Verificador DMARC

A maioria dos domínios com registro DMARC está configurada para não fazer nada. O registro existe, o questionário é marcado e qualquer pessoa ainda pode enviar e-mails convincentes como o domínio. Verifique um domínio que você controla e obtenha o registro completo e a política que ele realmente define.

O que o DMARC faz que o SPF e o DKIM não fazem

SPF diz quais servidores podem enviar para o seu domínio. O DKIM assina uma mensagem para que o destinatário saiba que ela não foi alterada. Nenhum deles diz o que fazer quando a verificação falha - e deixados sozinhos, a maioriaos receptores entregam a mensagem de qualquer maneira.

DMARC é a instrução. É um registro TXT em _dmarc.yourdomain.com que informa ao servidor receptor três coisas: o que fazer com o e-mail que falha, para onde enviar relatórios sobre isso e como combinar estritamente o domínio que o leitor vê com o domínio que foi verificado.

Seis razões para verificar seu próprio DMARC

A política que significa "observe isso e não faça nada"

Um registro DMARC possui uma configuração queimporta mais do que todos os outros:

Política	O que o destinatário faz com mensagens que falham
`p=none`	Entrega. Envia um relatório e nada mais
`p=quarantine`	Coloca em spam
`p=reject`	Recusa liminarmente

p=none é o lugar certo para começar e o lugar errado para ficar. Ele existe para que você possa observar por algumas semanas e encontrar os remetentes legítimos que você esqueceu, antes de ativar a aplicação.

Muitos domínios estão em p=none há anos, porque nada forçou o próximo passo eo registro parece estar presente em qualquer lista de verificação que pergunte apenas se o DMARC existe.

Por que você não pode simplesmente pular para reject

Porque isso interromperá seu próprio e-mail.

Cada organização envia de mais lugares do que lembra: um sistema de tickets, uma ferramenta de faturamento, uma plataforma de newsletter, um servidor que envia alertas por e-mail, um formulário em um site criado há três anos. Em p=reject, todos aqueles que não estão autorizados deixam de ser entregues - e oas pessoas que percebem primeiro são seus clientes.

As três etapas existem para serem percorridas, não escolhidas. Comece em none, leia o que os relatórios mostram, autorize o que é legítimo, depois vá para quarantine e depois para reject.

Os relatórios que ninguém lê

Um registro DMARC pode nomear dois endereços de relatório:

rua - relatórios agregados. Resumos XML diários de provedores de recebimento: quantos e-mails alegaram ser seus, quantos foram transmitidos e de onde

-ruf – relatórios de falhas. Detalhes por mensagem, enviados por muito menos provedores e podem conter partes de mensagens reais

Os relatórios agregados são o ponto principal do p=none e são ilegíveis para uma pessoa - eles chegam como XML compactado de dezenas de provedores. Sem algo para coletá-los e apresentá-los, o estágio com o qual você deveria aprender nada ensina e o domínio permanece em none para sempre.

Um registro sem endereço rua é um registro que não pode realizar seu trabalho.

Alinhamento e por que o correio pode passar no SPF e ainda assim falhar no DMARC

Essa é a parte que surpreende quem pensava que estava acabado.

O SPF verifica o remetente do envelope – o endereço usado na conversa de entrega. O leitor nunca o vê. O que o leitor vê é o cabeçalho From:, e o DMARC existe para protegê-lo.

Portanto, o DMARC requer não apenas SPF ou DKIMpassado, mas que o domínio para o qual ele passou corresponde ao domínio no cabeçalho From:. Uma plataforma de e-mail que envia em seu nome usando seu próprio domínio de envelope passará no SPF para si mesma e falhará no DMARC para você, a menos que tenha sido configurada para alinhamento.

As configurações aspf e adkim do registro controlam o quão estritamente essa correspondência é feita - r para relaxado, que permite subdomínios, s para estrito, o que não permite.

O subdomínio ninguém definiu uma políticapara

Um registro DMARC pode conter uma política separada para subdomínios, sp. Se estiver ausente, os subdomínios herdam a política principal – que geralmente é o que você deseja.

O que dá errado é um registro que define p=reject e sp=none, geralmente durante uma implementação cautelosa e depois deixado assim. O domínio principal é protegido e todos os subdomínios estão totalmente abertos, que é para onde um invasor irá.

Evidências para quem agora pergunta pelo nome

Seguradorase os clientes empresariais perguntam cada vez mais especificamente sobre o DMARC, e alguns pedem o valor da política em vez de um sim. Um relatório datado mostrando o registro e quando ele foi alterado é uma resposta melhor do que uma captura de tela de um painel DNS, e é evidência que você pode manter.

