Home › Verifica dominio
Verifica e-mail e dominio
La posta della sua azienda può essere falsificata? Verifichi il suo dominio
Inserisca il suo dominio e veda in pochi secondi come è configurata la sua posta: SPF, DKIM, DMARC e MX. Consultiamo solo ciò che il suo dominio pubblica già su Internet; non eseguiamo scansioni dei suoi sistemi. Il risultato appare a schermo e non serve registrarsi.
Durante la verifica, il suo browser interroga i record DNS pubblici di quel dominio tramite il servizio DNS di Cloudflare (1.1.1.1). vrtxcloud non riceve né conserva il dominio o il risultato. Maggiori informazioni.
Il suo risultato
Inserisca un dominio qui sopra e prema «Verifica il mio dominio». È necessario avere JavaScript attivo.
Che cosa verifichiamo sul suo dominio
- DMARC: se esiste e quale policy applica (
none,quarantineoreject). È il controllo decisivo per sapere se la sua e-mail può essere falsificata. - SPF: se esiste un unico record, come termina (
-all,~all,?all) e quanti meccanismi con query DNS contiene al primo livello (lo standard limita il totale a 10). - DKIM: se rileviamo la firma con i selettori più comuni.
- MX: dove viene ricevuta la sua posta.
- Extra informativi: MTA-STS, TLS-RPT, CAA e DNSSEC.
Come leggere il semaforo
- Rosso: nessun DMARC, oppure SPF assente, duplicato o troppo permissivo. Chiunque può inviare e-mail che sembrano provenire dal suo dominio.
- Giallo: DMARC in
noneo SPF con~all. Ci sono avvisi, ma manca la policy che rifiuta o mette in quarantena i messaggi falsi. - Verde: SPF e DMARC pubblicati correttamente. Non significa «sicuro»: non copre i domini simili né gli account con password rubata.
Che cosa può fare con il risultato
- Correggerlo Lei o farlo correggere dal suo tecnico informatico, con le informazioni del risultato.
- Affidarci la verifica: Audit Base. Preventivo definitivo dopo la diagnosi, con perimetro fisso.
- Se ha già subito una sostituzione di identità: risposta agli incidenti (preventivo definitivo dopo la diagnosi).
Cosa non facciamo
È una verifica passiva di dati pubblici. Non eseguiamo penetration test, non scansioniamo porte e non accediamo ad account. Qualsiasi analisi che vada oltre le informazioni pubbliche richiede un'autorizzazione firmata. La parte web (HTTPS, certificato e intestazioni) non si può verificare da un browser e viene esaminata nell'Audit Completo.
Domande frequenti
Come faccio a sapere se l'e-mail della mia azienda può essere falsificata?
Verifichi se il suo dominio pubblica un record DMARC e con quale policy. Senza DMARC, o con la policy «none», il server che riceve il messaggio non ha istruzioni per rifiutare i messaggi che usano il suo dominio senza autorizzazione. Lo strumento di verifica di questa pagina interroga SPF, DKIM (se rileva il selettore), DMARC e MX e Le mostra un semaforo.
Conservate il dominio che verifico?
No. La richiesta la fa il suo stesso browser al servizio DNS pubblico di Cloudflare; questo sito non ha un server per i moduli né un database, quindi vrtxcloud non riceve né il dominio né il risultato. Ci arriva solo se decide di inviarcelo via e-mail.
Perché la mia firma DKIM risulta «non rilevata»?
Il selettore DKIM non è pubblico: per verificarlo bisogna conoscerne il nome. Lo strumento prova i selettori più comuni, ma può esistere una firma valida con un altro nome. Nell'audit lo confermiamo con il suo provider di posta.
Un risultato verde significa che sono protetto?
No. Il verde significa che SPF e DMARC sono pubblicati correttamente. Non protegge da domini simili al suo né da un account di posta con la password rubata. È una verifica passiva di dati pubblici, non un penetration test.
Che cosa faccio se il risultato è rosso?
Può correggerlo Lei o il suo tecnico informatico con le informazioni del risultato. Se preferisce che lo verifichiamo noi, c'è l'Audit Base: preventivo definitivo dopo la diagnosi, con perimetro fissato per iscritto. Se ha già subito una sostituzione di identità, consulti la risposta agli incidenti.
A cosa servono SPF, DKIM e DMARC?
SPF elenca i server autorizzati a inviare posta per il suo dominio. DKIM aggiunge una firma crittografica che prova che il messaggio non è stato alterato. DMARC collega i due, dice ai destinatari cosa fare in caso di esito negativo e invia report su chi spedisce posta usando il suo dominio.
Lo strumento conserva il mio dominio?
No. Il suo browser interroga i record DNS pubblici tramite il resolver di Cloudflare, e VRTXCLOUD non riceve né conserva il dominio o il risultato. Lo strumento legge solo ciò che il dominio pubblica già, non analizza sistemi, porte o account e non richiede alcuna registrazione.
DMARC protegge da tutte le minacce via email?
No. DMARC protegge il suo dominio esatto dall’usurpazione diretta. Non ferma domini simili con una lettera cambiata, account compromessi né allegati dannosi inviati da altri indirizzi. È uno strato importante della sicurezza della posta elettronica, ma da solo non è una difesa completa.
Riferimenti: requisiti di Google per i mittenti · RFC 7208 (SPF) · INCIBE, frodi tramite e-mail compromesse. Metodologia rivista da Fabio Guimaraes · ultimo aggiornamento: ottobre 2026.