Vérificateur DMARC

La plupart des domaines avec un enregistrement DMARC sont configurés pour ne rien faire. L'enregistrement existe, le questionnaire est coché et n'importe qui peut toujours envoyer un e-mail convaincant en tant que domaine. Vérifiez un domaine que vous contrôlez et obtenez l'enregistrement complet ainsi que la politique qu'il définit réellement.

Ce que DMARC fait que SPF et DKIM ne font pas

SPF indique quels serveurs peuvent envoyer pour votre domaine. DKIM signe un message afin que le destinataire puisse savoir qu'il n'a pas été modifié. Aucun d'eux ne dit quoi faire en cas d'échec du contrôle - et laissés à eux-mêmes, la plupartles récepteurs transmettent le message de toute façon.

DMARC est l'instruction. Il s'agit d'un enregistrement TXT dans _dmarc.yourdomain.com qui indique trois choses à un serveur de réception : que faire du courrier qui échoue, où envoyer des rapports à ce sujet et comment faire correspondre strictement le domaine que le lecteur voit au domaine qui a été vérifié.

Six raisons de vérifier votre propre DMARC

La politique qui signifie « remarquez ceci et ne faites rien »

Un enregistrement DMARC a un paramètre quicompte plus que tous les autres :

Politique	Que fait le destinataire en cas d'échec du courrier
`p=none`	Le livre. Vous envoie un rapport et rien d'autre
`p=quarantine`	Le met dans le spam
`p=reject`	Le refuse catégoriquement

p=none est le bon point de départ et le mauvais endroit où rester. Il existe afin que vous puissiez surveiller pendant quelques semaines et trouver les expéditeurs légitimes que vous avez oubliés, avant d'activer l'application.

Un grand nombre de domaines se trouvent sur p=none depuis des années, car rien n'a jamais forcé à passer à l'étape suivante etl'enregistrement semble présent sur toute liste de contrôle qui demande uniquement si DMARC existe.

Pourquoi vous ne pouvez pas simplement passer à reject

Parce que cela arrêtera votre propre courrier.

Chaque organisation envoie depuis plus d'endroits qu'elle ne se souvient : un système de billetterie, un outil de facturation, une plateforme de newsletter, un serveur qui envoie des alertes, un formulaire sur un site construit il y a trois ans. À p=reject, chacun de ceux qui ne sont pas autorisés cesse d'être livré - et leles personnes qui le remarquent en premier sont vos clients.

Les trois étapes existent pour être parcourues et non choisies. Commencez par none, lisez ce que montrent les rapports, autorisez ce qui est légitime, puis passez à quarantine, puis à reject.

Les rapports que personne ne lit

Un enregistrement DMARC peut nommer deux adresses de rapport :

rua - rapports agrégés. Résumés XML quotidiens des fournisseurs de réception : combien de courriers prétendent provenir de vous, combien ont été transmis et d'où

-ruf - rapports d'échec. Détails par message, envoyés par beaucoup moins de fournisseurs, et ils peuvent contenir des parties de messages réels

Les rapports agrégés constituent tout l'intérêt d'p=none et ils sont illisibles par une personne : ils arrivent sous forme de XML compressé provenant de dizaines de fournisseurs. Sans quelque chose pour les collecter et les présenter, l'étape dont vous êtes censé apprendre ne vous apprend rien et le domaine reste pour toujours à none.

Un enregistrement sans adresse rua est un enregistrement qui ne peut pas faire son travail.

Alignement et pourquoi le courrier peut passer le SPF et échouer quand même au DMARC

C’est la partie qui surprend les gens qui pensaient avoir fini.

SPF vérifie l'expéditeur de l'enveloppe - l'adresse utilisée dans la conversation de livraison. Le lecteur ne le voit jamais. Ce que le lecteur voit, c'est l'en-tête From:, et DMARC existe pour protéger celui-ci.

DMARC ne nécessite donc pas seulement ce SPF ou DKIMtransmis, mais que le domaine pour lequel il a transmis correspond au domaine dans l'en-tête From:. Une plate-forme de messagerie qui envoie en votre nom en utilisant son propre domaine d'enveloppe transmettra SPF pour elle-même et échouera DMARC pour vous, à moins qu'elle n'ait été configurée pour s'aligner.

Les paramètres aspf et adkim de l'enregistrement contrôlent la rigueur avec laquelle cette correspondance est établie - r pour détendu, qui autorise les sous-domaines, s pour strict, ce qui ne l'est pas.

Le sous-domaine, personne n'a défini de politiquepour

Un enregistrement DMARC peut contenir une stratégie distincte pour les sous-domaines, sp. S'il est absent, les sous-domaines héritent de la politique principale - ce qui est généralement ce que vous souhaitez.

Là où cela ne va pas, c'est un enregistrement qui définit p=reject et sp=none, souvent lors d'un déploiement prudent, puis laissé ainsi. Le domaine principal est protégé et chaque sous-domaine est grand ouvert, c'est là que se dirigera un attaquant.

Preuves pour les personnes qui demandent désormais par leur nom

Assureurset les entreprises clientes posent de plus en plus de questions sur DMARC en particulier, et certaines demandent la valeur politique plutôt qu'un oui. Un rapport daté montrant l'enregistrement et la date de sa modification est une meilleure réponse qu'une capture d'écran d'un panneau DNS, et c'est une preuve que vous pouvez conserver.

