Cách nhận biết email giả mạo qua header
Dán header thô của một email, bạn sẽ thấy ai thực sự đã gửi nó, SPF, DKIM và DMARC có đạt hay không, và thư đã đi qua những máy chủ nào. Công cụ này đọc những gì máy chủ nhận đã ghi sẵn trong header, nên nó giúp bạn nhận biết email giả mạo hay không chỉ ở mức gợi ý, chứ không phải phán quyết thư có an toàn hay không.
Hướng dẫn từng bước với header của email
- Trong ứng dụng email, mở thư, chọn “Hiển thị bản gốc” hoặc “Xem nguồn”, rồi sao chép khối header (mọi thứ nằm phía trên dòng trống trước phần nội dung thư).
- Dán vào ô Header email thô (tối đa 200.000 ký tự). Nút Xóa sẽ làm trống ô này.
- Nhấn Phân tích header. Nếu không có gì trong văn bản giống một header, bạn sẽ được báo và có thể dán lại.
- Đọc phần Kết quả: tiêu đề thư và ngày gửi, rồi đến các thẻ Người gửi thật, Xác thực và Lộ trình. Mũi tên quay lại đưa bạn về văn bản đã dán, còn Bắt đầu lại xóa tất cả.
Thẻ Người gửi thật cho biết điều gì
Ba địa chỉ có thể khác nhau, và chính những điểm khác nhau đó mới hữu ích. Return-Path là nơi thư báo lỗi trả lại được gửi tới, do máy chủ thực sự gửi thư đặt ra. From là tên và địa chỉ hiển thị trong hộp thư đến của bạn. Reply-To là nơi thư trả lời của bạn sẽ được gửi tới, còn Sender xuất hiện khi thư được gửi thay mặt cho địa chỉ From. Thẻ này cũng hiển thị IP công khai đầu tiên trong lộ trình.
Bên dưới có thể hiện hai ghi chú. “From và Return-Path thuộc cùng một tên miền” là trường hợp bình thường. “From và Return-Path thuộc hai tên miền khác nhau” là dấu hiệu nên xem kỹ hơn, dù dịch vụ bản tin và gửi thư hàng loạt làm vậy là hợp lệ. “Thư trả lời sẽ gửi tới một tên miền khác với tên miền trong From” đáng để bạn xem lại lần nữa trước khi trả lời.
Kết quả SPF, DKIM và DMARC
Thẻ Xác thực hiển thị từng bước kiểm tra dưới dạng huy hiệu, cùng các thuộc tính đã ghi như smtp.mailfrom, header.d và header.from. SPF hỏi máy chủ gửi có được phép gửi thay mặt tên miền không, DKIM hỏi thư có được ký và chữ ký có hợp lệ không, còn DMARC hỏi chính sách của chính tên miền có chấp nhận thư không.
- Đạt: máy chủ nhận đã chạy bước kiểm tra và kết quả thành công.
- Không đạt: bước kiểm tra thất bại; máy chủ không được phép hoặc chữ ký không khớp.
- Không đạt (mềm): chỉ có ở SPF; máy chủ nhiều khả năng không được phép, nhưng tên miền không yêu cầu từ chối.
- Trung lập: tên miền không khẳng định gì cả.
- Không có: tên miền không công bố gì để đối chiếu.
- Lỗi tạm thời và Lỗi vĩnh viễn: máy chủ không hoàn tất được bước kiểm tra, ví dụ do tra cứu DNS quá hạn hoặc bản ghi bị hỏng.
- Chính sách: kết quả do chính sách riêng của máy chủ nhận quyết định.
- Chưa xác minh: có chữ ký DKIM, nhưng không máy chủ nào ghi lại kết quả cho nó.
- Không tìm thấy: header không có kết quả cho bước kiểm tra đó.
Kết quả lấy từ header Authentication-Results trên cùng, kể cả kiểu Outlook không có mã máy chủ. Nếu không có, SPF dùng Received-SPF và DKIM dùng header DKIM-Signature.
Lộ trình của thư qua các dòng Received
Mỗi máy chủ xử lý thư sẽ thêm một dòng Received lên trên cùng. Thẻ Lộ trình đảo thứ tự các dòng đó để chặng cũ nhất hiện đầu tiên, và với mỗi chặng cho biết máy chủ gửi (từ), các địa chỉ IP của nó, máy chủ nhận (qua), giao thức, giờ theo UTC và thời gian sau chặng trước. Dòng tóm tắt cho biết số máy chủ và tổng thời gian thư đi trên đường.
Một độ trễ dài giữa hai chặng cho thấy thư đã nằm chờ ở đâu, chẳng hạn trong hàng đợi hoặc bộ lọc thư rác. Hiện giá trị thô hiển thị nguyên văn header dưới từng dòng.
Tìm header trong Gmail và Outlook
Trong Gmail, mở thư, dùng menu ba chấm, chọn “Hiển thị bản gốc” rồi sao chép khối header ở đầu trang. Trong Outlook, hãy tìm phần thuộc tính hoặc chi tiết thư (Outlook cổ điển: File, rồi Properties; Outlook mới: View, rồi View message details). Tên menu thay đổi theo từng phiên bản, và hầu hết ứng dụng email khác đều có tùy chọn tương tự để mở nguồn thư.
