Проверка безопасности почты: SPF, DKIM, DMARC
Безопасность почты
Считывает записи SPF, DKIM и DMARC вашего домена, показывает, может ли посторонний отправлять письма от вашего имени, и подсказывает, как ужесточить записи.
Что делает эта проверка?
Проверка безопасности почты читает записи SPF, DKIM и DMARC вашего домена в DNS и показывает, может ли кто-то отправлять поддельные письма от вашего имени. Также проверяются MTA-STS, TLS-RPT и BIMI и не ведут ли включения SPF на незарегистрированные домены. Письма не отправляются, к почтовому серверу подключений нет.
Источники и метод
Считывает общедоступные записи DNS, файл политики MTA-STS, если он есть (один запрос), и регистрацию доменов из SPF (RDAP). Не отправляет письма и не подключается к вашему почтовому серверу.
Что проверяется и как исправить
Каждый пункт проверки, почему он важен и что делать, если его нет. На экране результата показываются только пробелы вашего сайта.
Почтовые серверы (MX)
Показывает, какие серверы принимают входящую почту для вашего домена.
Как исправить
Носит информационный характер.
Запись SPF
Объявляет, какие серверы вправе отправлять почту от имени вашего домена. Без неё принимающий сервер не может распознать подмену отправителя.
Как исправить
Соберите все используемые сервисы отправки почты в одной записи SPF.
alanadiniz.com. TXT "v=spf1 include:_spf.google.com -all"Завершающий механизм SPF
Механизм «all» в конце записи определяет, что делать с серверами, которых нет в списке. ?all и +all не дают никакой защиты.
Как исправить
Если вы уверены, что перечислили всех отправителей, используйте -all; если нет, на переходный период используйте ~all.
Лимит DNS-запросов SPF
SPF допускает не более 10 DNS-запросов. При превышении лимита вся запись считается недействительной, и защита незаметно пропадает.
Как исправить
Удалите неиспользуемые include и при необходимости замените их фиксированными диапазонами IP-адресов.
Цель include в SPF не зарегистрирована
Запись include:/redirect= в вашем SPF доверяет другому домену. Если его регистрация истекла и он снова свободен, тот, кто его зарегистрирует, сможет отправлять SPF-валидную почту от вашего имени (фишинг, мошенничество). include неиспользуемого провайдера остаётся годами.
Как исправить
Удалите записи include:/redirect= провайдеров, которыми вы больше не пользуетесь. Немедленно удалите цель, которая выглядит незарегистрированной; если срок скоро истекает — уточните у провайдера.
alanadiniz.com. TXT "v=spf1 include:_spf.google.com include:eski-saglayici.example -all"Подпись DKIM
Криптографически подписывает исходящие письма и подтверждает, что содержимое не было изменено в пути и действительно отправлено вами.
Как исправить
Включите DKIM в панели почтового провайдера и добавьте выданную им запись в DNS. Если имя селектора известно, а запись не найдена, проверьте, что она опубликована.
google._domainkey.alanadiniz.com. TXT "v=DKIM1; k=rsa; p=MIIBIjAN…"Запись DMARC
Сообщает принимающим серверам, что делать с письмами, не прошедшими SPF и DKIM, и обеспечивает отправку отчётов вам. Именно этот уровень не позволяет использовать ваш домен в фишинговых атаках.
Как исправить
Начните с p=none, чтобы собрать отчёты; исправив легитимных отправителей, перейдите на quarantine, а затем на reject.
_dmarc.alanadiniz.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@alanadiniz.com"Политика DMARC
p=none только отслеживает и не останавливает поддельные письма. Защита начинается с quarantine или reject.
Как исправить
Когда в отчётах не останется легитимных отправителей с ошибками, ужесточайте политику поэтапно.
_dmarc.alanadiniz.com. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@alanadiniz.com"MTA-STS
Требует, чтобы входящая почта передавалась между серверами в зашифрованном виде, и не допускает понижения соединения до незашифрованного.
Как исправить
Опубликуйте файл политики и добавьте в DNS запись _mta-sts.
Файл политики MTA-STS
Сама по себе запись DNS ничего не делает; отправляющие серверы читают политику с mta-sts.вашдомен. Без файла или с mode: testing незашифрованная доставка по-прежнему принимается.
