Verifica della sicurezza dei sottodomini
Scopri le vulnerabilità nell'autenticazione delle e-mail presenti in tutti i tuoi sottodomini e nell'infrastruttura di invio, prima che gli hacker ne approfittino. Individuiamo i tuoi sottodomini, quindi verifichiamo l'implementazione di SPF, DKIM e DMARC (comprese le politiche ereditate) su ciascuno di essi.Come funziona lo strumento di verifica della sicurezza dei sottodomini
I sottodomini rappresentano la superficie di attacco più trascurata nella sicurezza della posta elettronica. Questo strumento li individua, ne verifica la copertura DMARC, SPF e DKIM e segnala quelli esposti al rischio di spoofing.
1
Inserisci il tuo dominio principale
Inserisci il tuo dominio principale (ad es. company.com). Lo scanner individua i sottodomini attingendo dai registri pubblici di Certificate Transparency e analizzando nomi comuni relativi a posta elettronica, marketing, assistenza, sviluppo e transazioni.
2
Controlli di autenticazione eseguiti
Per ogni sottodominio risolto viene verificata la presenza di un record SPF valido, delle firme DKIM sui selettori comuni e della sua politica DMARC effettiva, compresa la protezione ereditata dal dominio padre sp= o p=.
3
Ottieni un elenco di azioni in ordine di priorità
Scopri quali sottodomini sono vulnerabili e quali necessitano di miglioramenti, e ottieni indicazioni specifiche sulle misure correttive da adottare, ordinate in base al livello di rischio, in modo che il tuo team sappia esattamente da dove iniziare.
Perché la sicurezza delle e-mail dei sottodomini è importante
Le organizzazioni solitamente proteggono il proprio dominio principale, ma lasciano i sottodomini senza protezione. Gli hacker ne sono consapevoli e sfruttano attivamente l'infrastruttura di posta elettronica dei sottodomini per aggirare i filtri e falsificare l'identità di marchi affidabili.
I sottodomini possono essere falsificati in modo indipendente
Una politica DMARC sul tuo dominio principale non proteggere automaticamente i sottodomini. In assenza di ereditarietà o di un proprio record, gli hacker possono inviare liberamente e-mail da
Come proteggere i sottodomini →
support.yourdomain.com, mail.yourdomain.com, e altro ancora.p=none offre agli hacker via libera
Un record DMARC con
Comprendere DMARC p=none →
p=none si limita a monitorare: non blocca né mette in quarantena le e-mail contraffatte. I sottodomini bloccati in modalità di monitoraggio sono di fatto privi di protezione dal punto di vista della recapitabilità.Spiegazione dell'ereditarietà dei sottodomini
Se un sottodominio non dispone di un record DMARC, i destinatari ricorrono a quello del dominio principale
Guida alle politiche DMARC per i sottodomini →
sp=, oppure il suo p= se non c'è sp=. La maggior parte delle organizzazioni non stabilisce mai sp=, quindi questo strumento calcola la politica effettivamente applicata per ciascun sottodominio.Vulnerabilità comuni nella sicurezza delle e-mail dei sottodomini
Queste sono le lacune più comuni che il nostro scanner rileva nell’infrastruttura dei sottodomini e le relative soluzioni.
Nessun record DMARC
DMARC mancante sul sottodominio
La scoperta più critica. In assenza di un record DMARC – e senza una politica di livello superiore da applicare – chiunque può inviare e-mail dal sottodominio e queste vengono accettate senza autenticazione. I server di ricezione non hanno alcuna politica da applicare.
Aggiungi un record TXT DMARC all'indirizzo
_dmarc.subdomain.yourdomain.com con almeno p=quarantine.
DMARC p=none
Una politica troppo debole per impedire lo spoofing
Una politica di
p=none Significa solo modalità di monitoraggio. Le e-mail contraffatte continuano a raggiungere le caselle di posta in arrivo: la politica genera dei rapporti ma non adotta alcuna misura coercitiva.Passa a
p=quarantine una volta esaminati i rapporti, passa a p=reject.
Nessun record SPF
SPF mancante sul sottodominio
Senza SPF, i server di posta in ricezione non sono in grado di verificare che il server mittente sia autorizzato a inviare messaggi dal sottodominio. È necessario per l’allineamento DMARC e per garantire una deliverability di base.
Aggiungi un record TXT al sottodominio:
v=spf1 include:youresp.com ~all - Utilizza l'include documentato del tuo ESP.
Protezione solo per elementi ereditati
In base alla politica principale
Un sottodominio che non ha record propri ma è coperto dal record del dominio principale
sp=reject è protetto contro lo spoofing, ma non dispone di funzionalità di segnalazione né di controlli espliciti e può causare il rifiuto delle proprie e-mail legittime se non è correttamente configurato.Pubblica un record DMARC dedicato su ciascun sottodominio di invio, anziché affidarti all'ereditarietà.
