación web está configurada de forma defensiva?
Los cinco juntos son lo que gestión de la superficie de ataque significa en la práctica.
Datos estructurados para incrustar
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec DNS Security Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/dns-security-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}No añada el marcado FAQPage o HowTo - Google retiró ambos tipos de resultados.