Preskoči na sadržaj
Vi-Di.me
METODOLOGIJA · OTVORENO ZA CITIRANJE

Kako mjerimo sigurnost e-pošte — svih trinaest provjera, bez skrivenog dijela

Popis svake provjere, javni mehanizam kojim se do nalaza dolazi, značenje četiriju razina i tehnički opis toga što se dogodi s upisanom domenom. Napisano da se može provjeriti i citirati — bez traženja dopuštenja.

Što točno mjeri ova provjera?

Trinaest stavki: osam javnih zapisa u DNS-u domene (DMARC, SPF, DKIM, MX, MTA-STS, TLS-RPT, DNSSEC i BIMI) i pet mjerenja stvarnog prijenosa pošte (DANE, STARTTLS, IPv6, javne liste blokiranih adresa i priključak za slanje). Prvih osam govore što domena obećava, preostalih pet što se doista dogodi na vezi prema njezinu poslužitelju pošte.

8 provjere u javnom DNS-u — što domena obećava5 mjerenja prijenosa — što se doista dogodi
01

DMARC

DNS ZAPIS

Domain-based Message Authentication, Reporting and Conformance

MJERIObjavljuje li domena politiku za poštu koja se lažno predstavlja njezinim imenom i nalaže li ta politika išta. Politika p=reject ili p=quarantine odbija ili odvaja takvu poruku; p=none je samo prijavljuje, pa domena izgleda zaštićeno a nije. Gleda se i pokriva li politika poddomene te postoji li adresa na koju stižu izvještaji.

MEHANIZAMTXT upit na _dmarc.<domena> — doslovno isti upit koji postavi svaki poslužitelj na svijetu kad primi poruku s te domene.

_dmarc.vasa-domena.hr  TXT  v=DMARC1; p=reject; rua=mailto:[email protected]
02

SPF

DNS ZAPIS

Sender Policy Framework

MJERIKoji poslužitelji smiju slati u ime domene, koliko DNS upita zapis stvarno traži i kako završava. Standard dopušta deset upita — preko toga primatelj odustaje i zapis ne vrijedi ništa, ma kako uredno izgledao. Završetak -all zatvara popis, ~all ga ostavlja mekim, +all ga pretvara u propusnicu za bilo koga.

MEHANIZAMTXT upit na samu domenu, pa razrješavanje svakog include:, a: i mx: mehanizma redom da bi se prebrojali upiti koje zapis izaziva.

vasa-domena.hr  TXT  v=spf1 include:_spf.google.com -all
03

DKIM

DNS ZAPIS

DomainKeys Identified Mail

MJERIPostoji li objavljen javni ključ kojim primatelj provjerava potpis na poruci i uz koji selektor stoji. Selektor se izvana ne može uvijek pogoditi, pa je odsutnost ključa nalaz „nismo utvrdili“, nikad „nemate“.

MEHANIZAMTXT upit na <selektor>._domainkey.<domena>. Selektori se pogađaju prema platformi prepoznatoj iz SPF-a i MX-a, uz nekoliko najčešćih; stvarni potpis i poravnanje s From domenom potvrđuju se iz izvornog primjerka poruke, gdje selektor doslovno piše.

selector1._domainkey.vasa-domena.hr  TXT  v=DKIM1; k=rsa; p=MIIBIjANBg…
04

MX

DNS ZAPIS

Mail Exchange

MJERIPrima li domena poštu i preko kojih poslužitelja. Domena koja poštu namjerno ne prima to smije i objaviti — takva postavka nije propust nego uredno zaključana domena.

MEHANIZAMMX upit na domenu. Dobiveni nazivi poslužitelja ulaz su za svih pet mjerenja prijenosa koja slijede — bez njih se prijenos nema što mjeriti.

vasa-domena.hr  MX  10 mail.vasa-domena.hr
05

MTA-STS

DNS ZAPIS

SMTP MTA Strict Transport Security

MJERITraži li domena da pošta prema njoj putuje isključivo šifrirano. Ne gleda se samo je li zapis objavljen: dohvaća se i sama politika, čita se provodi li se (enforce) ili se tek isprobava (testing) i uspoređuje se sa stvarnim MX poslužiteljima.

MEHANIZAMTXT upit na _mta-sts.<domena>, pa HTTPS dohvat datoteke https://mta-sts.<domena>/.well-known/mta-sts.txt — obje domena objavljuje javno, za sve poslužitelje koji joj šalju poštu.

