Leggere header email
Incolla le intestazioni grezze di un messaggio e vedi chi lo ha inviato davvero, se SPF, DKIM e DMARC sono stati superati e il percorso fatto da un server all'altro. Lo strumento legge ciò che il server di ricezione ha già annotato nelle intestazioni: è un aiuto alla lettura, non un verdetto sulla sicurezza del messaggio.
Come leggere gli header di un'email, passo dopo passo
- Nella tua app di posta apri il messaggio, scegli «Mostra originale» o «Visualizza sorgente» e copia il blocco di intestazioni (tutto ciò che sta sopra la riga vuota prima del corpo del messaggio).
- Incollalo in Intestazioni email grezze (fino a 200.000 caratteri). Cancella svuota il campo.
- Premi Analizza intestazioni. Se nel testo non c'è nulla che somigli a un'intestazione, lo strumento te lo dice e puoi incollare di nuovo.
- Leggi i Risultati: oggetto e data, poi le schede Mittente reale, Autenticazione e Percorso. La freccia indietro riporta al testo incollato, Ricomincia cancella tutto.
Indirizzo IP mittente email: cosa puoi scoprire
Tre indirizzi possono essere diversi, e le differenze sono la parte utile. Return-Path è il punto in cui arrivano i rimbalzi ed è impostato dal server che ha davvero inviato il messaggio. From è il nome e l'indirizzo mostrati nella tua posta in arrivo. Reply-To è dove andrà la tua risposta, e Sender compare quando il messaggio è stato inviato per conto dell'indirizzo From. La scheda mostra anche il Primo IP pubblico nel percorso.
Sotto possono comparire due note. «From e Return-Path sono sullo stesso dominio» è il caso atteso. «From e Return-Path sono su domini diversi» è un invito a guardare meglio, anche se i servizi di newsletter e di invio massivo lo fanno legittimamente. «Le risposte vanno a un dominio diverso da quello in From» merita una seconda occhiata prima di rispondere.
Risultati di SPF, DKIM e DMARC
La scheda Autenticazione mostra ogni controllo come un badge, più le proprietà registrate come smtp.mailfrom, header.d e header.from. SPF chiede se il server mittente poteva inviare per il dominio, DKIM se il messaggio è firmato e la firma è valida, DMARC se il criterio del dominio accetta il messaggio.
- Superato: il server di ricezione ha eseguito il controllo e ha avuto esito positivo.
- Fallito: il controllo non è riuscito; il server non era autorizzato o la firma non corrispondeva.
- Fallimento lieve: solo per SPF; il server probabilmente non è autorizzato, ma il dominio non chiede il rifiuto.
- Neutro: il dominio non dichiara nulla in un senso o nell'altro.
- Nessuno: il dominio non ha pubblicato nulla con cui confrontare.
- Errore temporaneo ed Errore permanente: il server non ha potuto completare il controllo, per esempio per una ricerca DNS scaduta o un record errato.
- Criterio: il risultato è stato deciso dal criterio del server di ricezione.
- Non verificato: c'è una firma DKIM, ma nessun server ne ha registrato il risultato.
- Non trovato: le intestazioni non contengono alcun risultato per quel controllo.
I risultati arrivano dall'intestazione Authentication-Results più in alto, compreso lo stile Outlook senza ID del server. Se manca, SPF ripiega su Received-SPF e DKIM sull'intestazione DKIM-Signature.
Il percorso dell'email: le righe Received
Ogni server che gestisce il messaggio aggiunge in cima una riga Received. La scheda Percorso le inverte, così il passaggio più vecchio viene per primo, e per ogni passaggio mostra il server mittente (da), i suoi indirizzi IP, il server ricevente (presso), il protocollo, l'ora in UTC e quanto tempo dopo il passaggio precedente. La riga di riepilogo indica il numero di server e il tempo totale in transito.
Un ritardo lungo tra due passaggi mostra dove il messaggio è rimasto in attesa, per esempio in una coda o in un filtro antispam. Mostra valori grezzi rivela il testo esatto dell'intestazione sotto ogni riga.
Dove trovare le intestazioni in Gmail e Outlook
In Gmail apri il messaggio, usa il menu con i tre puntini, scegli «Mostra originale» e copia il blocco di intestazioni in alto. In Outlook cerca le proprietà o i dettagli del messaggio (in Outlook classico: File, poi Proprietà; nel nuovo Outlook: Visualizza, poi Visualizza dettagli messaggio). I nomi dei menu cambiano da una versione all'altra, e quasi tutte le altre app di posta hanno un'opzione simile per vedere il sorgente.
Cosa non può fare questo strumento
Non verifica le firme e non consulta il DNS. Riporta i risultati che il server di posta ricevente ha scritto nelle intestazioni. Un messaggio falsificato può arrivare con righe Authentication-Results false: l'unica affidabile è quella più in alto, aggiunta dal tuo provider; quelle precedenti sono state scritte da altri e possono essere false. Non garantisce che un messaggio sia sicuro o pericoloso e non cerca dove si trovi un indirizzo IP.
