Nagłówki wiadomości e-mail: odczyt i analiza
Wklej surowe nagłówki wiadomości, a zobaczysz, kto naprawdę ją wysłał, czy przeszła SPF, DKIM i DMARC oraz którędy szła od serwera do serwera. Narzędzie odczytuje to, co serwer odbierający już zapisał w nagłówkach. To pomoc w czytaniu, a nie wyrok, czy wiadomość jest bezpieczna.
Jak odczytać nagłówek maila krok po kroku
- W aplikacji pocztowej otwórz wiadomość, wybierz „Pokaż oryginał” lub „Wyświetl źródło” i skopiuj blok nagłówków (wszystko nad pustą linią przed treścią wiadomości).
- Wklej go w polu Surowe nagłówki e-mail (do 200 000 znaków). Przycisk Wyczyść opróżnia pole.
- Naciśnij Analizuj nagłówki. Jeśli nic w tekście nie przypomina nagłówka, dostaniesz informację i możesz wkleić jeszcze raz.
- Przeczytaj Wyniki: temat i datę, a potem karty Prawdziwy nadawca, Uwierzytelnianie i Trasa. Strzałka wstecz wraca do wklejonego tekstu, a Zacznij od nowa czyści wszystko.
Adres IP nadawcy maila: co możesz sprawdzić
Trzy adresy mogą się różnić i właśnie te różnice są najcenniejsze. Return-Path to miejsce, dokąd trafiają zwroty; ustawia go serwer, który naprawdę wysłał wiadomość. From to nazwa i adres widoczne w skrzynce odbiorczej. Reply-To wskazuje adres, na który pójdzie twoja odpowiedź, a Sender pojawia się, gdy wiadomość wysłano w imieniu adresu z From. Karta pokazuje też Pierwszy publiczny adres IP na trasie.
Pod spodem mogą się pojawić dwie uwagi. „From i Return-Path są w tej samej domenie” to przypadek oczekiwany. „From i Return-Path są w różnych domenach” to sygnał, żeby przyjrzeć się bliżej, choć usługi newsletterów i mailingów robią tak zgodnie z regułami. Przy „Odpowiedzi trafią do innej domeny niż ta w From” warto spojrzeć drugi raz, zanim odpowiesz.
SPF, DKIM i DMARC: wyniki objaśnione
Karta Uwierzytelnianie pokazuje każde sprawdzenie jako odznakę, a do tego zapisane właściwości, takie jak smtp.mailfrom, header.d i header.from. SPF pyta, czy serwer wysyłający mógł wysyłać w imieniu domeny, DKIM – czy wiadomość jest podpisana i podpis się zgadza, a DMARC – czy własna polityka domeny akceptuje wiadomość.
- Zaliczony: serwer odbierający wykonał sprawdzenie i zakończyło się sukcesem.
- Niezaliczony: sprawdzenie się nie powiodło; serwer nie był upoważniony albo podpis się nie zgadzał.
- Softfail: tylko SPF; serwer prawdopodobnie nie jest upoważniony, ale domena nie żąda odrzucenia.
- Neutralny: domena nie wypowiada się w żadną stronę.
- Brak: domena nie opublikowała niczego do porównania.
- Błąd tymczasowy i Błąd trwały: serwer nie dokończył sprawdzenia, na przykład z powodu przekroczenia czasu zapytania DNS lub uszkodzonego rekordu.
- Polityka: wynik zadecydowała własna polityka serwera odbierającego.
- Niezweryfikowany: podpis DKIM jest obecny, ale żaden serwer nie zapisał jego wyniku.
- Nie znaleziono: nagłówki nie zawierają wyniku tego sprawdzenia.
Wyniki pochodzą z najwyższego nagłówka Authentication-Results, także w odmianie Outlooka bez identyfikatora serwera. Gdy go nie ma, SPF sięga po Received-SPF, a DKIM po nagłówek DKIM-Signature.
Skąd przyszedł mail: czytanie trasy (linie Received)
Każdy serwer, który obsłużył wiadomość, dodaje na górze linię Received. Karta Trasa odwraca ich kolejność, żeby najstarszy przystanek był pierwszy, i pokazuje dla każdego serwer wysyłający (od), jego adresy IP, serwer odbierający (przez), protokół, czas w UTC oraz to, ile minęło od poprzedniego przystanku. Podsumowanie podaje liczbę serwerów i łączny czas w drodze.
Długa przerwa między dwoma przystankami pokazuje, gdzie wiadomość czekała, na przykład w kolejce albo w filtrze antyspamowym. Pokaż surowe wartości ujawnia dokładny tekst nagłówka pod każdym wierszem.
Źródło wiadomości Outlook i Gmail
W Gmailu otwórz wiadomość, użyj menu z trzema kropkami, wybierz „Pokaż oryginał” i skopiuj blok nagłówków na górze. Żeby zobaczyć źródło wiadomości w Outlooku, poszukaj właściwości lub szczegółów wiadomości (w klasycznym Outlooku: Plik, potem Właściwości; w nowym: Widok, potem Wyświetl szczegóły wiadomości). Nazwy menu zmieniają się między wersjami, a większość innych aplikacji pocztowych ma podobną opcję podglądu źródła.
Czego to narzędzie nie potrafi
Nie weryfikuje podpisów i nic nie sprawdza w DNS. Podaje wyniki, które serwer pocztowy odbiorcy zapisał w nagłówkach. Sfałszowana wiadomość może przyjść z fałszywymi liniami Authentication-Results, więc wiarygodna jest tylko najwyższa, dodana przez twojego dostawcę; linie sprzed niej napisał ktoś inny i mogą być podrobione. Narzędzie nie gwarantuje, że wiadomość jest bezpieczna albo niebezpieczna, i nie sprawdza, gdzie znajduje się adres IP.
