DNS 安全检查器

如果没有人进行其他配置，则互联网上的任何人都可以发送看似来自您的域的电子邮件。 将扫描仪指向您控制的域并获取邮件身份验证记录、DNSSEC 状态及其背后的配置 - 分级、保留并监视其任何更改的当天。

检查您自己的 DNS 的五个理由

DNS 是此列表中唯一一个通常会受到损害的层。可被冒充的域名会被用来攻击您的客户、供应商和您自己的客户职员。

查明是否有人可以像您一样发送邮件

邮件记录决定这一点 - SPF、DKIM 和 DMARC，MTA-STS 和 TLS-RPT 保护承载邮件的连接 - 并且每个记录都有自己的页面：SPF、DKIM、DMARC、 MTA-STS 和 DNSSEC。

没有 DMARC 记录的域是任何人都可以编写令人信服的网络钓鱼的域。

查找比他们所指的内容更长久的记录

DNS 记录是为服务创建的并在服务中保留下来。指向该公司停止付费的云平台的记录是子域名接管的经典途径 - 任何声称该服务名称现在以您的名义提供来自您的子域名的内容的人。

查看DNSSEC是否开启，是否正确

DNSSEC 对 DNS 答案进行签名，以便客户端可以知道它们在传输过程中没有被篡改。大多数提供商默认关闭此功能。这也是此列表中半完成的配置比没有更糟糕的一项，因为损坏的签名会导致域无法解析，而不仅仅是不安全地解析。

抓住无人宣布的变化

DNS 的编辑人数比任何其他层都多 - 营销添加工具、IT 移动邮件提供商、承包商将子域指向某处。每次修改都很小，而且都没有经过审查。一次增加一个条目的 SPF 记录最终会超出其查找限制并默默地停止工作。

提供域名受到保护的证据

保险公司和企业客户越来越多地询问 DMARC 的名称。显示政策及其更改时间的过时报告比 DNS 屏幕截图更好面板，它是您可以保留的证据。

知道您的 DNS 更改的日期

DNS 更改会立即悄悄生效，并且进行更改的人通常不在安全团队中。

计划扫描将其转变为您被告知的差异：该记录上周不存在，该政策从 quarantine 回到 none，该等级下降。警报通过电子邮件或通过 Slack、Teams、Jira 或 Webhook。

步骤 01 · 命名域名

您控制的域已添加到您的 AYAsec 帐户。在分派任何内容之前都会检查所有权 - AYAsec 不会安排对您未证明控制的基础设施进行扫描，并且证明需要一条 DNS 记录。上面的快速检查跳过了这一点：没有帐户，没有验证，只有 IP 速率限制以及目标必须是公共地址的规则。

步骤02·让检查运行

DNS 答案是公开的，因此此扫描是读取而不是探测。它以邮件服务器或解析器的方式查询域。

步骤03·读取结果

结果按严重程度排序，得分为 A+ 到 F。缺失的 DMARC 策略和不整洁的 TXT 记录并不位于同一个无差别列表中。

扫描检查什么

邮件认证

SPF、DKIM、DMARC、MTA-STS 和 TLS-RPT - 是否各自存在以及它告诉接收服务器要执行的操作，SPF、DKIM、DMARC 和 MTA-STS 在其自己的页面上可用。

DNSSEC

域名是否经过签名，信任链是否完好。

记录和名称服务器

配置本身：哪些名称服务器是权威的，以及记录集是否包含任何不应该存在的内容。

域名系统占综合品位的20%。 HTTP 占 30%，TLS 和端口各占 20%，域可信度占 10%。

扫描前的问题

我可以扫描什么？

您拥有或签约测试的基础设施。上面的快速检查并不能为您验证这一点 - 它仅按 IP 进行速率限制，并且拒绝以公共地址以外的任何目标为目标。相反，将域添加到 AYAsec 帐户，并在任何计划运行之前验证控制权：法律边界与实际边界一样重要，因为未经验证的扫描对您来说也没有任何证据用处。

DNS 记录是公开的。为什么需要这个验证？

记录是公开的，检查是只读的，因此扫描本身是无害的。验证是关于接下来发生的事情：您的 AYAsec 帐户中的域受到监控、评分并保存在您的历史记录中，对于不属于您的域来说，这一切都不应该发生。

我们不从该域发送电子邮件。我们还需要 SPF 和 DMARC 吗？

是的，而且可以说更多。不发送邮件的域应该明确说明 - SPF记录不授权任何内容，DMARC 政策为 reject。没有记录的停放域名是最容易被冒充的，因为没有人在看回复。

打开 DMARC 会停止我们自己的电子邮件吗？

如果在知道合法发件人之前在 reject 启用它，则可以。这就是该政策分三个阶段存在的原因：从 none 开始并阅读报告，移至 quarantine，然后移至 reject。扫描告诉你你处于哪个阶段，并不是说你应该跳到最后。

DNSSEC 值得启用吗？

这取决于您的提供商。它是一个开关，是的。当它意味着手动密钥管理时，诚实的答案是，损坏的 DNSSEC 配置会使您的域脱机，并且不安全解析的域比不解析的域风险更小。

你保留结果吗？

不是上面的快速检查 - 它会在内存中保存大约十五分钟，因此您可以阅读一次，然后它就消失了。这是一个经过深思熟虑的隐私选择，而不是限制：除了您之外没有人看到该扫描，并且您可以在其过期之前下载完整的结果。相反，将域添加到 AYAsec 帐户，并且每次扫描都会被保留 - 一系列的信息会告诉您何时有人更改了记录。保留取决于您的计划。

保留历史，而不仅仅是结果

按计划对您自己的域运行全面检查，并将每个更改标记给需要查看它的任何人。

开始免费扫描比较计划

要嵌入的结构化数据

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DNS Security Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dns-security-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

请勿添加 FAQPage 或 HowTo 标记 - Google 撤回了这两种结果类型。