Vérificateur de sécurité DNS

Si personne n'a configuré autrement, n'importe qui sur Internet peut envoyer des e-mails qui semblent provenir de votre domaine. Pointez le scanner sur un domaine que vous contrôlez et obtenez les enregistrements d'authentification de courrier, l'état DNSSEC et la configuration derrière eux - notés, conservés et surveillés le jour où tout cela change.

Cinq raisons de vérifier votre propre DNS

Le DNS est la seule couche de cette liste où les dommages incombent généralement à quelqu'un d'autre. Un domaine pouvant être usurpé est utilisé contre vos clients, vos fournisseurs et le vôtrepersonnel.

Découvrez si quelqu'un peut envoyer du courrier comme vous

Les enregistrements de courrier en décident - SPF, DKIM et DMARC, avec MTA-STS et TLS-RPT protégeant la connexion qui transporte le courrier - et chacun a sa propre page : SPF, DKIM, DMARC, MTA-STS et DNSSEC.

Un domaine sans enregistrement DMARC est un domaine à partir duquel n’importe qui peut écrire du phishing convaincant.

Trouvez les enregistrements qui ont survécu à ce qu'ils indiquaient

Les enregistrements DNS sont créés pour un service et y survivent. Le dossier pointant vers une plate-forme cloud pour laquelle l'entreprise a cessé de payer est la voie classique vers un rachat de sous-domaine : toute personne prétendant que le nom de service diffuse désormais le contenu de votre sous-domaine, sous votre nom.

Vérifiez si DNSSEC est activé et s'il est correct

DNSSEC signe les réponses DNS afin qu'un client puisse savoir qu'elles n'ont pas été falsifiées pendant le transport. Il est désactivé par défaut chez la plupart des fournisseurs. C'est également le seul élément de cette liste pour lequel une configuration à moitié terminée est pire que rien, car une signature brisée empêche la résolution du domaine plutôt que de simplement la résoudre de manière non sécurisée.

Attrapez le changement que personne n'a annoncé

Le DNS est édité par plus de personnes que n'importe quelle autre couche - marketing ajoutant un outil, informatique déplaçantun fournisseur de messagerie, un entrepreneur pointant un sous-domaine quelque part. Chaque modification est petite et aucune d’entre elles n’est examinée. Un enregistrement SPF qui augmente une entrée à la fois dépasse finalement sa limite de recherche et cesse silencieusement de fonctionner.

Produire la preuve que le domaine est protégé

Les assureurs et les entreprises clientes posent de plus en plus de questions sur DMARC par son nom. Un rapport daté montrant la politique et la date de modification est une meilleure réponse qu'une capture d'écran d'un DNSpanneau, et il s'agit de preuves que vous pouvez conserver.

Sachez le jour où votre DNS change

Les modifications DNS prennent effet discrètement et immédiatement, et la personne qui a effectué la modification ne fait souvent pas partie de l'équipe de sécurité.

Les analyses planifiées transforment cela en une différence dont on vous parle : cet enregistrement n'était pas là la semaine dernière, cette politique est passée de quarantine à none, cette note a été abandonnée. Les alertes arrivent dans l'application, par e-mail ou via Slack, Teams,Jira ou un webhook.

Étape 01 · Nommez le domaine

Un domaine que vous contrôlez, ajouté à votre compte AYAsec. La propriété est vérifiée avant l'envoi de quoi que ce soit : AYAsec ne planifiera pas d'analyses sur l'infrastructure dont vous n'avez pas démontré le contrôle et pour prouver qu'il faut un enregistrement DNS. La vérification rapide ci-dessus ignore ceci : pas de compte, pas de vérification, juste une limitation du débit IP et une règle selon laquelle la cible doit être une adresse publique.

Étape 02 · Laissezle cycle de contrôle

Les réponses DNS sont publiques, donc cette analyse lit plutôt que sonde. Il interroge le domaine comme le ferait un serveur de messagerie ou un résolveur.

Étape 03 · Lire le résultat

Les résultats arrivent classés par gravité et notés de A+ à F. Une politique DMARC manquante et un enregistrement TXT désordonné ne figurent pas dans la même liste indifférenciée.

