Analyseur d'en-tête email
Collez les en-têtes bruts d'un message : vous voyez qui l'a vraiment envoyé, si SPF, DKIM et DMARC ont réussi et le chemin parcouru de serveur en serveur. L'outil lit ce que le serveur de réception a déjà noté dans les en-têtes. C'est une aide à la lecture, pas un verdict sur la sécurité du message.
Analyser un en-tête de mail, étape par étape
- Dans votre application de messagerie, ouvrez le message, choisissez « Afficher l'original » ou « Afficher la source », puis copiez le bloc d'en-têtes (tout ce qui précède la ligne vide située avant le corps du message).
- Collez-le dans En-têtes d'e-mail bruts (jusqu'à 200 000 caractères). Effacer vide la zone.
- Appuyez sur Analyser les en-têtes. Si rien dans le texte ne ressemble à un en-tête, l'outil vous le dit et vous pouvez coller à nouveau.
- Lisez les Résultats : objet et date, puis les cartes Vrai expéditeur, Authentification et Trajet. La flèche de retour ramène au texte collé, et Recommencer efface tout.
Trouver l'origine d'un mail : la carte Vrai expéditeur
Trois adresses peuvent différer, et ces écarts sont la partie utile. Return-Path est l'endroit où partent les messages de rejet ; il est défini par le serveur qui a réellement envoyé le message. From est le nom et l'adresse affichés dans votre boîte de réception. Reply-To est l'endroit où ira votre réponse, et Sender apparaît quand le message a été envoyé au nom de l'adresse From. La carte indique aussi la Première IP publique du trajet.
Deux remarques peuvent s'afficher dessous. « From et Return-Path sont sur le même domaine » est le cas attendu. « From et Return-Path sont sur des domaines différents » invite à regarder de plus près, même si les services de newsletters et d'envoi en masse le font légitimement. « Les réponses partent vers un autre domaine que celui de From » mérite un second regard avant de répondre.
Vérifier SPF, DKIM et DMARC
La carte Authentification affiche chaque contrôle sous forme de badge, avec les propriétés enregistrées comme smtp.mailfrom, header.d et header.from. SPF demande si le serveur expéditeur avait le droit d'envoyer pour le domaine, DKIM si le message est signé et si la signature est valide, et DMARC si la politique du domaine accepte le message.
- Réussi : le serveur de réception a effectué le contrôle et il a abouti.
- Échec : le contrôle a échoué ; le serveur n'était pas autorisé ou la signature ne correspondait pas.
- Échec souple : SPF uniquement ; le serveur n'est probablement pas autorisé, mais le domaine n'exige pas le rejet.
- Neutre : le domaine ne se prononce ni dans un sens ni dans l'autre.
- Aucun : le domaine n'a rien publié à vérifier.
- Erreur temporaire et Erreur permanente : le serveur n'a pas pu terminer le contrôle, par exemple parce qu'une requête DNS a expiré ou que l'enregistrement est cassé.
- Politique : le résultat a été décidé par la politique du serveur de réception.
- Non vérifié : une signature DKIM est présente, mais aucun serveur n'a enregistré de résultat.
- Introuvable : les en-têtes ne contiennent aucun résultat pour ce contrôle.
Les résultats viennent de l'en-tête Authentication-Results le plus haut, y compris le style Outlook sans identifiant de serveur. S'il n'y en a pas, SPF se rabat sur Received-SPF et DKIM sur l'en-tête DKIM-Signature.
Lire le trajet d'un mail (lignes Received)
Chaque serveur qui traite le message ajoute une ligne Received tout en haut. La carte Trajet les inverse pour afficher d'abord le saut le plus ancien, et indique pour chacun le serveur expéditeur (de), ses adresses IP, le serveur récepteur (par), le protocole, l'heure en UTC et le délai écoulé depuis le saut précédent. La ligne de synthèse donne le nombre de serveurs et la durée totale du transit.
Un long délai entre deux sauts montre où le message a attendu, par exemple dans une file d'attente ou un filtre antispam. Afficher les valeurs brutes révèle le texte exact de l'en-tête sous chaque ligne.
Afficher le code source d'un mail Outlook ou Gmail
Dans Gmail, ouvrez le message, utilisez le menu à trois points, choisissez « Afficher l'original », puis copiez le bloc d'en-têtes en haut. Pour afficher le code source d'un mail Outlook, cherchez les propriétés ou les détails du message (dans Outlook classique : Fichier, puis Propriétés ; dans le nouvel Outlook : Affichage, puis Afficher les détails du message). Les noms de menus changent selon les versions, et la plupart des autres applications de messagerie proposent une option comparable.
Ce que cet outil ne peut pas faire
Il ne vérifie pas les signatures et ne consulte pas le DNS. Il rapporte les résultats que le serveur de réception a écrits dans les en-têtes. Un message falsifié peut arriver avec de fausses lignes Authentication-Results : seule la plus haute, ajoutée par votre propre fournisseur, est digne de confiance ; celles qui précèdent ont été écrites par d'autres et peuvent être fausses. L'outil ne garantit pas qu'un message est sûr ou dangereux, et il ne cherche pas où se situe une adresse IP.
