Comment fonctionne Radar DNS

Radar DNS analyse la configuration publique d'un nom de domaine : ses enregistrements DNS, l'authentification de sa messagerie, sa résistance à l'usurpation d'identité, le chiffrement du transport de ses courriels et sa réputation sur les listes de blocage.

Sa particularité tient à son architecture : il n'y a aucun serveur applicatif. Toutes les interrogations partent directement de votre navigateur vers des services publics. L'éditeur ne voit jamais les domaines que vous analysez et n'en conserve aucune trace : il n'y a ni compte, ni cookie, ni base de données.

Ce que l'analyse vérifie

Authentification de la messagerie

Serveurs MX, enregistrement SPF et surtout le nombre de résolutions DNS qu'il déclenche : au-delà de dix, la norme impose l'échec et le SPF cesse d'authentifier quoi que ce soit, sans aucun message d'erreur. Sélecteurs DKIM avec la taille réelle des clés, et politique DMARC appliquée, héritage par les sous-domaines compris.

Enregistrements DNS

Les enregistrements A, AAAA, MX, NS, TXT, CNAME et SOA du domaine, avec leur durée de cache. Les réponses sont filtrées par type : un nom servi derrière un alias ne paraît pas publier des serveurs de messagerie qu'il n'a pas.

Résistance à l'usurpation

Une note sur cent bâtie uniquement sur des éléments publiés dans le DNS, donc tous vérifiables : politique DMARC, adresse de réception des rapports, protection des sous-domaines, rigueur du SPF, présence et solidité de DKIM, signature DNSSEC et enregistrements CAA.

Transport et réputation

MTA-STS, DANE et TLS-RPT, qui empêchent qu'un intermédiaire force vos échanges à repasser en clair, puis BIMI. Enfin la présence des adresses du site et des serveurs de messagerie sur huit listes de blocage publiques.

Surface d'exposition

Les sous-domaines visibles dans les journaux publics de Certificate Transparency, où toute autorité de certification est tenue de publier les certificats qu'elle émet. Radar DNS se contente de les lire : il ne sollicite jamais les noms découverts et n'en devine aucun.

WHOIS et registre

Bureau d'enregistrement, statuts et dates, via le service RDAP du registre, résolu automatiquement pour plus de mille extensions. Les registres ne référençant pas les sous-domaines, l'outil remonte au domaine enregistré et l'indique clairement.

Ce que votre navigateur envoie

Les requêtes partant de votre poste, les services interrogés (Google Public DNS, Cert Spotter, l'IANA et les serveurs RDAP des registres) voient votre adresse IP et le domaine analysé. Le détail de ces échanges, service par service, figure dans la politique de confidentialité.

Questions fréquentes

Pourquoi mon sous-domaine d'envoi affiche-t-il « SPF délégué » ?

Parce qu'il n'a pas besoin de SPF. Avec une délégation par CNAME (celle que mettent en place SendGrid ou Mailgun) l'enveloppe SMTP part d'un sous-domaine du prestataire, qui porte lui-même le SPF. Le SPF n'est donc jamais évalué sur votre nom, et c'est la signature DKIM qui aligne DMARC. Réclamer un SPF ici serait un faux positif.

Que signifie la limite de dix résolutions DNS du SPF ?

Un enregistrement SPF ne peut déclencher que dix résolutions DNS, en comptant récursivement chaque include et redirect. Au-delà, l'évaluation échoue et le SPF ne protège plus rien, sans la moindre alerte. C'est une panne fréquente chez qui cumule plusieurs prestataires d'envoi : Radar DNS affiche le total et le coût de chaque include.

Pourquoi Spamhaus n'est-il pas interrogé ?

Spamhaus refuse les requêtes provenant des résolveurs DNS publics, par lesquels l'outil passe nécessairement puisqu'il s'exécute dans un navigateur. Plutôt que de laisser croire à une vérification complète, l'onglet Sécurité le signale et renvoie vers le formulaire officiel de Spamhaus.

Mes analyses sont-elles enregistrées quelque part ?

Non. Il n'existe ni base de données, ni historique, ni compte. Seule la liste des serveurs RDAP publiée par l'IANA est mise en cache dans votre navigateur pour éviter de la retélécharger, et elle ne contient rien qui vous concerne.