Comment fonctionne KØNTACT

1. Acquisition

DNS-sur-HTTPS vers Cloudflare d'abord, Google en cas d'échec. Chaque requête a un délai de 10 secondes. Si les deux résolveurs échouent — ou si votre réseau bloque le DNS-sur-HTTPS — vous pouvez coller les enregistrements manuellement; les données collées passent par des vérifications identiques à celles du DNS.

2. Normalisation

Les enregistrements bruts sont analysés en une forme canonique unique. Les enregistrements SPF ou DMARC dupliqués sont préservés, pas fusionnés — en publier plus d'un est en soi une erreur.

3. Vérifications déterministes

• SPF : étiquette de version, mécanismes et modificateurs connus, syntaxe IP valide, aucun mécanisme après un all/redirect terminal, budget de requêtes DNS (10, selon RFC 7208), et parcours borné des chaînes include: (2 niveaux) pour détecter les boucles.
• DMARC : politique p= requise, étiquettes dupliquées ou inconnues, plage de pct, format d'URI rua/ruf, valeurs sp/aspf/adkim, et autorisation de rapports externes (RFC 7489 §7.1).
• DKIM : sonde les sélecteurs courants pour les clés publiées. Les sélecteurs sont normalement appris des en-têtes des messages envoyés, pas par découverte — une sonde qui ne trouve rien est informative, jamais un échec. Vous pouvez entrer un sélecteur manuellement.

4. Constats

Chaque constat porte un état — nécessite attention, surveillance, protégé, conforme ou info — plus un bloc de preuve dépliable montrant l'enregistrement exact récupéré, le résolveur utilisé, l'heure de la recherche et le nom d'hôte interrogé. Vérifiable, jamais « faites confiance au verdict ».

Une politique DMARC de p=none est une étape de surveillance légitime et est rapportée comme surveillance, pas comme une urgence. Le comportement a autorité sur le libellé : si l'implémentation contredit un jour le texte, le moteur gagne et le texte est corrigé.

Limites — ce que cette vérification ne peut pas vous dire

• Il évalue la posture publiée, pas la réalité livrée. Il ne peut prouver le placement en boîte de réception.
• Il ne peut vérifier l'alignement des messages, la réputation d'expéditeur ni le statut de liste noire.
• Il ne peut confirmer que chaque expéditeur légitime s'authentifie correctement.
• La découverte DKIM est limitée aux sélecteurs sondés; l'absence de détection n'est pas un verdict.
• Les chaînes include: SPF sont suivies à au plus 2 niveaux.
• Le collage applique les mêmes vérifications statiques, mais saute l'enrichissement en direct (le suivi des chaînes include: et l'autorisation de rapports externes exigent un DNS fonctionnel — précisément ce qui manque quand on recourt au collage).
• Une première vérification n'a pas d'hier — elle rapporte l'état actuel seulement. « Changé » exige la référence de Surveillance.

Contact

Vous avez trouvé une erreur dans un verdict? info@konbit.ca — les verdicts erronés sont les rapports de bogue les plus précieux que nous puissions recevoir.