Validatore email DNS (SPF, DKIM, DMARC)

Email deliverability è una catena di standard. SPF, DKIM e DMARC sono i tre RFC che governano l'autenticazione email moderna. Ognuno ha sintassi specifica e errori sottili che causano mail rifiutate o classificate come spam: SPF con +all invece di -all equivale a dichiarare 'anyone can send', DMARC con p=none mai promosso a p=reject resta in modalità monitoring senza enforcement, DKIM con chiavi RSA a 1024 bit è deprecato dal 2018 (M3AAWG e Microsoft impongono 2048 bit minimum). Identificare questi problemi richiede leggere RFC, calcolare lookups, decodificare chiavi: il tool automatizza la catena.

Multi-resolver compare a 6 vie. La maggior parte dei tool di lookup interroga un singolo resolver. Qui le query partono in parallelo verso 6 resolver pubblici, divisi in due gruppi: 4 unfiltered (Cloudflare 1.1.1.1, Google 8.8.8.8, AliDNS 223.5.5.5, dns.sb) per verificare propagazione e cache, e 2 content-filtering (Cloudflare Security 1.1.1.2 blocca malware, Cloudflare Family 1.1.1.3 blocca malware + adult) per block detection. Differenze fra unfiltered indicano cache stale o propagazione asimmetrica; differenza fra unfiltered e filtered indica un dominio classificato come malicious dai DNS filter di Cloudflare. Diagnostica utile in pre-deploy verification e nel detection di domini compromessi.

Audit operabile su domini sensibili. I parser SPF, DKIM e DMARC analizzano il testo che incolli in modo autonomo dal DNS effettivo del dominio: utile per validare un record prima di pubblicarlo, o per audit dove l'interrogazione stessa al DNS deve restare invisibile. Le interrogazioni MX e multi-resolver, quando servono, escono direttamente verso i resolver pubblici via DNS over HTTPS, senza intermediari commerciali che logghino il dominio analizzato. Scenari tipici: M&A, due diligence, pre-launch.

SPF

Versione (v=spf1), mechanisms (ip4, ip6, mx, a, include, exists, ptr, all), qualifiers (+, -, ~, ?), modificatori (redirect=, exp=). Findings: multiple all (errore), missing all (warning, default neutral = anyone-can-send), +all (critical, anyone-can-send esplicito), troppi DNS lookups (>10 = SPF permanent error per RFC 7208), uso di ptr (deprecato).

DKIM

Versione (v=DKIM1), key type (k=rsa o k=ed25519), public key (p=...), flags (t=), service type (s=), notes (n=). Findings: missing v=DKIM1 (warning), p= vuoto (chiave revocata, mail con questo selettore vengono rifiutate), key size estimate (1024 bit deprecato dal 2018, raccomandato 2048+).

DMARC

Versione (v=DMARC1), policy (p=none|quarantine|reject), subdomain policy (sp=), pct (pct=0..100), reporting addresses (rua=, ruf=), alignment (adkim=r|s, aspf=r|s), failure options (fo=). Findings: p=none (warning, solo monitoring no enforcement), missing rua (no aggregate reports), pct<100 (partial enforcement, comune in fase di rollout ma a regime deve essere 100), missing sp (subdomain default = p, ok).

MX lookup

Query DoH per record MX del dominio. Output: priorità + hostname per ogni mail server. Findings: niente record MX (dominio non riceve email), priorità duplicate (configurazione errata).

Multi-resolver compare

Stessa query (A, AAAA, MX, TXT, ecc.) verso 6 resolver pubblici. Unfiltered (Cloudflare 1.1.1.1, Google 8.8.8.8, AliDNS 223.5.5.5, dns.sb): mostrano la risposta DNS reale, differenze fra loro = cache stale o propagazione asimmetrica. Content-filtering (Cloudflare Security 1.1.1.2 blocca malware; Cloudflare Family 1.1.1.3 blocca malware + adult content): se non rispondono ma gli unfiltered si', il dominio è classificato come malicious/adult. Side-by-side comparison delle risposte con block detection automatico.