Twoje nagłówki są odczytywane w przeglądarce. Nic nie jest wysyłane ani zapisywane. Ucięte lub uszkodzone nagłówki są obsługiwane bez błędów: złożone linie oraz zakodowane nazwy i tematy są dekodowane, a czytanie kończy się na pustej linii przed treścią wiadomości.
Najczęstsze pytania
Jak odczytać nagłówek maila?
Skopiuj cały blok nagłówków z wiadomości, wklej go w „Surowe nagłówki e-mail” i naciśnij „Analizuj nagłówki”. Ekran wyników porządkuje najważniejsze linie: kartę „Prawdziwy nadawca” (Return-Path, From, Reply-To), kartę „Uwierzytelnianie” (SPF, DKIM, DMARC) i kartę „Trasa” z każdym serwerem, przez który przeszła wiadomość. „Pokaż surowe wartości” pokazuje dokładny tekst nagłówka za każdym wierszem.
Gdzie znaleźć nagłówki wiadomości w Gmailu lub Outlooku?
W Gmailu otwórz wiadomość, użyj menu z trzema kropkami i wybierz „Pokaż oryginał”, a potem skopiuj blok nagłówków u góry. W Outlooku poszukaj właściwości lub szczegółów wiadomości (Plik, potem Właściwości – w klasycznym; Widok, potem Wyświetl szczegóły wiadomości – w nowym). Nazwy menu zmieniają się między wersjami.
Skąd przyszedł mail i jak to sprawdzić?
Sprawdź Return-Path i „Pierwszy publiczny adres IP na trasie” na karcie „Prawdziwy nadawca”. Return-Path ustawia serwer, który naprawdę wysłał wiadomość, a pierwszy publiczny adres IP to najwcześniejszy zewnętrzny adres w liniach Received. Oba mogą należeć do usługi pocztowej, a nie do osoby, a sfałszowana wiadomość może podrobić linie, które niesie od początku. Traktuj je jako wskazówki, nie dowód.
Jak sprawdzić adres IP nadawcy maila?
Często widać jakiś adres IP, ale nie zawsze jest to adres samego nadawcy. Narzędzie wylicza adresy IP z każdej linii Received i oznacza pierwszy publiczny na trasie. Gdy ktoś wysyła przez Gmaila, Outlooka albo usługę newsletterów, ten adres należy do serwera pocztowego, a nie do jego telefonu czy komputera. Narzędzie nie sprawdza lokalizacji adresu IP.
Jak sprawdzić, czy e-mail jest sfałszowany?
Porównaj tożsamości i przeczytaj wyniki uwierzytelniania. Pojawia się uwaga, gdy From i Return-Path są w różnych domenach albo gdy odpowiedzi trafiają do innej domeny niż ta w From. Potem spójrz na SPF, DKIM i DMARC: „Niezaliczony” przy DMARC w wiadomości, która podaje się za bank albo znaną ci osobę, to sygnał alarmowy. W newsletterach różne domeny są normalne, więc traktuj uwagi jako powód, by przyjrzeć się bliżej, a nie wyrok.
Czym jest SPF softfail?
Softfail oznacza, że rekord SPF domeny nadawcy wskazuje, iż serwer, który dostarczył wiadomość, prawdopodobnie nie jest upoważniony, ale nie żąda jej odrzucenia. Serwery odbierające często przyjmują taką pocztę i ją oznaczają, więc softfail to ostrzeżenie, a nie dowód podrobienia. „Niezaliczony” to wynik surowszy, a „Neutralny” oznacza, że domena nie wypowiada się w żadną stronę.
Dlaczego w nagłówku widać „Niezweryfikowany”, „Brak” lub „Nie znaleziono”?
„Niezweryfikowany” znaczy, że podpis DKIM jest obecny, ale żaden serwer nie zapisał jego wyniku. „Brak” oznacza, że domena nie opublikowała niczego do porównania. „Nie znaleziono” znaczy, że nagłówki w ogóle nie zawierają wyniku tego sprawdzenia, co zdarza się, gdy serwer odbierający go nie zapisuje albo wklejono tylko część nagłówków. „Polityka”, „Błąd tymczasowy” i „Błąd trwały” to wyniki zapisane przez sam serwer.
Czy mogę ufać liniom Authentication-Results w nagłówku?
Tylko najwyższej, dodanej przez twojego dostawcę poczty. Linie z wcześniejszych etapów trasy napisały inne serwery i nadawca może je podrobić. To narzędzie odczytuje te linie tak, jak zostały zapisane; nie sprawdza podpisów ani nie odpytuje DNS, tylko podaje to, co twój dostawca już zdecydował.
Czy narzędzie jest darmowe i czy moje nagłówki są wysyłane?
Jest darmowe i nie wymaga konta. Nagłówki są odczytywane w twojej przeglądarce i nie są wysyłane ani zapisywane. Wklejany tekst jest ograniczony do 200 000 znaków, czyli znacznie więcej niż zwykły blok nagłówków.
Polecane
-
Yubico Security Key C NFCWykryłeś fałszywy e-mail? Zabezpiecz konta fizycznym kluczem.
-
YubiKey 5C NFCWszechstronny klucz do logowania administratora i do pracy, odporny na phishing.
-
Hub USB-C Belkin 4 porty (100 W)Więcej portów w laptopie, na którym szukasz problemów z pocztą.
Pomaga utrzymać narzędzia za darmo. ✨
Zdjęcia poglądowe. Jestem Partnerem Amazon i otrzymuję wynagrodzenie z tytułu określonych zakupów dokonywanych za moim pośrednictwem.