_mta-sts.vasa-domena.hr  TXT  v=STSv1; id=20260901
06

TLS-RPT

DNS ZAPIS

SMTP TLS Reporting

MJERIPostoji li adresa na koju tuđi poslužitelji šalju izvještaj kad šifrirana isporuka prema domeni padne. Bez nje tihi kvar u prijenosu ostaje tih dok se netko ne javi da mu se pošta vraća.

MEHANIZAMTXT upit na _smtp._tls.<domena>.

_smtp._tls.vasa-domena.hr  TXT  v=TLSRPTv1; rua=mailto:[email protected]
07

DNSSEC

DNS ZAPIS

Domain Name System Security Extensions

MJERIJe li zona potpisana, odnosno može li se dokazati da DNS odgovor doista dolazi od domene. Ovo je sloj ispod svega ostalog: ako se odgovor može podmetnuti, može se podmetnuti i svaki zapis iz ovog popisa.

MEHANIZAMUpit za DS zapis kod nadređene zone i za DNSKEY u samoj zoni; oba su javna.

vasa-domena.hr  DS  2371 13 2 …
08

BIMI

DNS ZAPIS

Brand Indicators for Message Identification

MJERIObjavljuje li domena logotip za prikaz uz poruku u sandučiću. Nije zaštita nego posljedica — radi tek kad DMARC već odbija lažnu poštu, pa je pokazatelj da je posao dovršen do kraja.

MEHANIZAMTXT upit na default._bimi.<domena> i dohvat SVG datoteke na koju zapis pokazuje.

default._bimi.vasa-domena.hr  TXT  v=BIMI1; l=https://vasa-domena.hr/logo.svg
09

DANE

PRIJENOS

DNS-based Authentication of Named Entities

MJERIJe li poslužitelj pošte kroz DNS vezan uz očekivani certifikat ili ključ. Razlikuje se podudaranje, nepodudaranje i nepotpun dokaz — bez potpisane zone dokaz nije potpun, pa se prolaz ne tvrdi.

MEHANIZAMTLSA upit na _25._tcp.<poslužitelj-iz-MX-a>, uz provjeru je li zona potpisana (DNSSEC).

_25._tcp.mail.vasa-domena.hr  TLSA  3 1 1 …
10

STARTTLS

PRIJENOS

Nadogradnja SMTP veze na šifriranu

MJERINudi li poslužitelj pošte šifriran prijenos u stvarnoj vezi, koje verzije TLS-a prihvaća i kakav certifikat predaje. Jedina skupina provjera koja mjeri što poslužitelj radi, a ne što DNS obećava.

MEHANIZAMOgraničena SMTP veza prema svakoj adresi na koju domena upućuje: pozdrav (EHLO), čitanje mogućnosti koje poslužitelj sam oglasi, zatvaranje veze. Poruka se ne šalje, prijava se ne pokušava, ništa se ne mijenja.

mail.vasa-domena.hr:25  →  EHLO  →  250-STARTTLS  →  TLS 1.2 / 1.3
11

IPv6

PRIJENOS

Dostupnost pošte preko IPv6 adresa

MJERIImaju li poslužitelji pošte javne IPv6 adrese i vodi li put prema svakoj od njih doista do SMTP-a. Objavljena adresa sama po sebi nije dokaz da put radi, pa se objava i stvarni put vode odvojeno.

MEHANIZAMAAAA upit na svaki poslužitelj iz MX zapisa, pa zasebna probna veza prema dobivenoj adresi.

mail.vasa-domena.hr  AAAA  2001:db8:0:1::25
12

Crne liste

PRIJENOS

Javne liste blokiranih adresa (DNSBL)

MJERIJe li adresa poslužitelja pošte na javnoj listi blokiranih. Ovaj nalaz poništava sve ostale: politika, popis pošiljatelja i potpis mogu biti besprijekorni, a poruka svejedno ne stiže.

MEHANIZAMUpit nad kratkim popisom uglednih javnih listi, s obrnuto zapisanom IP adresom poslužitelja. Lista koja ne odgovori vodi se kao neizmjerena — nikad kao čista.

