DNS Inspector interroga i record DNS di un dominio (A, AAAA, CNAME, MX, NS, TXT, CAA, SOA) oltre ai record di autenticazione della posta DMARC, DKIM e SPF, ed esegue anche un audit di sicurezza DNS. Le query vengono effettuate direttamente nel tuo browser tramite DNS-over-HTTPS.
Inserisci un dominio nel campo Target, ad esempio example.com, e premi Ispeziona dominio o il tasto Invio. Un prefisso di protocollo (http://) e un punto finale vengono rimossi automaticamente. Il dominio viene verificato con il nome canonico in minuscolo.
Le chiavi DKIM vengono pubblicate sotto <selector>._domainkey.<dominio>. Poiché i selector variano a seconda del provider, puoi inserire più selector separati da virgole, es. google,selector1,selector2. Nei risultati vedrai quali selector hanno una chiave valida.
SPF viene letto dal record TXT che inizia con v=spf1. DMARC viene letto da _dmarc.<dominio> e scomposto nei suoi tag. DKIM interroga le chiavi pubbliche dei selector inseriti. Tutti e tre vengono mostrati nei risultati e validati nella sezione sicurezza.
La sezione Sicurezza DNS valuta la validazione SPF (record presente, sintassi valida, numero di query DNS, catch-all), la validazione DMARC (record presente, policy, allineamento rigoroso, indirizzo di report), la ricerca DKIM (chiavi valide), l’ispezione CAA (voci issuer), lo stato DNSSEC (record DNSKEY/DS) e la coerenza dei nameserver (Google vs Cloudflare, record glue). Ogni riscontro ha uno stato OK, AVVISO, ERRORE o INFO.
Le ricerche dei record e il DNSSEC passano tramite Google DoH, la coerenza dei nameserver tramite Google + Cloudflare DoH. Per il confronto tra resolver, le query vengono inviate anche a DNS.SB, doh.li e AdGuard, sia direttamente sia tramite il proxy di questo server. Su questo server non vengono memorizzati dati personali. Il tuo browser invia il dominio interrogato e i normali dati di connessione HTTP al rispettivo provider DoH.
Gli stessi record (A, AAAA, MX, NS, TXT) vengono inoltre interrogati su diversi servizi DNS pubblici — Google, Cloudflare, DNS.SB, doh.li e AdGuard — una volta direttamente dal tuo browser e una volta tramite il proxy lato server. I record dovrebbero essere identici ovunque; le differenze indicano ritardi di propagazione, filtraggio DNS o un proxy lato client che riscrive le risposte.