Những gì công cụ này không làm được
Công cụ không xác minh chữ ký và không tra cứu gì trong DNS. Nó chỉ báo lại các kết quả mà máy chủ nhận đã ghi vào header. Một thư giả mạo có thể đến cùng các dòng Authentication-Results giả, nên chỉ dòng trên cùng, do nhà cung cấp email của bạn thêm vào, mới đáng tin; những dòng trước đó do người khác viết và có thể bị làm giả. Công cụ không đảm bảo thư an toàn hay không an toàn, và không tra cứu vị trí của một địa chỉ IP.
Header của bạn được đọc ngay trong trình duyệt. Không có gì được tải lên hay lưu lại. Header bị cắt cụt hoặc sai định dạng vẫn được xử lý không lỗi: các dòng bị gập và tên, tiêu đề đã mã hóa được giải mã, và việc đọc dừng ở dòng trống trước nội dung thư.
Câu hỏi thường gặp
Làm sao để đọc header của một email?
Sao chép toàn bộ khối header từ thư, dán vào “Header email thô” rồi nhấn “Phân tích header”. Màn hình kết quả sắp xếp các dòng quan trọng: thẻ “Người gửi thật” (Return-Path, From, Reply-To), thẻ “Xác thực” (SPF, DKIM, DMARC) và thẻ “Lộ trình” với mọi máy chủ mà thư đã đi qua. “Hiện giá trị thô” cho bạn thấy nguyên văn header đằng sau từng dòng.
Tìm header của email trong Gmail hoặc Outlook ở đâu?
Trong Gmail, mở thư, dùng menu ba chấm và chọn “Hiển thị bản gốc”, rồi sao chép khối header ở đầu trang. Trong Outlook, hãy tìm thuộc tính hoặc chi tiết thư (File, rồi Properties, ở bản cổ điển; View, rồi View message details, ở bản mới). Tên menu thay đổi theo phiên bản.
Làm sao biết một email thực sự đến từ đâu?
Hãy xem Return-Path và “IP công khai đầu tiên trong lộ trình” trên thẻ “Người gửi thật”. Return-Path do máy chủ thực sự gửi thư đặt ra, còn IP công khai đầu tiên là địa chỉ bên ngoài sớm nhất trong các dòng Received. Cả hai có thể thuộc về một dịch vụ email chứ không phải một người, và thư giả mạo có thể làm giả những dòng mà nó mang theo ngay từ đầu, nên hãy xem chúng là manh mối, không phải bằng chứng.
Có thể biết địa chỉ IP của người gửi từ header không?
Thường bạn thấy một địa chỉ IP, nhưng không phải lúc nào cũng là của chính người gửi. Công cụ liệt kê các địa chỉ IP trong từng dòng Received và đánh dấu địa chỉ công khai đầu tiên trong lộ trình. Khi ai đó gửi qua Gmail, Outlook hoặc dịch vụ bản tin, địa chỉ đó thuộc về máy chủ email, không phải điện thoại hay máy tính của họ. Công cụ không tra cứu vị trí của một địa chỉ IP.
Làm sao để biết email có bị giả mạo (spoof) không?
Hãy so sánh các danh tính và đọc kết quả xác thực. Một ghi chú cảnh báo xuất hiện khi From và Return-Path thuộc hai tên miền khác nhau, hoặc khi thư trả lời gửi tới một tên miền khác với tên miền trong From. Sau đó xem SPF, DKIM và DMARC: “Không đạt” ở DMARC với một thư tự nhận là của ngân hàng hay người bạn quen là dấu hiệu đáng ngờ. Tên miền khác nhau là bình thường với bản tin, nên hãy xem các ghi chú là lời nhắc xem kỹ hơn, không phải phán quyết.
SPF không đạt (mềm) nghĩa là gì?
Không đạt (mềm) nghĩa là bản ghi SPF của tên miền gửi cho biết máy chủ đã chuyển thư nhiều khả năng không được phép, nhưng không yêu cầu từ chối. Máy chủ nhận thường vẫn nhận loại thư này và đánh dấu nó, nên đây là lời cảnh báo chứ không phải bằng chứng giả mạo. “Không đạt” là kết quả nghiêm ngặt hơn, còn “Trung lập” nghĩa là tên miền không khẳng định gì.
Vì sao header hiện “Chưa xác minh”, “Không có” hoặc “Không tìm thấy”?
“Chưa xác minh” nghĩa là có chữ ký DKIM nhưng không máy chủ nào ghi lại kết quả cho nó. “Không có” nghĩa là tên miền không công bố gì để đối chiếu. “Không tìm thấy” nghĩa là header hoàn toàn không có kết quả cho bước kiểm tra đó, điều này xảy ra khi máy chủ nhận không ghi hoặc khi bạn chỉ dán một phần header. “Chính sách”, “Lỗi tạm thời” và “Lỗi vĩnh viễn” là các kết quả do chính máy chủ ghi.
Có thể tin các dòng Authentication-Results trong header không?
Chỉ nên tin dòng trên cùng, do nhà cung cấp email của bạn thêm vào. Các dòng trước đó trên lộ trình do máy chủ khác viết và người gửi thư có thể làm giả. Công cụ này đọc các dòng ấy đúng như đã ghi; nó không kiểm tra chữ ký hay tự tra cứu DNS, mà báo lại điều nhà cung cấp của bạn đã quyết định.
Công cụ này có miễn phí không, header của tôi có bị tải lên không?
Công cụ miễn phí và không cần tài khoản. Header được đọc ngay trong trình duyệt của bạn và không được tải lên hay lưu lại. Văn bản dán vào giới hạn 200.000 ký tự, nhiều hơn nhiều so với một khối header thông thường.
