O que é uma verificação de segurança de e-mail?
Uma verificação de segurança de e-mail analisa os registos DNS públicos que determinam se os servidores de receção confiam nas mensagens que dizem vir do seu domínio. A Vigilbase verifica SPF, DKIM, DMARC, MX, DNSSEC, MTA-STS, TLS-RPT e BIMI e devolve uma classificação de A+ a F com as alterações de DNS a fazer.
Os agentes podem executar a mesma análise não intrusiva através de POST /api/v1/agent/tools/email-security/execute.
O que verifica este teste de segurança de e-mail
A verificação consulta oito tipos de registos DNS públicos do domínio, além do ficheiro de política MTA-STS. Não envia e-mails, não lê caixas de correio nem altera o DNS. Cada registo recebe uma pontuação de 0 a 100 e é depois ponderado consoante o quanto protege o domínio contra falsificação.
DMARC
Peso: 25/100
Indica aos servidores de receção o que fazer com o e-mail que falha o alinhamento SPF e DKIM e para onde enviar relatórios.
Consulta: _dmarc.example.com TXT
p=reject obtém a pontuação máxima. p=none é o que retira mais pontos e p=quarantine retira alguns; um pct inferior a 100, a ausência de um endereço de relatórios rua e uma política de subdomínios sp= mais fraca também retiram pontos.
SPF
Peso: 20/100
Indica os servidores autorizados a enviar e-mail em nome do domínio.
Consulta: example.com TXT (v=spf1)
-all obtém a pontuação máxima e ~all ligeiramente menos. +all,?all, mais do que um registo SPF, mais de 7 mecanismos com consultas DNS (o limite é 10) e o mecanismo ptr descontinuado retiram pontos.
DKIM
Peso: 15/100
Publica as chaves públicas que os destinatários usam para verificar as assinaturas das mensagens.
Consulta: <selector>._domainkey.example.com TXT
Passa quando é encontrada uma chave sob um de 14 seletores comuns, como google, selector1, selector2, default e k1. Uma chave sob um seletor personalizado não é detetada e é indicada como em falta.
MX
Peso: 10/100
Indica os servidores que recebem e-mail para o domínio.
Consulta: example.com MX
Um único registo MX, um servidor de troca inválido ou um MX que aponte para um endereço IP em vez de um nome de anfitrião retiram pontos.
DNSSEC
Peso: 10/100
Assina as respostas DNS para que os resolvers possam detetar registos falsificados, incluindo os registos de e-mail.
Consulta: example.com A (DNSSEC-validated)
Pontuação máxima quando um resolver com validação autentica a resposta; metade quando não é possível verificar o estado.
MTA-STS
Peso: 10/100
Exige que os servidores de envio entreguem e-mail ao seu MX através de TLS verificado.
Consulta: _mta-sts.example.com TXT + https://mta-sts.example.com/.well-known/mta-sts.txt
Uma política em modo enforce obtém a pontuação máxima, o modo testing uma pontuação parcial e o modo none menos. Um registo TXT sem um ficheiro de política acessível tem uma pontuação baixa.
TLS-RPT
Peso: 5/100
Pede aos servidores de envio que lhe comuniquem falhas de entrega por TLS.
Consulta: _smtp._tls.example.com TXT
Um registo sem endereço de relatórios rua obtém metade da pontuação.
BIMI
Peso: 5/100
Indica aos clientes de e-mail compatíveis o logótipo da sua marca. É opcional.
Consulta: default._bimi.example.com TXT
Perde pontos sem um URL de logótipo l= ou um Verified Mark Certificate a=.
Como funciona a classificação de A+ a F
As pontuações ponderadas dos registos somam um total em 100, e um registo em falta recebe zero na sua parte. Uma classificação elevada significa que os registos publicados cumprem esta base no momento da análise; reveja os relatórios DMARC antes de reforçar a política, para que remetentes legítimos não sejam rejeitados.
- A+
- 90-100
- A
- 80-89
- B
- 65-79
- C
- 50-64
- D
- 35-49
- F
- 0-34
Perguntas
Perguntas frequentes sobre a verificação de segurança de e-mail
O que verifica o Analisador de Segurança de E-mail da Vigilbase?