Как исправить
Опубликуйте файл политики по HTTPS, укажите серверы MX в строках mx: и после чистых отчётов переключите mode: enforce.
version: STSv1
mode: enforce
mx: mail.alanadiniz.com
max_age: 604800TLS-RPT
Когда отправляющие серверы не могут подключиться к вам с шифрованием (ошибка сертификата, попытка понижения), они сообщают об этом на адрес TLS-RPT. Без записи вы не узнаете о проблемах MTA-STS.
Как исправить
Укажите адрес для отчётов в записи _smtp._tls.
_smtp._tls.alanadiniz.com. TXT "v=TLSRPTv1; rua=mailto:tlsrpt@alanadiniz.com"Длина ключа DKIM
RSA-ключ 1024 бит приближается к взламываемому порогу; 512 бит давно взломаны. Если ключ взломан, злоумышленник отправляет корректно подписанные письма от вашего имени.
Как исправить
Перевыпустите селекторы с ключами RSA 2048 бит (или Ed25519); старый селектор через время удалите из DNS.
Доля применения DMARC (pct)
При pct меньше 100 политика применяется лишь к части писем; часть поддельных писем всё равно доставляется. Удобно на время внедрения, но не как постоянная настройка.
Как исправить
Когда отчёты чисты, уберите тег pct или установите 100.
BIMI
Справочно: BIMI показывает ваш логотип в поддерживающих почтовых клиентах для доменов с принудительным DMARC (quarantine/reject); поддельные письма отображаются без логотипа.
Как исправить
После перевода DMARC в reject опубликуйте запись default._bimi с SVG-логотипом и (для Gmail) проверенным сертификатом марки.
DNSSEC
Подтверждает, что ответы DNS не были изменены в пути. Поскольку все перечисленные выше записи зависят от DNS, DNSSEC защищает уровень, на котором они держатся.
Как исправить
Включается в панели регистратора домена и DNS-провайдера.
Быстрые проверки
Один вопрос — один ответ: верна ли запись SPF, упал ли сайт, когда истекает сертификат? Дневной лимит проверок не тратится, регистрация не нужна.
Проверка SPF-записи
Проверка SPF-записи домена онлайн
Проверка DKIM
Проверка DKIM: ключ и селектор
Проверка DMARC
Проверка DMARC-записи домена
Проверка MX-записей
Проверка MX-записей домена (MX lookup)
Частые вопросы
Достаточно ли DMARC p=none?
Что такое лимит 10 DNS-запросов в SPF?
Это бесплатно? Нужен ли аккаунт?
Безопасно ли запускать проверку на своём сайте?
Первоисточники
Другие тесты
Проверка SSL/TLS
Показывает, действителен ли сертификат, когда он истекает и современное ли шифрование у соединения.
Проверка заголовков безопасности
Оценивает настройки безопасности, которые сайт передаёт браузеру (HSTS, CSP, cookie), и показывает, чего не хватает.
Безопасность DNS и домена
Проверяет срок регистрации домена, блокировку переноса и защиту DNS-записей (DNSSEC, CAA).
Cookie и согласие
Показывает, загружаются ли трекеры вроде Google Analytics и Яндекс Метрики до согласия посетителя.
Уязвимости JS-библиотек
Находит на сайте jQuery, Bootstrap и другие библиотеки, отмечает версии с известными уязвимостями и называет безопасную.
Поиск поддоменов
Находит поддомены и отмечает забытые записи, которые может захватить посторонний.
Разведка поверхности атаки
Собирает то, что атакующий узнает о вас из открытых источников: поддомены, используемое ПО, DNS.
Другие бесплатные сканеры
WP Lens: проверка WordPress
Сопоставляет версии ядра, плагинов и тем WordPress с известными уязвимостями.
Сканирование портов
Находит открытые наружу порты и версии сервисов на сервере и сопоставляет их с известными уязвимостями. Запускается с вашим подтверждением.
Проверка зависимостей (SBOM)
Сопоставляет зависимости из package-lock, yarn.lock или файла SBOM с известными уязвимостями.
CVE по баннеру
Вставьте строку с версией сервиса и посмотрите известные уязвимости этой версии. Без сканирования.