203.0.113.10  →  10.113.0.203.<zona-liste>  →  odgovor = adresa je na listi
13

Port za slanje

PRIJENOS

Prijava lozinkom prije šifriranja (SMTP submission, 587)

MJERINudi li poslužitelj na priključku 587 prijavu lozinkom prije nego je veza šifrirana. Ondje se zaposlenici svakodnevno prijavljuju, pa je to jedino mjesto gdje lozinka sandučića može otići otvorenim internetom.

MEHANIZAMPozdrav (EHLO) na priključku 587 i čitanje onoga što poslužitelj sam oglasi. Ne šalju se nikakvi podaci, ne pokušava se prijava, veza se zatvara.

EHLO  →  250-AUTH PLAIN LOGIN  oglašeno prije STARTTLS-a = kvar

Ukupno 13 provjera. Primjeri su izmišljene domene i adrese iz dokumentacijskih raspona — nijedan zapis nije preslika tuđeg poslužitelja. Pojmovi bez žargona: pojmovnik digitalne sigurnosti.

Kojim se mehanizmom dolazi do nalaza?

Dvama, i oba su javna: DNS upitima koje svatko može ponoviti i ograničenom probnom vezom prema poslužitelju pošte. DNS upiti su isti oni koje postavi svaki poslužitelj na svijetu kad primi poruku s te domene. Probna veza pozdravi poslužitelj i pročita ono što on sam oglasi, pa se zatvori — poruka se ne šalje, prijava se ne pokušava, ništa se ne mijenja.

1. Javni DNS upiti

Svaki od osam zapisa čita se upitom na točno određeno ime — _dmarc, _mta-sts, _smtp._tls, default._bimi i tako redom. Ti su zapisi javni po definiciji: objavljeni su upravo zato da ih tuđi poslužitelji mogu pročitati prije nego prihvate poruku. Isti upit možete postaviti sami, s bilo kojeg računala.

dig +short TXT _dmarc.vasa-domena.hr

2. Ograničena proba prijenosa

Pet mjerenja prijenosa traži stvarnu vezu, jer se iz DNS-a ne vidi što poslužitelj radi. Otvara se SMTP veza prema svakoj adresi na koju domena upućuje — po jedna po adresi, i još nekoliko po adresi radi utvrđivanja prihvaćenih verzija šifriranja. Veza se predstavlja svojim imenom, pročita ono što poslužitelj sam oglasi i zatvori se.

  • — ne šalje se nijedna poruka;
  • — ne pokušava se prijava ni slanje preko Vašeg poslužitelja;
  • — ništa se ne mijenja i ništa se ne ostavlja;
  • — veza se, kao i svaka druga, vidi u zapisniku Vašeg poslužitelja. To je jedini trag koji provjera ostavlja i namjerno ga ne prešućujemo.

Kako se čitaju razine u nalazu?

Četiri su i ne znače isto: „U redu“ znači da je stavka izmjerena i da prolazi, „Traži pažnju“ da je izmjerena i da je nešto slabije nego što bi trebalo biti, „Otvoreno“ da je izmjerena i da ne prolazi, a „Nismo utvrdili“ da mjerenje nije uspjelo. Zadnja razina nije blaži oblik prve tri — ona ne tvrdi ništa.

U redu
Stavka je izmjerena i prolazi. Ne znači da je cijela domena zaštićena — znači da je ta stavka u redu.
Traži pažnju
Stavka je izmjerena i nešto je slabije nego što bi trebalo biti: mekša politika, djelomičan put, nepotpun dokaz.
Otvoreno
Stavka je izmjerena i ne prolazi — zapisa nema, neispravan je ili je dokazano pukao određeni put.
Nismo utvrdili
Mjerenje nije uspjelo: upit je istekao, domena odgovara na svako ime ili se selektor ne može pogoditi izvana. Lažan negativ jednako je neistinit kao lažan pozitiv, pa se ne tvrdi ništa.

Jedna razina ne opisuje cijelu domenu. Nalaz se čita po stavkama i rješava redom — prvo popis pošiljatelja (SPF), pa potpisi (DKIM), pa izvještaji nekoliko tjedana, i tek onda stezanje DMARC politike. Obrnut redoslijed zaustavi vlastitu poštu. Što koja DMARC politika doista radi.

Zašto se upisana domena ne sprema?