Saiba o dia em que sua política muda

Uma política DMARC pode ser enfraquecida em uma edição, por uma pessoa, por um bom motivo: um lote de e-mails legítimos estava sendo rejeitado e a solução mais rápida era voltar para none. É para ser temporário. Raramente é.

As verificações agendadas transformam isso em uma diferença que você já ouviu falar: essa política passou de quarantine para none, esse registro mudou. Os alertas chegam no aplicativo, por e-mail ou pelo Slack, Teams, Jira ou webhook.

Etapa 01 · Nomeie odomínio

Um domínio que você controla, adicionado à sua conta AYAsec. A propriedade é verificada antes de qualquer coisa ser despachada - AYAsec não agendará verificações em infraestruturas sobre as quais você não demonstrou controle e provando que é necessário um registro DNS. A verificação rápida acima ignora isso: sem conta, sem verificação, apenas limitação de taxa de IP e uma regra de que o alvo deve ser públicoendereço.

Etapa 02 · Deixe a verificação rodar

Os registros DMARC são públicos, portanto, são lidos em vez de sondados. Ele procura _dmarc no seu domínio da mesma forma que um servidor de recebimento de e-mail faria.

Etapa 03 · Leia o resultado

As descobertas chegam ordenadas por gravidade e pontuadas de A+ a F. Um registro ausente e uma política que apenas monitora não estão na mesma lista indiferenciada.

Do que isso faz parte

DMARC é um dos vários registros relacionados a correio que AYAsec verificacomo parte de sua verificação de DNS, juntamente com SPF, DKIM, MTA-STS, TLS-RPT e DNSSEC. É uma digitalização e esta página é sobre uma parte do que é visualizado. O DNS carrega 20% da nota composta. Os outros são HTTP com 30%, TLS e portas com 20% cada e credibilidade do domínio com 10%. Todos eles juntos são o que gerenciamento de superfície de ataque significa na prática.

Perguntas antes de verificar

O que posso verificar?

Infraestrutura que você possui ou foi contratada para testar. A verificação rápida acima nãoverifique isso para você - ele apenas limita a taxa por IP e se recusa a direcionar qualquer coisa que não seja um endereço público. Em vez disso, adicione o domínio a uma conta AYAsec e o controle será verificado antes que qualquer coisa programada seja executada: um limite legal e prático, já que uma verificação não verificada também não tem utilidade para você como prova.

Não enviamos e-mails deste domínio. Precisamos de DMARC?

Sim, e possivelmente mais. Um domínio que não envia nada deveria dizer issoexplicitamente - um registro SPF que não autoriza ninguém e uma política DMARC de reject. Um domínio estacionado sem registros é o mais fácil de personificar, porque ninguém fica observando as respostas.

Quanto tempo devemos ficar em p=none?

Tempo suficiente para ver um ciclo completo de seu próprio envio, o que para a maioria das organizações significa algumas semanas - o faturamento mensal e as campanhas trimestrais precisam aparecer nos relatórios antes da aplicação.Ficar mais de um quarto geralmente significa que ninguém está lendo os relatórios.

Mudar para reject prejudicará alguma coisa?

Ele quebrará qualquer coisa que esteja sendo enviada para você sem autorização, e esse é o ponto - mas esse conjunto inclui suas próprias ferramentas esquecidas até que você as encontre. É para isso que servem os estágios anteriores.

O DMARC precisa de SPF e DKIM para passar?

Não. Um dos dois passar e alinhar é suficiente. Na prática, o DKIM é o mais durável dos dois, porque sobrevive ao encaminhamento e o SPF geralmente não.

Você mantém os resultados?

Não a verificação rápida acima - ela permanece na memória por cerca de quinze minutos, então você pode lê-la uma vez e depois desaparece. Essa é uma escolha deliberada de privacidade, não uma limitação: ninguém além de você vê essa verificação e você pode baixar o resultado completo antes que expire. Adicionaro domínio para uma conta AYAsec, e cada varredura é mantida - uma série que informa quando a política foi enfraquecida e em quanto. A retenção depende do seu plano.

Mantenha o histórico, não apenas o resultado

Execute a verificação completa de DNS em seus próprios domínios, de acordo com uma programação, com uma mensagem quando uma política retroceder.

Comece a digitalizar gratuitamente Compare planos

As outras damas

View all free security scanners

Dados estruturados para incorporar

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DMARC Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dmarc-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Não adicione a marcação FAQPage ou HowTo. O Google retirou ambos os tipos de resultados.