Le tue intestazioni vengono lette nel tuo browser. Non viene caricato né salvato nulla. Le intestazioni troncate o malformate sono gestite senza errori: le righe ripiegate e i nomi e gli oggetti codificati vengono decodificati, e la lettura si ferma alla riga vuota prima del corpo del messaggio.
Domande frequenti
Come si fa a leggere gli header di un'email?
Copia l'intero blocco di intestazioni dal messaggio, incollalo in «Intestazioni email grezze» e premi «Analizza intestazioni». La schermata dei risultati mette in ordine le righe che contano: la scheda «Mittente reale» (Return-Path, From, Reply-To), la scheda «Autenticazione» (SPF, DKIM, DMARC) e la scheda «Percorso» con ogni server attraversato. Con «Mostra valori grezzi» vedi il testo esatto dell'intestazione dietro ogni riga.
Dove trovo le intestazioni di un'email in Gmail o Outlook?
In Gmail apri il messaggio, usa il menu con i tre puntini e scegli «Mostra originale», poi copia il blocco di intestazioni in alto. In Outlook cerca le proprietà o i dettagli del messaggio (File, poi Proprietà, in quello classico; Visualizza, poi Visualizza dettagli messaggio, nel nuovo). I nomi dei menu cambiano secondo la versione.
Come posso vedere da dove arriva davvero un'email?
Guarda il Return-Path e il «Primo IP pubblico nel percorso» nella scheda «Mittente reale». Il Return-Path è impostato dal server che ha inviato davvero il messaggio, e il primo IP pubblico è l'indirizzo esterno più vecchio tra le righe Received. Entrambi possono appartenere a un servizio di posta invece che a una persona, e un messaggio falsificato può truccare le righe che porta con sé fin dall'inizio: sono indizi, non prove.
Posso trovare l'indirizzo IP del mittente di un'email?
Spesso si vede un IP, ma non sempre è quello del mittente. Lo strumento elenca gli indirizzi IP di ogni riga Received e segna il primo pubblico del percorso. Quando qualcuno scrive da Gmail, Outlook o da un servizio di newsletter, quell'indirizzo appartiene al server di posta, non al suo telefono o computer. Lo strumento non cerca la posizione di un IP.
Come capisco se un'email è contraffatta?
Confronta le identità e leggi i risultati di autenticazione. Compare una nota quando From e Return-Path sono su domini diversi, oppure quando le risposte vanno a un dominio diverso da quello in From. Poi guarda SPF, DKIM e DMARC: un «Fallito» su DMARC per un messaggio che dice di arrivare da una banca o da una persona che conosci è un campanello d'allarme. Domini diversi sono normali nelle newsletter, quindi usa le note come spunto per guardare meglio, non come verdetto.
Che cos'è un fallimento lieve di SPF?
Un fallimento lieve significa che il record SPF del dominio mittente indica che il server che ha consegnato il messaggio probabilmente non è autorizzato, ma non chiede di rifiutarlo. I server riceventi spesso accettano questa posta e la contrassegnano, quindi è un avviso, non una prova di falsificazione. «Fallito» è il risultato più severo e «Neutro» significa che il dominio non dichiara nulla.
Perché un header mostra «Non verificato», «Nessuno» o «Non trovato»?
«Non verificato» significa che c'è una firma DKIM ma nessun server ne ha registrato il risultato. «Nessuno» vuol dire che il dominio non ha pubblicato nulla con cui confrontare. «Non trovato» significa che le intestazioni non contengono alcun risultato per quel controllo: succede quando il server ricevente non ne annota uno o quando è stata incollata solo una parte delle intestazioni. «Criterio», «Errore temporaneo» ed «Errore permanente» sono risultati scritti dal server stesso.
Posso fidarmi delle righe Authentication-Results di un'intestazione?
Solo di quella più in alto, aggiunta dal tuo provider di posta. Le righe più vecchie del percorso sono state scritte da altri server e possono essere falsificate da chi ha inviato il messaggio. Questo strumento legge quelle righe così come sono registrate; non controlla le firme e non interroga il DNS, riporta ciò che il tuo provider ha già deciso.
Lo strumento è gratuito e le mie intestazioni vengono caricate?
È gratuito e non richiede un account. Le intestazioni vengono lette nel tuo browser e non vengono caricate né salvate. Il testo incollato è limitato a 200.000 caratteri, molto più di un normale blocco di intestazioni.
Consigliati
-
Yubico Security Key C NFCHai scoperto una mail falsa? Proteggi i tuoi account con una chiave fisica.
-
YubiKey 5C NFCUna chiave versatile per accessi da amministratore e di lavoro, a prova di phishing.
-
Hub USB-C Belkin a 4 porte (100 W)Più porte per il portatile con cui indaghi sui problemi di posta.
Aiuta a mantenere gratuiti gli strumenti. ✨
Le immagini sono solo a scopo illustrativo. In qualità di Affiliato Amazon io ricevo un guadagno dagli acquisti idonei.