Zato što u obradi nema koraka u kojem bi se zapisala. Upisana domena putuje izravno motoru provjere, on postavlja javne upite i vraća nalaz u Vaš preglednik; rezultat ostaje u memoriji poslužitelja najviše deset minuta radi brzine, i nakon toga ga nema. Nema baze provjerenih domena, nema popisa za kontakt i nema koraka u kojem bi se domena povezala s Vama.

  1. KORAK 01

    Upis

    Domena se upisuje u obrazac motora provjere. Naša stranica je ne prima, ne prosljeđuje i ne stavlja u adresu — u URL-u ove stranice nikad ne piše koja je domena provjerena.

  2. KORAK 02

    Upiti

    Motor postavlja javne DNS upite i otvara probne veze. Te upite vide razlučitelji imena i Vaš poslužitelj pošte — kao i kod svake poruke koju itko pošalje na Vašu adresu.

  3. KORAK 03

    Nalaz

    Rezultat se vraća u Vaš preglednik i prikazuje. Ostaje u memoriji poslužitelja najviše deset minuta, isključivo zato da ponovljena provjera iste domene bude brza.

  4. KORAK 04

    Poslije

    Nema zapisa u bazi, nema popisa provjerenih domena i nema koraka u kojem bi se domena povezala s Vama. Ne tražimo e-poštu, ime ni registraciju, pa nema ni s čime povezati.

Obećanje vrijedi i za sve ostalo na ovoj stranici: gotovi tekstovi za dijeljenje i bedž za Vaš web nose samo golu poveznicu na alat, bez ijednog parametra i bez ijednog podatka o provjeri. Politika privatnosti pokriva ostatak stranice.

Što provjera ne mjeri?

Ne mjeri ništa unutar Vaših sustava — ne čita poštu, ne prijavljuje se na Vaš poslužitelj, ne vidi postavke u Microsoft 365 ili Google konzoli i ne testira lozinke. Mjeri isključivo ono što je izvana javno vidljivo, u jednom trenutku, i zato je informativna provjera, a ne revizorski nalaz.

  • Ne ulazi u Vaše sustave

    Nema prijave, nema pristupa sandučiću, nema čitanja pošte i nema testiranja lozinki. Sve što se koristi javno je objavljeno.

  • Ne vidi unutarnje postavke

    Pravila u Microsoft 365 ili Google Workspaceu, filtri, pravila za priloge i zaštita sandučića izvana se ne vide. Za njih treba pregled u samoj konzoli.

  • Mjeri jedan trenutak

    Nalaz vrijedi za trenutak mjerenja. Zapis promijenjen sutra mijenja nalaz, a DMARC izvještaji koji pokazuju tko sve šalje u Vaše ime skupljaju se tjednima.

Tko je autor motora provjere?

Motor je proizvod projekta Signetika i ovdje je ugrađen kao okvir s njihove adrese, a ne prepisan. Vi-Di.me je ljuska oko alata: naši su naslovi, objašnjenja i usporedba s hrvatskim mjerenjem, dok sam sud o domeni donosi Signetikin motor. Vlastita kopija postojala je do 24. kolovoza 2026. i imala je 4 % opsega izvornika, pa je davala druge odgovore — zato je zamijenjena izvorom.

MOTOR PROVJEREPowered by Signetikasignetika.com →

Smije li se ova metodologija citirati?

Smije, bez traženja dopuštenja i bez naknade — dovoljno je navesti Vi-Di.me kao izvor i staviti poveznicu na ovu stranicu. Isto vrijedi i za brojke iz našeg mjerenja hrvatskih domena, koje imaju objavljenu metodologiju i skup podataka.

Za novinare i autore

Alat je besplatan i bez registracije, pa se može preporučiti čitateljima bez ograde. Ako trebate komentar, brojku ili provjeru tvrdnje prije objave, javite se — odgovaramo i kad odgovor ne ide nama u prilog.

Pitanje za objavu

Brojke koje stoje iza tvrdnji

Usporedba u alatu dolazi iz vlastitog mjerenja na 6.259 hrvatskih domena i dubinske analize njih 1.159, provedene 31. svibnja 2026. Metodologija tog mjerenja i skup podataka objavljeni su zasebno.

Istraživanje i podaci

Natrag na alat

Provjera traje pola minute, ne traži registraciju i ne sprema domenu. Ondje su i gotovi tekstovi za dijeljenje te bedž koji možete staviti na svoj web.

Provjerite domenu