Chiunque può spedire a nome tuo
Finché il DMARC non è applicato, il tuo dominio è un'identità gratuita. Il phishing spedito da lì arriva con il tuo nome sopra, e la prima notizia te la dà chi lo ha ricevuto.
Per IT e Sec Ops
Ferma l'impersonificazione. Arriva a p=reject con i dati per dimostrare che è sicuro.
Le prove che ti servono per applicare il DMARC arrivano già ogni giorno, come XML che nessuno legge. Sentinely le legge, riconosce ogni mittente e ti mostra cosa si romperebbe prima che tu cambi la policy.
Tutto ciò che decide se il tuo dominio è affidabile
- SPF
- DKIM
- DMARC
- BIMI
- MTA-STS
- TLS-RPT
- MX
- NS
- DNSBL/RBL
- rDNS/PTR
Sentinely tiene d'occhio l'intero insieme di segnali che i provider di posta usano per fidarsi — o rifiutare — la tua email. Anche MX e NS sono sorvegliati: non per il punteggio, ma per sapere il giorno in cui cambiano.
Il problema
Anche restare su p=none è una decisione.
È la decisione di lasciare il tuo dominio utilizzabile da chiunque, e di scoprirlo da chi ha ricevuto il phishing.
L'enforcement senza dati è un azzardo
Passa a p=reject prima di conoscere ogni mittente legittimo e bloccherai le tue fatture, i tuoi ticket o le comunicazioni del personale. Per questo la maggior parte dei domini non si muove mai.
L'autenticazione rotta si nasconde in bella vista
Una chiave DKIM revocata, un record SPF oltre il limite delle 10 ricerche, termini messi dopo "all" che non verranno mai valutati. Pubblicati, presenti, e silenziosamente fallimentari.
Cosa ottieni
Prove sufficienti per cambiare la policy.
In sola lettura, dai report aggregati che il tuo dominio già riceve. Niente da installare, niente sul percorso della posta.
Ogni sorgente risolta
IP, hostname (rDNS/PTR), geolocalizzazione e organizzazione/ASN per ciascun mittente, più una linea netta fra le sorgenti che già conosci e quelle che non hanno mai spedito per il tuo dominio.
Record letti nella sintassi
SPF, DKIM, DMARC, BIMI, MTA-STS e TLS-RPT verificati per come sono scritti: tag DMARC fusi, rua o ruf senza mailto:, sp e pct non validi, meccanismi SPF sconosciuti, ip4/ip6 non validi, ptr deprecato, il limite delle 10 ricerche.
Modifiche registrate, con prima e dopo
Ogni giro confronta il tuo DNS con l'osservazione precedente e registra la differenza — valore prima, valore dopo, quando. Una policy riportata a p=none, un include SPF sparito, un record BIMI rimosso. MX e NS sono sorvegliati allo stesso modo, pur non toccando il punteggio.
Selettori DKIM, scoperti
Al DNS non si può chiedere l'elenco dei selettori pubblicati per un dominio, così quasi tutti gli strumenti ti lasciano un campo vuoto. Sentinely raccoglie i selettori che compaiono nei report aggregati e te li propone da confermare. Parziale per natura — molti sistemi omettono il selettore — ma trasforma un'analisi cieca in una che funziona.
Le dimensioni di ciò che il tuo SPF autorizza
Il numero di indirizzi IPv4 che il tuo record permette, accanto a quanti di essi hanno spedito negli ultimi 90 giorni. Un include dimenticato può autorizzare centinaia di migliaia di host mentre a spedire sono una manciata. Il conteggio copre gli indirizzi scritti letteralmente nel record, quindi va trattato come un minimo.
Un punteggio di protezione con un voto
Da 0 a 100 e A–F su autenticazione, policy, igiene e blocklist, con un indicatore di affidabilità finché i dati non bastano per esserne certi.
Avvisi con soglia di severità
Sorgente mai vista prima, anomalia di volume rispetto alla media dei 7 giorni, tasso di fallimento alto, posta messa in quarantena o rifiutata da una sorgente nota. Configurabile per destinatario e per dominio.
Monitoraggio delle blocklist
Verifica continua su DNSBL/RBL di ogni IP che spedisce per il dominio, con esito a tre stati — elencato, pulito o non verificabile.
Un avviso quando i report si fermano
Un dominio che smette all'improvviso di ricevere report aggregati di solito significa una configurazione rotta, non cielo sereno. Sentinely te lo dice, invece di lasciare che il silenzio somigli a un successo.
Scopri chi spedisce a nome del tuo dominio.
Un record DNS, e il primo verdetto arriva entro un giorno. La prova di 30 giorni ha tutto attivo — senza carta.