Domande frequenti
La politica DMARC del mio dominio principale protegge i sottodomini?
Non automaticamente. Una politica DMARC si applica esclusivamente al dominio su cui è pubblicata. I sottodomini sono coperti dalla politica del dominio principale solo se il record principale include un tag "subdomain-policy" -
sp=quarantine o sp=reject. Se non c'è sp=, i ricevitori tornano alla radice p= per i sottodomini. In ogni caso, un sottodominio con un proprio record DMARC ha sempre la precedenza su quello del dominio principale. Questo strumento calcola automaticamente la politica effettiva.Che cos’è lo spoofing dei sottodomini e come funziona?
Si verifica quando un malintenzionato falsifica l'indirizzo "Da" utilizzando un sottodominio del tuo dominio - ad esempio
[email protected]. Se quel sottodominio non dispone di un'applicazione effettiva del protocollo DMARC, i server di ricezione non hanno alcuna politica che li induca a respingere il messaggio. Poiché il sottodominio è associato a un marchio affidabile, questi attacchi hanno un alto tasso di successo nei confronti di dipendenti, clienti e partner.In che modo lo scanner individua i miei sottodomini?
Due metodi, combinati tra loro. Innanzitutto, interroghiamo i log pubblici di Certificate Transparency (crt.sh) alla ricerca di nomi a cui sono stati rilasciati certificati TLS. In secondo luogo, analizziamo attivamente tramite DNS un elenco selezionato di sottodomini comuni relativi a indirizzi e-mail e infrastrutture. Verifichiamo quindi quali nomi vengono effettivamente risolti. L’individuazione non è mai esaustiva – i sottodomini di uso esclusivamente interno o di nuova creazione potrebbero non comparire – ma mette in luce la superficie di attacco che la maggior parte delle organizzazioni trascura.
Devo aggiungere DMARC anche ai sottodomini che non inviano email?
Sì. I sottodomini che non inviano e-mail sono spesso presi di mira proprio perché le organizzazioni ritengono che non abbiano bisogno di protezione. Per un sottodominio che non invia mai e-mail, pubblica un record DMARC con
p=reject e un record SPF di v=spf1 -all. Ciò indica ai destinatari di rifiutare qualsiasi messaggio che dichiari di provenire da esso.Cosa significa "Vulnerabile" nei risultati?
"Vulnerabile" significa che il nome non è soggetto ad alcuna applicazione effettiva di DMARC: non presenta alcun record DMARC né alcuna politica principale applicata, oppure la sua politica effettiva è
p=none (solo monitoraggio). Le e-mail contraffatte provenienti da tale indirizzo possono raggiungere le caselle di posta in arrivo. "Avviso" significa che la politica è applicata ma si basa esclusivamente sulla politica di livello superiore, è priva di SPF o è comunque incompleta. "Sicuro" significa che dispone di un proprio record DMARC all'indirizzo p=quarantine o p=reject.Il rilevamento DKIM è definitivo?
No. Le chiavi DKIM risiedono su nomi specifici per selettore che non possiamo individuare tramite il DNS, quindi esaminiamo un piccolo insieme di selettori comuni. Il messaggio "Rilevato" è affidabile, mentre "Non rilevato" significa solo che nessuno dei selettori comuni corrispondeva: un selettore personalizzato potrebbe comunque essere in uso. Ecco perché, in questo strumento, il DKIM di per sé non contrassegna un sottodominio come vulnerabile.
Come posso proteggere tutti i miei sottodomini contemporaneamente?
Per una copertura immediata e completa, impostare
sp=reject nel record DMARC del tuo dominio principale: questo copre tutti i sottodomini che non dispongono di una propria politica. Successivamente, esamina ogni sottodominio mittente per configurare correttamente SPF, DKIM e il proprio DMARC. Una piattaforma in hosting come PowerDMARC ti consente di gestire centralmente tutte le politiche, ti avvisa quando compaiono nuovi sottodomini e ti guida a p=reject in tutta sicurezza, grazie alla reportistica aggregata e forense.Altri strumenti gratuiti per l'autenticazione delle e-mail
Verifica l'intero stack di autenticazione delle e-mail con la suite di strumenti gratuiti di PowerDMARC.
Controllore DMARC
Verifica la validità del tuo record DMARC e della tua politica di applicazione.
Controlla DMARC →Controllo dei record SPF
Verifica il tuo record SPF per i mittenti autorizzati.
Controlla l'SPF →Controllore DKIM
Cerca e verifica i record DKIM relativi a qualsiasi dominio.
Verifica DKIM →Reputazione del mittente
Valuta il livello complessivo di autenticazione delle e-mail di un dominio.
Verifica la reputazione →Proteggi ogni sottodominio con PowerDMARC
Gestisci centralmente le politiche DMARC su tutti i tuoi domini e sottodomini, ricevi avvisi forensi in tempo reale e applica le misure di controllo senza complicazioni.
