Verifica Email Online — Tool OSINT Gratuito

I tre record di autenticazione email costituiscono la spina dorsale della sicurezza della posta moderna contro spoofing e phishing:

• SPF (Sender Policy Framework): È un record TXT nel DNS che elenca i server IP autorizzati a inviare email per conto di quel dominio. Un server di destinazione che riceve un messaggio può verificare se l'IP mittente è nell'elenco SPF. Se non lo è, il messaggio può essere rifiutato o marcato come spam.
• DKIM (DomainKeys Identified Mail): Aggiunge una firma crittografica digitale all'intestazione di ogni messaggio. La chiave pubblica è pubblicata nel DNS del dominio mittente; il server ricevente verifica l'autenticità della firma. Questo garantisce che il messaggio non sia stato alterato in transito.
• DMARC (Domain-based Message Authentication, Reporting & Conformance): È la policy che coordina SPF e DKIM. Definisce cosa fare con i messaggi che non superano i controlli (rifiutarli, metterli in quarantena, o lasciarli passare) e permette di ricevere report aggregati sull'utilizzo del proprio dominio. Un record DMARC con policy p=reject offre la massima protezione contro il domain spoofing.

L'assenza di questi record non significa che le email siano false, ma abbassa significativamente la fiducia nel mittente e facilita attacchi di phishing.

I record MX (Mail eXchanger) sono voci DNS che indicano quali server sono responsabili della ricezione dei messaggi per un dominio. Ogni record MX ha una priorità (preference): il server con il valore numerico più basso viene contattato per primo. In caso di indisponibilità, si prova con il successivo.

Il protocollo SMTP (Simple Mail Transfer Protocol) è il meccanismo standard per la trasmissione delle email su Internet. Il flusso tipico comprende:

1. EHLO/HELO: Il client si presenta al server indicando il proprio hostname.
2. MAIL FROM: Dichiara l'indirizzo del mittente.
3. RCPT TO: Specifica il destinatario — è a questo punto che il server può accettare (codice 250) o rifiutare (codice 550) il recapito.
4. DATA: Trasferisce il contenuto del messaggio.
5. QUIT: Chiude la sessione.

Il DNSSEC (Domain Name System Security Extensions) aggiunge un layer crittografico al DNS, garantendo che le risposte alle query DNS non siano state manomesse durante il transito — protezione essenziale contro attacchi di tipo DNS cache poisoning e man-in-the-middle.

Quali porte vengono utilizzate per la verifica SMTP?

La comunicazione con i server di posta avviene su porte specifiche, ognuna con caratteristiche distinte:

Perché il tool si connette alla porta 465 invece della 25?

La porta 25 è spesso bloccata dai provider Internet (ISP) per prevenire l'invio massivo di spam da host compromessi. Questa pratica è diffusa e rende difficile connettersi direttamente ai server MX su porta 25 da molte reti. Il tool utilizza la porta 465 (SMTPS) con SSL/TLS per stabilire una connessione autenticata e cifrata, garantendo che l'intera verifica avvenga in modo sicuro.

Cos'è la verifica SMTP "RCPT TO" e perché non è sempre affidabile?

La tecnica di verifica tramite comando RCPT TO consiste nel simulare l'inizio di una sessione di invio email senza completarla: se il server risponde con codice 250 Ok, l'indirizzo esiste; se risponde con 550 User Unknown (o simili), l'indirizzo non è valido.

Tuttavia, molti server di posta moderni adottano contromisure:

• Catch-all (accetta tutto): Il server accetta qualsiasi indirizzo del dominio, valido o meno, rispondendo sempre con 250. Questo genera falsi positivi.
• Greylisting: Il server rifiuta temporaneamente la connessione per i client sconosciuti, ostacolando la verifica.
• Verifica differita: Alcuni server accettano il destinatario durante la sessione SMTP ma rifiutano il messaggio successivamente — impossibile da rilevare con questa tecnica.
• Rate limiting e blacklisting: Ripetute connessioni rapide possono portare al blocco dell'IP sorgente.

Un firewall o un filtro può bloccare la verifica delle porte?

Sì. Molte organizzazioni configurano firewall perimetrali che bloccano le connessioni in entrata sulla porta 25 da IP non autorizzati, o limitano l'accesso alle sole porte 465/587 solo per client autenticati. In questi casi la verifica SMTP potrebbe non riuscire o restituire risultati incompleti. Questo non indica necessariamente che l'indirizzo email non esista — potrebbe semplicemente essere che l'infrastruttura sia protetta da regole di filtraggio più restrittive.

La scansione delle porte è legale?

La verifica SMTP eseguita da questo strumento non è una scansione aggressiva delle porte: si tratta di una connessione standard al protocollo SMTP, identica a quella che avviene ogni volta che viene inviata un'email. Non vengono utilizzate tecniche di port scanning (come SYN scan o UDP scan), né vengono sondati servizi diversi da quelli di posta. L'utilizzo è del tutto legittimo nell'ambito di attività OSINT, verifica di indirizzi di propria pertinenza o analisi di sicurezza autorizzata.

Un dominio catch-all (o wildcard mailbox) è configurato per accettare tutti i messaggi diretti a qualsiasi indirizzo del dominio, anche quelli che non esistono realmente. Ad esempio, qualsiasicosa@esempio.it verrebbe accettato dal server anche se quella casella non è mai stata creata.

Dal punto di vista della verifica SMTP, questo significa che il server risponderà sempre con codice 250 Ok al comando RCPT TO, indipendentemente dalla reale esistenza dell'indirizzo. Il risultato mostrerà l'email come "attiva" anche se non lo è.

Questa configurazione è comune tra:

• Piccole aziende che vogliono ricevere email su qualsiasi alias del proprio dominio
• Sistemi di test e sviluppo
• Provider che non vogliono rivelare quali caselle siano attive (per prevenire l'email harvesting)

Quando un dominio catch-all viene rilevato, il valore del risultato "email attiva" ha affidabilità ridotta e va interpretato con cautela.

La funzione di ricerca della presenza pubblica online dell'indirizzo email utilizza le API di ricerca personalizzata di Google (Google Custom Search API) per individuare pagine web che contengono esplicitamente l'indirizzo analizzato.

Questa ricerca è utile per:

• Verificare se un indirizzo è stato esposto in data breach o pubblicato su forum, siti di spam e database compromessi
• Identificare se l'indirizzo è associato a profili pubblici (social media, directory aziendali, siti web)
• Valutare il rischio di phishing mirato (spear phishing) in base alla quantità di informazioni pubbliche disponibili
• Supportare attività di due diligence e verifica dell'identità digitale

Nota: la ricerca restituisce solo risultati indicizzati pubblicamente da Google. Dati su piattaforme chiuse, dark web o database privati non sono inclusi.