Analisar cabeçalho de e-mail
Cole os cabeçalhos brutos de uma mensagem e veja quem realmente a enviou, se SPF, DKIM e DMARC passaram e o caminho que ela fez de servidor em servidor. A ferramenta lê o que o servidor de recebimento já registrou nos cabeçalhos. É um apoio à leitura, não um veredito sobre a mensagem ser segura.
Como analisar cabeçalho de e-mail, passo a passo
- No seu app de e-mail, abra a mensagem, escolha “Mostrar original” ou “Ver código-fonte” e copie o bloco de cabeçalhos (tudo o que fica acima da linha em branco antes do corpo da mensagem).
- Cole em Cabeçalhos de e-mail brutos (até 200.000 caracteres). Limpar esvazia o campo.
- Selecione Analisar cabeçalhos. Se nada no texto parecer um cabeçalho, você será avisado e poderá colar de novo.
- Leia os Resultados: assunto e data, depois os cartões Remetente real, Autenticação e Rota. A seta de voltar leva ao texto colado, e Recomeçar apaga tudo.
Cabeçalho de e-mail no Outlook e no Gmail
No Gmail, abra a mensagem, use o menu de três pontos, escolha “Mostrar original” e copie o bloco de cabeçalhos no topo. No Outlook, procure as propriedades ou os detalhes da mensagem (no Outlook clássico: Arquivo, depois Propriedades; no novo: Exibir, depois Exibir detalhes da mensagem). Os nomes dos menus mudam entre versões, e a maioria dos outros apps de e-mail tem uma opção parecida para ver o código-fonte.
Como saber se um e-mail é falso: o cartão Remetente real
Três endereços podem ser diferentes, e as diferenças são a parte útil. Return-Path é para onde vão as devoluções e é definido pelo servidor que realmente enviou a mensagem. From é o nome e o endereço exibidos na sua caixa de entrada. Reply-To é para onde vai a sua resposta, e Sender aparece quando a mensagem foi enviada em nome do endereço de From. O cartão também mostra o Primeiro IP público da rota.
Abaixo podem aparecer duas observações. “From e Return-Path estão no mesmo domínio” é o caso esperado. “From e Return-Path estão em domínios diferentes” é um aviso para olhar com mais atenção, embora serviços de newsletter e de envio em massa façam isso legitimamente. “As respostas vão para um domínio diferente do que está em From” merece uma segunda olhada antes de você responder.
Verificar SPF, DKIM e DMARC
O cartão Autenticação mostra cada verificação como um selo, além das propriedades registradas, como smtp.mailfrom, header.d e header.from. O SPF pergunta se o servidor de envio podia enviar pelo domínio, o DKIM se a mensagem está assinada e a assinatura confere, e o DMARC se a política do próprio domínio aceita a mensagem.
- Aprovado: o servidor de recebimento fez a verificação e ela deu certo.
- Reprovado: a verificação falhou; o servidor não estava autorizado ou a assinatura não conferiu.
- Falha branda: só no SPF; o servidor provavelmente não está autorizado, mas o domínio não exige rejeição.
- Neutro: o domínio não afirma nada, para nenhum lado.
- Nenhum: o domínio não publicou nada para comparar.
- Erro temporário e Erro permanente: o servidor não conseguiu concluir a verificação, por exemplo porque uma consulta DNS expirou ou o registro está quebrado.
- Política: o resultado foi decidido pela política do próprio servidor de recebimento.
- Não verificado: há uma assinatura DKIM, mas nenhum servidor registrou um resultado para ela.
- Não encontrado: os cabeçalhos não trazem resultado para essa verificação.
Os resultados vêm do cabeçalho Authentication-Results mais alto, inclusive no estilo do Outlook sem id de servidor. Se não houver nenhum, o SPF recorre ao Received-SPF e o DKIM ao cabeçalho DKIM-Signature.
De onde veio o e-mail: a rota (cabeçalhos Received)
Cada servidor que lida com a mensagem adiciona uma linha Received no topo. O cartão Rota inverte essas linhas para que o salto mais antigo venha primeiro e mostra, para cada salto, o servidor de envio (de), seus endereços IP, o servidor de recebimento (por), o protocolo, a hora em UTC e quanto tempo depois do salto anterior ele ocorreu. A linha de resumo informa o número de servidores e o tempo total em trânsito.
Um atraso longo entre dois saltos mostra onde a mensagem ficou esperando, por exemplo em uma fila ou em um filtro de spam. Mostrar valores brutos revela o texto exato do cabeçalho sob cada linha.
