Sprawdź SPF, DKIM i DMARC dowolnej domeny

Co robi każdy rekord

Osiem kontroli. Pięć z nich decyduje, czy Twoja poczta dochodzi i czy ktoś może się pod nią podszyć.

MX

Serwery, które odbierają pocztę dla domeny. Brak MX to brak poczty przychodzącej. „Null MX” (priorytet 0, host „.”) mówi to wprost i jest właściwy dla domen, które nie obsługują poczty.

SPF

Jeden rekord TXT z listą tych, którzy mogą wysyłać jako domena. Dwie zasady psują go po cichu: rekord musi być dokładnie jeden, a jego sprawdzenie może wymagać najwyżej 10 odwołań DNS (liczy się każde include, a, mx, ptr, exists i redirect, także zagnieżdżone). Powyżej 10 odbiorcy przestają go oceniać i SPF nie przechodzi dla całej Twojej poczty. Narzędzie je liczy.

DMARC

Wiąże SPF i DKIM z widocznym adresem nadawcy i mówi odbiorcom, co zrobić, gdy oba zawodzą: nic (p=none), spam (quarantine) albo odrzucenie (reject). Adres rua zbiera codzienne raporty i dzięki nim wychodzą na jaw usługi, o których nikt nie pamiętał. Gmail i Yahoo wymagają DMARC od masowych nadawców od 2024.

DKIM

Klucz publiczny w DNS; usługa wysyłająca podpisuje każdą wiadomość kluczem prywatnym. DKIM przeżywa przekierowania, SPF nie. Klucze leżą pod nazwą selektora, którą zna tylko nadawca, więc wpisz ją, jeśli popularnych nie znajdziemy. Standardem jest RSA 2048.

MTA-STS

Rekord TXT i plik polityki pod mta-sts.twojadomena, który każe nadawcom doręczać do Ciebie tylko przez zweryfikowany TLS. Bez niego każdy na trasie może zdjąć szyfrowanie.

TLS-RPT

Dokąd nadawcy zgłaszają nieudane szyfrowane doręczenia. Idzie w parze z MTA-STS: polityka w trybie testing, lektura raportów, potem enforce.

BIMI

Twoje logo przy wiadomościach w Gmailu, Apple Mail, Yahoo i innych. Wymaga DMARC na quarantine albo reject, logo SVG i, dla Gmaila oraz Apple, certyfikatu znaku (VMC albo CMC).

DNSSEC

Podpisuje odpowiedzi DNS, żeby nie dało się ich podrobić po drodze. Włącza się u dostawcy DNS i rejestratora. Wymagany przez DANE.

Jak liczona jest ocena

Każda kontrola ma wagę: DMARC 3, SPF 2, DKIM 2, MTA-STS, TLS-RPT, BIMI i DNSSEC po 1. Zaliczona daje pełną wagę, ostrzeżenie połowę, błąd zero. A to od 90%, B od 75%, C od 60%, D od 40%. Domeny bez poczty oceniamy tylko z SPF, DMARC i DNSSEC, bo tylko tego potrzebują.

Pytania

Czy to darmowe? Czy zapisujecie domeny?

Darmowe, bez konta. Worker pyta publiczny DNS (Cloudflare 1.1.1.1) i oddaje wynik. Domeny nie są zapisywane. Analityka liczy sprawdzenia i oceny, nie nazwy domen.

Dlaczego DKIM „nie znaleziono”, skoro moja poczta jest podpisana?

Klucze DKIM leżą pod nazwą selektora wybraną przez usługę wysyłającą, a DNS nie pozwala ich wylistować. Narzędzie próbuje 28 popularnych selektorów. Wpisz swój w polu opcjonalnym; znajdziesz go w ustawieniach DNS usługi albo w tagu „s=” nagłówka DKIM-Signature odebranej wiadomości.

SPF ma się kończyć ~all czy -all?

Przy DMARC na quarantine albo reject ~all jest w porządku i część dostawców go zaleca, bo decyzję podejmuje DMARC. Bez wymuszającego DMARC ~all przepuszcza podróbki, więc najpierw napraw DMARC. Domeny, które nie wysyłają, powinny mieć -all.

Jak bezpiecznie przejść z DMARC none na reject?

Zacznij od p=none z adresem rua. Czytaj raporty przez dwa do czterech tygodni i dopisz każdego prawdziwego nadawcę do SPF i DKIM. Potem quarantine, potem reject. Pominięcie czytania to sposób, żeby faktury i resety haseł przestały dochodzić.

Czy dobra ocena znaczy, że poczta trafi do skrzynki?

Nie. Uwierzytelnienie to bilet wstępu. Resztę decydują treść, reputacja wysyłki, skargi i higiena list. Zła ocena znaczy za to, że dostawcy skrzynek mają powody, żeby Ci nie ufać.

Mogę sprawdzić cudzą domenę?

Tak. To publiczne rekordy DNS, te same, które czyta każdy serwer pocztowy.