## Connaissez le jour où votre politique change Une politique DMARC peut être affaiblie en une seule modification, par une seule personne, pour une bonne raison : un lot de courriers légitimes a été rejeté et la solution la plus rapide a été de revenir à none. C’est censé être temporaire. C’est rarement le cas.

Les analyses planifiées transforment cela en une différence dont on vous parle : cette politique est passée de quarantine à none, cet enregistrement a changé. Les alertes arrivent dans l'application, par e-mail ou via Slack, Teams, Jira ou un webhook.

Étape 01 · Nommez ledomaine

Un domaine que vous contrôlez, ajouté à votre compte AYAsec. La propriété est vérifiée avant l'envoi de quoi que ce soit : AYAsec ne planifiera pas d'analyses sur l'infrastructure dont vous n'avez pas démontré le contrôle et pour prouver qu'il faut un enregistrement DNS. La vérification rapide ci-dessus ignore ceci : pas de compte, pas de vérification, juste une limitation du débit IP et une règle selon laquelle la cible doit être publique.adresse.

Étape 02 · Laisser le contrôle s'exécuter

Les enregistrements DMARC sont publics, ils sont donc lus plutôt que interrogés. Il recherche _dmarc sur votre domaine comme le ferait un serveur de messagerie de réception.

Étape 03 · Lire le résultat

Les résultats arrivent classés par gravité et notés de A+ à F. Un enregistrement manquant et une politique selon laquelle seules les surveillances ne figurent pas dans la même liste indifférenciée.

De quoi cela fait partie

DMARC est l'un des nombreux enregistrements liés au courrier vérifiés par AYAsecdans le cadre de son analyse DNS, aux côtés de SPF, DKIM, MTA-STS, TLS-RPT et DNSSEC. Il s'agit d'une analyse, et cette page ne représente qu'une partie de ce qu'elle examine. DNS porte 20 % de la note composite. Les autres sont HTTP à 30 %, TLS et ports à 20 % chacun et la crédibilité du domaine à 10 %. Tous ces éléments constituent ce que gestion de la surface d'attaque signifie dans la pratique.

Questions avant de vérifier

Que puis-je vérifier ?

Infrastructure que vous possédez ou que vous êtes chargé de tester. La vérification rapide ci-dessus ne fonctionne pasvérifiez cela pour vous - il limite uniquement le débit par IP et refuse de cibler autre chose qu'une adresse publique. Ajoutez plutôt le domaine à un compte AYAsec et le contrôle est vérifié avant toute exécution planifiée : une limite légale autant que pratique, puisqu'une analyse non vérifiée ne vous est d'aucune utilité comme preuve non plus.

Nous n'envoyons pas d'e-mails depuis ce domaine. Avons-nous besoin de DMARC ?

Oui, et sans doute plus encore. Un domaine qui n'envoie rien devrait le direexplicitement - un enregistrement SPF n'autorisant personne et une politique DMARC de reject. Un domaine parqué sans enregistrement est le plus facile à usurper, car personne ne surveille les réponses.

Combien de temps devrions-nous rester à p=none ?

Assez long pour voir un cycle complet de votre propre envoi, ce qui pour la plupart des organisations signifie quelques semaines : la facturation mensuelle et les campagnes trimestrielles doivent toutes deux apparaître dans les rapports avant que vous puissiez les appliquer.Rester plus d'un trimestre signifie généralement que personne ne lit les rapports.

Le passage à reject va-t-il interrompre quelque chose ?

Cela brisera tout ce que vous envoyez sans autorisation, ce qui est le point - mais cet ensemble comprend vos propres outils oubliés jusqu'à ce que vous les trouviez. C'est à cela que servent les premières étapes.

DMARC a-t-il besoin à la fois de SPF et de DKIM pour réussir ?

Non. Une des deux passes et alignement suffit. En pratique, DKIM est le plus durable des deux, car il survit au transfert, contrairement au SPF.

Conservez-vous les résultats ?

Pas la vérification rapide ci-dessus - elle reste en mémoire pendant environ quinze minutes afin que vous puissiez la lire une fois, puis elle disparaît. Il s'agit d'un choix délibéré en matière de confidentialité, et non d'une limitation : personne d'autre que vous ne voit cette analyse et vous pouvez télécharger le résultat complet avant son expiration. Ajouterle domaine vers un compte AYAsec à la place, et chaque analyse est conservée - une série qui vous indique quand la politique a été affaiblie et dans quelle mesure. La rétention dépend de votre plan.

Conservez l'historique, pas seulement le résultat

Exécutez la vérification DNS complète sur vos propres domaines, selon un calendrier, avec un message lorsqu'une politique revient en arrière.

Commencer à numériser gratuitement · Comparer les forfaits

Les autres dames

FPSchecker - quels serveurs peuvent envoyer comme domaine ?
Vérificateur de sécurité DNS - DNSSEC, serveurs de noms et enregistrements eux-mêmes

- Les quatre scanners – ports, TLS, HTTP et DNS

Données structurées à intégrer

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DMARC Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dmarc-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

N'ajoutez pas de balisage FAQPage ou HowTo - Google a retiré les deux types de résultats.

View all free security scanners