Ce que vérifie l'analyse

Authentification du courrier

SPF, DKIM, DMARC, MTA-STS et TLS-RPT - si chacun existeet ce qu'il demande à un serveur de réception de faire, avec SPF, DKIM, DMARC et MTA-STS disponibles sur leurs propres pages.

DNSSEC

Si le domaine est signé et si la chaîne de confiance est intacte.

Enregistrements et serveurs de noms

La configuration elle-même : quels serveurs de noms font autorité et si le jeu d'enregistrements contient quelque chose qui ne devrait pas être là.

DNSporte 20% de la qualité composite. HTTP en détient 30 %, TLS et ports en portent 20 % chacun, et la crédibilité du domaine en porte à 10 %.

Questions avant de numériser

Que puis-je scanner ?

Infrastructure que vous possédez ou que vous êtes chargé de tester. La vérification rapide ci-dessus ne vérifie pas cela pour vous - elle limite uniquement le débit par IP et refuse de cibler autre chose qu'une adresse publique. Ajoutez plutôt le domaine à un compte AYAsec et le contrôle est vérifié avant toute exécution planifiée : une limite légale autant que pratique, puisqu'une analyse non vérifiée ne vous est d'aucune utilité comme preuve non plus.

Les enregistrements DNS sont publics. Pourquoi est-ce nécessairevérification ?

Les enregistrements sont publics et la vérification est en lecture seule, l'analyse elle-même est donc inoffensive. La vérification concerne ce qui se passe ensuite : un domaine de votre compte AYAsec est surveillé, noté et conservé dans votre historique, et rien de tout cela ne devrait être possible pour un domaine qui n'est pas le vôtre.

Nous n'envoyons pas d'e-mails depuis ce domaine. Avons-nous toujours besoin de SPF et de DMARC ?

Oui, et sans doute plus encore. Un domaine qui n'envoie aucun courrier devrait le dire explicitement - un SPFenregistrement n'autorisant rien et une politique DMARC de reject. Un domaine parqué sans enregistrement est le plus facile à usurper, car personne ne surveille les réponses.

Est-ce que l'activation de DMARC arrêtera notre propre courrier électronique ?

C'est possible, s'il est activé à reject avant que les expéditeurs légitimes ne soient connus. C'est la raison pour laquelle la politique existe en trois étapes : commencez à none et lisez les rapports, passez à quarantine, puis à reject. Le scan vous dità quelle étape vous en êtes, non pas que vous deviez sauter jusqu'au bout.

Le DNSSEC vaut-il la peine d'être activé ?

Cela dépend de votre fournisseur. Là où c'est un interrupteur, oui. Là où cela implique une gestion manuelle des clés, la réponse honnête est qu'une configuration DNSSEC défectueuse met votre domaine hors ligne, et qu'un domaine qui se résout de manière non sécurisée présente un risque moindre qu'un domaine qui ne se résout pas.

Conservez-vous les résultats ?

Pas la vérification rapide ci-dessus - elle reste en mémoire pendant environ quinze minutes afin que vous puissiez la lire une fois, puis elle disparaît. Il s'agit d'un choix délibéré en matière de confidentialité, et non d'une limitation : personne d'autre que vous ne voit cette analyse et vous pouvez télécharger le résultat complet avant son expiration. Ajoutez plutôt le domaine à un compte AYAsec et chaque analyse est conservée - une série qui vous indique quand quelqu'un a modifié l'enregistrement. La rétention dépend de votre plan.

Conservez l'historique, pas seulementle résultat

Exécutez la vérification complète de vos propres domaines, selon un calendrier, avec chaque modification signalée à quiconque a besoin de la voir.

Commencer à numériser gratuitement Comparer les forfaits

Plus de scanners de sécurité gratuits pour HTTP, TLS et les ports

Le DNS est l'une des cinq couches notées. Les autres répondent chacun à une question différente :

View all free security scanners

Données structurées à intégrer

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DNS Security Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dns-security-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

N'ajoutez pas de balisage FAQPage ou HowTo - Google a retiré les deux types de résultats.