Questa email è affidabile?

Scrivi un indirizzo email o un dominio: controlliamo i dati pubblici del dominio, senza registrazione. Se hai un messaggio sospetto, puoi incollare anche le sue intestazioni.

Al nostro server arriva solo il dominio, la parte dopo la @: l’indirizzo resta nel tuo browser.

Hai ricevuto un messaggio sospetto? Incolla le intestazioni

Le intestazioni restano nel tuo browser: non arrivano a nessun server. Come copiarle da Gmail, Outlook e Libero.

Chi ti scrive può essere chi dice di essere, oppure no. Questo strumento gratuito guarda com’è configurato il dominio del mittente, cioè la parte dopo la @, e te lo dice con parole semplici: se il dominio riceve posta, se dichiara quali server possono spedire a suo nome, se chiede di fermare i messaggi falsi, da quanto tempo esiste e se è un servizio di caselle usa e getta.

Nota: al nostro server arriva solo il dominio. Le intestazioni che incolli restano nel tuo browser: non arrivano a nessun server. Il risultato di ogni dominio resta per al massimo 24 ore in una cache, per non ripetere le stesse richieste. Tutti i dettagli sono nell’informativa privacy.

Il server di posta del dominio (MX)

Un dominio che riceve posta ha uno o più record MX, che dicono a quali server consegnare i messaggi. Senza MX, di norma, un indirizzo di quel dominio non può ricevere risposte: chi ti scrive da lì non aspetta la tua risposta, oppure ha scritto l’indirizzo sbagliato. In teoria la posta può essere consegnata anche all’indirizzo del dominio stesso (RFC 5321), ma è una configurazione rara: lo strumento la segnala comunque come un rischio. Per sapere se una casella esiste, e non solo il dominio, usa Verifica Email.

SPF: quali server possono spedire a nome del dominio

SPF è un record di testo (inizia con v=spf1) con cui il dominio elenca i server autorizzati a spedire a suo nome. La sua ultima regola, all, dice che cosa fare con tutti gli altri: -all li esclude, ~all li considera sospetti, ?all non si pronuncia e +all li ammette tutti (RFC 7208). Per lo strumento -all e ~all sono in regola; negli altri casi, o se il record manca, è un segnale da guardare: mandare messaggi falsi a nome di quel dominio è più facile.

DMARC: che cosa fare dei messaggi falsi

DMARC è un record di testo, sul nome _dmarc del dominio, che dice a chi riceve che cosa fare di un messaggio che non supera i controlli di SPF e DKIM: p=reject chiede di rifiutarlo, p=quarantine di metterlo da parte, p=none di non fare niente e di mandare solo i rapporti (RFC 7489). Un sottodominio senza un record suo usa quello del dominio registrato, come vuole DMARC, e lo strumento fa lo stesso. Le pagine di Google Workspace per gli amministratori spiegano SPF e DMARC.

L’età del dominio

Molte truffe usano domini registrati da pochi giorni. Lo strumento chiede al registro del dominio la data di registrazione con RDAP (RFC 9083), partendo dall’elenco dei registri che l’IANA pubblica, e dà un rischio sotto i 30 giorni e un segnale da guardare sotto i sei mesi. Non tutti i registri hanno RDAP: dove il registro non c’è nell’elenco dell’IANA o non dà la data, lo strumento dice che l’età non è disponibile, e non la indovina. Un dominio vecchio non è per questo onesto: può essere stato venduto, o rubato.

Le caselle usa e getta

Alcuni servizi danno indirizzi che durano pochi minuti e non dicono niente di chi li usa. Lo strumento confronta il dominio con una lista pubblica di questi servizi (disposable-email-domains, di pubblico dominio), che il sito scarica e aggiorna da solo ogni giorno. Se la lista non c’è, lo strumento lo dice e non risponde a questa domanda.

Le caselle gratuite

Gmail, Libero, Virgilio, TIM, Outlook, Yahoo e gli altri servizi di posta gratuiti permettono a chiunque di aprire una casella. Non è un difetto: è solo un’informazione. Un’azienda, una banca o un ente di solito scrive dal proprio dominio.

Le intestazioni del messaggio

Le intestazioni sono le righe che precedono il testo di un messaggio e dicono da dove è passato. Lo strumento le legge nel tuo browser, per al massimo 64 KB, e guarda tre cose. La prima è il risultato dei controlli del tuo provider, nella riga Authentication-Results (RFC 8601): conta la prima dall’alto, perché la aggiunge chi ti ha consegnato il messaggio, mentre quelle sotto possono averle scritte altri. Se dice che DMARC non è passato, o che SPF o DKIM sono falliti, è un segnale di rischio; se dice softfail, neutral o none il provider non ha potuto confermare, ed è un segnale da guardare; se manca, lo strumento lo dice e non ne ricava niente. La seconda è Reply-To: se punta a un dominio diverso da quello di From, le tue risposte non andrebbero a chi sembra averti scritto. La terza è il nome del mittente: se contiene un indirizzo diverso da quello vero, è un rischio. Un messaggio che supera DMARC può comunque essere una truffa, mandata da un dominio in regola. Per copiare le intestazioni da Gmail, Outlook e Libero leggi Come capire chi c’è dietro un indirizzo email.

Che cosa lo strumento non può dire

I controlli dicono com’è configurato il dominio, non chi c’è dietro né se un messaggio è onesto: anche un dominio in regola può mandare una truffa, e un dominio senza DMARC può essere quello di una persona perbene. Non dicono se la casella esiste (per quello c’è Verifica Email) e non guardano il testo del messaggio. Se un messaggio ti chiede soldi, dati o di cliccare un link, controlla per un’altra strada: chiama l’azienda al numero del suo sito, non a quello del messaggio. Per cercare chi c’è dietro un indirizzo leggi Come capire chi c’è dietro un indirizzo email.