Analisa os registos DNS públicos de autenticação de e-mail de um domínio, incluindo SPF, DKIM, DMARC, MX, DNSSEC, MTA-STS, TLS-RPT e BIMI, e devolve uma classificação de A a F com orientações de correção.Esta é uma verificação da configuração pública de DNS, não uma auditoria às caixas de correio nem um teste de todas as mensagens enviadas. Analise cada resultado tendo em conta os fornecedores de email e serviços de envio efetivamente utilizados.Sobre a autenticação de e-mailCompare as verificações públicas de segurança
O Analisador de Segurança de E-mail é gratuito?
Sim. A ferramenta pública é gratuita para verificar a configuração de autenticação de e-mail de um domínio. Não precisa de uma conta Vigilbase para executar uma análise.A análise lê informação pública de DNS. Os relatórios opcionais por email e as ferramentas intrusivas para sites têm requisitos próprios de acesso e verificação.Compare as verificações públicas de segurançaRequisitos de acesso e verificação das ferramentas
Porque são importantes o SPF, o DKIM e o DMARC?
Em conjunto, ajudam os servidores de e-mail destinatários a verificar se as mensagens que dizem ter origem no seu domínio estão autorizadas. Registos em falta ou mal configurados facilitam a falsificação de remetentes e o phishing e podem prejudicar a entrega de mensagens.Inventarie todos os remetentes legítimos antes de reforçar a política. Verifique o alinhamento da autenticação e os relatórios com o administrador de email, para que uma alteração de proteção não rejeite mensagens legítimas.Sobre a autenticação de e-mailExecute uma verificação através da API pública
Como é calculada a classificação de segurança de e-mail?
Cada registo recebe uma pontuação de 0 a 100 e é ponderado: o DMARC vale 25 pontos, o SPF 20, o DKIM 15, o MX, o DNSSEC e o MTA-STS 10 cada, e o TLS-RPT e o BIMI 5 cada. O total ponderado corresponde a A+ (90 ou mais), A (80), B (65), C (50), D (35) ou F.Um registo em falta recebe zero na sua parte. Um DMARC com p=reject, um único registo SPF terminado em -all e uma chave DKIM detetável representam a maior parte da classificação.Sobre a autenticação de e-mailCompare as verificações públicas de segurança
Porque é que a verificação indica que o DKIM está em falta quando o meu domínio assina os e-mails?
As chaves DKIM são publicadas sob um seletor que só aparece nos cabeçalhos das mensagens assinadas, por isso uma verificação de DNS tem de o adivinhar. A Vigilbase testa 14 seletores comuns, incluindo google, selector1, selector2, default, k1 e s1. Uma chave sob um seletor personalizado não é encontrada e é indicada como em falta.Encontre o seu seletor no cabeçalho DKIM-Signature (a etiqueta s=) de uma mensagem que tenha enviado e confirme o registo desse seletor junto do seu fornecedor de e-mail.Sobre a autenticação de e-mailExecute uma verificação através da API pública
Os agentes podem executar esta análise autonomamente?
Sim. Os agentes podem enviar POST {"target":"example.com"} para https://vigilbase.com/api/v1/agent/tools/email-security/execute sem Turnstile (chave de API opcional em https://one.vigilbase.com/developers). Consulte https://vigilbase.com/developers. A interface no navegador continua disponível para utilização interativa.A API analisa registos públicos e não modifica o DNS nem acede ao conteúdo das caixas de correio. Siga o formato de pedido documentado e os limites de pedidos ao automatizar verificações.Execute uma verificação através da API públicaAutenticação da API e limites de pedidos
Posso utilizar o relatório para corrigir a minha configuração de e-mail?
Sim. O relatório destaca controlos em falta ou frágeis e recomenda alterações concretas de DNS aos administradores de email. Compare cada recomendação com a configuração do seu fornecedor de email antes de a aplicar.Identifique o responsável por cada registo DNS e o serviço de envio afetado. Aplique as alterações no fornecedor adequado, aguarde a propagação do DNS, repita a verificação e analise os resultados da autenticação de email.Sobre a autenticação de e-mailDiscuta o seu âmbito com a Vigilbase
