Kontrola DNS domény
Ověřte DNS a e-mailové bezpečnostní záznamy, které ovlivňují doručitelnost, bezpečnost a důvěryhodnost domény.
Co kontrolujeme
Kontrola čte veřejné DNS záznamy a zjišťuje mail routing, SPF a DMARC ochranu, volitelný DKIM, nameservery a IPv6.
Jak příjemce ověřuje e-mail
Server domény vasedomena.cz s IP adresou 203.0.113.7 odesílá e-mail. Doména vasedomena.cz je na obálce zprávy (SMTP MAIL FROM) i ve viditelném poli From a zpráva je podepsaná pečetí DKIM.
Příjemce vezme doménu z obálky (MAIL FROM) a podívá se do jejího SPF záznamu, zda smí IP adresa 203.0.113.7 posílat poštu. Je na seznamu, SPF prošlo.
Z DNS si stáhne veřejný klíč a ověří jím podpis. Podpis sedí, takže podepsané hlavičky ani text zprávy po cestě nikdo nezměnil.
DMARC ověří, zda doména, pro kterou prošlo SPF nebo DKIM, sedí s doménou ve viditelném poli From. Sedí, takže příjemce zprávu přijme. Zda skončí ve schránce, nebo ve spamu, rozhodují ještě další filtry.
Podvodník posílá e-mail z vlastního serveru a na obálku (MAIL FROM) i do pole From napíše adresu z vasedomena.cz. Platný podpis domény nemá.
IP adresa 198.51.100.66 v SPF záznamu domény vasedomena.cz není. SPF selhalo.
Zpráva nemá podpis, který by šlo ověřit klíčem z DNS. DKIM selhalo.
Neprošlo SPF ani DKIM. I kdyby podvodník dal na obálku vlastní doménu a SPF prošlo, neseděla by s polem From. Záznam DMARC říká p=reject, takže příjemce zprávu odmítne.
Kdy se hodí
- Kontrola ochrany před falšováním e-mailů
- Audit nové firemní domény
- Ladění chybějícího SPF nebo DMARC
- Kontrola DNS před spuštěním webu
Jak číst skóre
Skóre shrnuje nejdůležitější veřejné DNS a e-mailové signály důvěry. MX, SPF a DMARC mají největší význam, protože ovlivňují doručování pošty a ochranu před podvržením odesílatele. IPv6 a nameservery doplňují technický obraz domény.
- MX záznamy určují, kam se má doručovat e-mail pro doménu.
- SPF uvádí servery oprávněné odesílat e-mail za doménu.
- DMARC říká příjemcům, co dělat při selhání ověření.
- DKIM podepisuje e-mail, ale pro kontrolu je potřeba správný selector.
Co opravit jako první
U firemní domény řešte nejdřív chybějící MX, SPF a DMARC. Bez nich může trpět doručitelnost a útočníci mohou snáze napodobit vaši doménu. DKIM nastavujte s poskytovatelem pošty.
- Chybějící MX často znamená, že doména nepřijímá e-mail.
- Chybějící SPF ztěžuje ověření odesílajících serverů.
- Chybějící DMARC oslabuje ochranu před phishingem.
- Neplatný DKIM obvykle znamená špatný selector nebo veřejný klíč.
Limity kontroly
Nástroj čte veřejné DNS záznamy. Neověří, zda konkrétní e-mail projde spam filtrem, ani interní nastavení vašeho poskytovatele pošty.
- DKIM lze ověřit jen se známým selectorem.
- DNS změny se mohou projevit až po vypršení TTL cache.
- Skóre nenahrazuje test reálného odeslání e-mailu.
- Nástroj nevidí soukromé nastavení poskytovatele.
FAQ
Je DMARC povinný?
Jaký DKIM selector mám zadat?
Stačí SPF bez DMARC?
Proč se DNS změna ještě nezobrazuje?
Související nástroje
Další nástroje pro kontrolu webů, domén a meta tagů.