Vos en-têtes sont lus dans votre navigateur. Rien n'est envoyé ni enregistré. Les en-têtes tronqués ou mal formés sont gérés sans erreur : les lignes repliées et les noms et objets encodés sont décodés, et la lecture s'arrête à la ligne vide avant le corps du message.
Questions fréquentes
Comment analyser un en-tête de mail ?
Copiez le bloc d'en-têtes complet du message, collez-le dans « En-têtes d'e-mail bruts » et appuyez sur « Analyser les en-têtes ». L'écran de résultats range les lignes utiles : la carte « Vrai expéditeur » (Return-Path, From, Reply-To), la carte « Authentification » (SPF, DKIM, DMARC) et la carte « Trajet » avec chaque serveur traversé. « Afficher les valeurs brutes » montre le texte exact de l'en-tête derrière chaque ligne.
Où trouver les en-têtes d'un mail dans Gmail ou Outlook ?
Dans Gmail, ouvrez le message, utilisez le menu à trois points et choisissez « Afficher l'original », puis copiez le bloc d'en-têtes en haut. Dans Outlook, cherchez les propriétés ou les détails du message (Fichier, puis Propriétés, dans Outlook classique ; Affichage, puis Afficher les détails du message, dans le nouveau). Les noms de menus changent selon les versions.
Comment retrouver l'origine d'un mail ?
Regardez le Return-Path et la « Première IP publique du trajet » sur la carte « Vrai expéditeur ». Le Return-Path est défini par le serveur qui a réellement envoyé le message, et la première IP publique est la plus ancienne adresse extérieure des lignes Received. L'un et l'autre peuvent être ceux d'un service d'envoi plutôt que d'une personne, et un message falsifié peut truquer les lignes qu'il porte dès le départ : ce sont des indices, pas des preuves.
Peut-on trouver l'adresse IP de l'expéditeur d'un mail ?
On voit souvent une adresse IP, mais pas toujours celle de l'expéditeur lui-même. L'outil liste les adresses IP de chaque ligne Received et repère la première publique du trajet. Quand quelqu'un écrit via Gmail, Outlook ou un service de newsletters, cette adresse est celle du serveur de messagerie, pas de son téléphone ni de son ordinateur. L'outil ne cherche pas la localisation d'une IP.
Comment repérer un mail usurpé ?
Comparez les identités et lisez les résultats d'authentification. Une remarque s'affiche quand From et Return-Path sont sur des domaines différents, ou quand les réponses partent vers un autre domaine que celui de From. Regardez ensuite SPF, DKIM et DMARC : un « Échec » DMARC sur un message qui prétend venir d'une banque ou d'une personne que vous connaissez est un signal d'alerte. Des domaines différents sont normaux pour des newsletters : prenez ces remarques comme une invitation à regarder de plus près, pas comme un verdict.
Que veut dire un échec souple SPF ?
Un échec souple signifie que l'enregistrement SPF du domaine expéditeur indique que le serveur qui a livré le message n'est probablement pas autorisé, sans exiger son rejet. Les serveurs de réception acceptent souvent ces messages en les marquant : c'est donc un avertissement, pas la preuve d'une falsification. « Échec » est le résultat plus strict, et « Neutre » signifie que le domaine ne se prononce pas.
Pourquoi un en-tête affiche-t-il « Non vérifié », « Aucun » ou « Introuvable » ?
« Non vérifié » signifie qu'une signature DKIM est présente mais qu'aucun serveur n'a enregistré de résultat. « Aucun » signifie que le domaine n'a rien publié à vérifier. « Introuvable » veut dire que les en-têtes ne contiennent aucun résultat pour ce contrôle, ce qui arrive quand le serveur de réception n'en note pas ou quand une partie seulement des en-têtes a été collée. « Politique », « Erreur temporaire » et « Erreur permanente » sont des résultats écrits par le serveur lui-même.
Peut-on se fier aux lignes Authentication-Results d'un en-tête ?
Seulement à la plus haute, celle ajoutée par votre propre fournisseur de messagerie. Les lignes plus anciennes du trajet ont été écrites par d'autres serveurs et peuvent être falsifiées par l'expéditeur. Cet outil lit ces lignes telles qu'elles sont enregistrées ; il ne vérifie pas les signatures et n'interroge pas le DNS, il rapporte ce que votre fournisseur a déjà décidé.
L'outil est-il gratuit, et mes en-têtes sont-ils envoyés ?
L'outil est gratuit et ne demande aucun compte. Les en-têtes sont lus dans votre navigateur et ne sont ni envoyés ni enregistrés. Le texte collé est limité à 200 000 caractères, bien plus qu'un bloc d'en-têtes ordinaire.
Recommandés
-
Yubico Security Key C NFCUn faux e-mail repéré ? Protégez vos comptes avec une vraie clé physique.
-
YubiKey 5C NFCUne clé polyvalente pour vos connexions pro et admin, résistante au phishing.
-
Hub USB-C Belkin 4 ports (100 W)Plus de ports pour le portable qui sert à traquer les soucis de messagerie.
Aide à garder les outils gratuits. ✨
Images non contractuelles. En tant que Partenaire Amazon, je réalise un bénéfice sur les achats remplissant les conditions requises.