O que esta ferramenta não faz
Ela não verifica assinaturas nem consulta o DNS. Informa os resultados que o servidor de recebimento escreveu nos cabeçalhos. Uma mensagem falsificada pode chegar com linhas Authentication-Results falsas; por isso só a mais alta, adicionada pelo seu próprio provedor, é confiável. As linhas anteriores foram escritas por outros e podem ser falsas. A ferramenta não garante que uma mensagem seja segura ou insegura e não procura onde fica um endereço IP.
Seus cabeçalhos são lidos no seu navegador. Nada é enviado nem salvo. Cabeçalhos truncados ou malformados são tratados sem erros: linhas dobradas e nomes e assuntos codificados são decodificados, e a leitura termina na linha em branco antes do corpo da mensagem.
Perguntas frequentes
Como ler o cabeçalho de um e-mail?
Copie o bloco completo de cabeçalhos da mensagem, cole em “Cabeçalhos de e-mail brutos” e selecione “Analisar cabeçalhos”. A tela de resultados organiza as linhas que importam: o cartão “Remetente real” (Return-Path, From, Reply-To), o cartão “Autenticação” (SPF, DKIM, DMARC) e o cartão “Rota” com todos os servidores por onde a mensagem passou. “Mostrar valores brutos” exibe o texto exato do cabeçalho por trás de cada linha.
Onde encontro o cabeçalho do e-mail no Gmail ou no Outlook?
No Gmail, abra a mensagem, use o menu de três pontos e escolha “Mostrar original”; depois copie o bloco de cabeçalhos no topo. No Outlook, procure as propriedades ou os detalhes da mensagem (Arquivo, depois Propriedades, no clássico; Exibir, depois Exibir detalhes da mensagem, no novo). Os nomes dos menus mudam entre versões.
De onde veio o e-mail de verdade?
Veja o Return-Path e o “Primeiro IP público da rota” no cartão “Remetente real”. O Return-Path é definido pelo servidor que realmente enviou a mensagem, e o primeiro IP público é o endereço externo mais antigo nas linhas Received. Os dois podem ser de um serviço de e-mail e não de uma pessoa, e uma mensagem falsificada pode forjar as linhas que traz desde o início. Trate-os como pistas, não como prova.
Dá para descobrir o IP de quem enviou o e-mail?
Muitas vezes aparece um IP, mas nem sempre é o do remetente. A ferramenta lista os endereços IP de cada linha Received e marca o primeiro público da rota. Quando alguém envia pelo Gmail, pelo Outlook ou por um serviço de newsletter, esse endereço pertence ao servidor de e-mail, não ao celular ou ao computador da pessoa. A ferramenta não procura a localização de um IP.
Como saber se um e-mail é falso?
Compare as identidades e leia os resultados de autenticação. Uma observação aparece quando From e Return-Path estão em domínios diferentes ou quando as respostas vão para um domínio diferente do que está em From. Depois veja SPF, DKIM e DMARC: “Reprovado” no DMARC em uma mensagem que diz vir de um banco ou de alguém que você conhece é sinal de alerta. Domínios diferentes são normais em newsletters, então use as observações como motivo para olhar com mais atenção, não como veredito.
O que é uma falha branda de SPF?
Falha branda significa que o registro SPF do domínio remetente indica que o servidor que entregou a mensagem provavelmente não está autorizado, mas sem exigir que ela seja rejeitada. Os servidores de recebimento costumam aceitar esse e-mail e marcá-lo, então a falha branda é um aviso, não prova de falsificação. “Reprovado” é o resultado mais rígido, e “Neutro” significa que o domínio não afirma nada.
Por que o cabeçalho mostra “Não verificado”, “Nenhum” ou “Não encontrado”?
“Não verificado” significa que há uma assinatura DKIM, mas nenhum servidor registrou um resultado para ela. “Nenhum” indica que o domínio não publicou nada para comparar. “Não encontrado” quer dizer que os cabeçalhos não trazem nenhum resultado para essa verificação, o que acontece quando o servidor de recebimento não registra um ou quando só parte dos cabeçalhos foi colada. “Política”, “Erro temporário” e “Erro permanente” são resultados escritos pelo próprio servidor.
Posso confiar nas linhas Authentication-Results do cabeçalho?
Só na mais alta, adicionada pelo seu próprio provedor de e-mail. As linhas de etapas anteriores da rota foram escritas por outros servidores e podem ser forjadas por quem enviou a mensagem. Esta ferramenta lê essas linhas como foram registradas; ela não verifica assinaturas nem consulta o DNS, apenas informa o que o seu provedor já decidiu.
A ferramenta é grátis e meus cabeçalhos são enviados?
É grátis e não pede conta. Os cabeçalhos são lidos no seu navegador e não são enviados nem salvos. O texto colado é limitado a 200.000 caracteres, muito mais do que um bloco de cabeçalhos comum.
