Email header 分析
貼上郵件的原始標頭，就能看到信是誰真正寄的、SPF、DKIM 與 DMARC 有沒有通過，以及它在伺服器之間走過的路徑。這個 email header 分析工具讀取的是收信伺服器已經記在標頭裡的內容，它是幫你閱讀的輔助，並不判定這封信是否安全。
Email header 分析的步驟
- 在你的郵件程式中開啟該封信，選擇「顯示原始郵件」或「檢視原始碼」,然後複製標頭區塊（信件本文之前那一行空白行以上的全部內容）。
- 貼到郵件原始標頭（最多 200,000 個字元）。按清除可清空輸入框。
- 按分析標頭。如果文字中看不出任何標頭，會有提示，你可以重新貼上。
- 閱讀結果:先是主旨與日期，接著是真實寄件者、驗證與傳送路徑三張卡片。返回箭頭會回到你貼上的文字，重新開始則會清除全部內容。
Gmail 顯示原始郵件並複製標頭
在 Gmail 顯示原始郵件的方法：開啟該封信，用三點選單選擇「顯示原始郵件」,再複製最上方的標頭區塊。在 Outlook 找到郵件標頭，則要看信件的內容或訊息詳細資料（傳統版 Outlook 是「檔案」→「內容」,新版是「檢視」→「檢視訊息詳細資料」）。各版本的選單名稱會變動，其他多數郵件程式也有類似的檢視原始碼選項。
真實寄件者卡片能告訴你什麼
三個地址可能彼此不同，而這些差異正是有用之處。Return-Path 是退信寄去的地方，由真正寄出信件的伺服器設定。From 是收件匣裡顯示的名稱與地址。Reply-To 是你的回覆會寄到的地方，而 Sender 出現在信件是代表 From 地址寄出的時候。卡片上也會顯示路徑中第一個公開 IP。
下方可能出現兩種提示。「From 與 Return-Path 屬於同一個網域。」是預期中的情況。「From 與 Return-Path 屬於不同網域。」是提醒你仔細看看，不過電子報與群發服務本來就會這樣做。「回覆會寄到與 From 不同的網域。」則值得你在回信前再看一眼。
SPF、DKIM 與 DMARC 的結果說明
驗證卡片把每一項檢查顯示成徽章，並附上 smtp.mailfrom、header.d、header.from 等記錄下來的屬性。SPF 問的是寄出的伺服器是否獲准代表該網域寄信，DKIM 問的是信件有沒有簽章、簽章驗證是否通過，DMARC 問的是網域自己的政策是否接受這封信。
- 通過:收信伺服器執行了檢查，而且成功。
- 失敗:檢查失敗;伺服器未獲授權，或簽章不相符。
- 軟性失敗:僅限 SPF;伺服器很可能未獲授權，但網域並不要求拒收。
- 中性:網域對兩邊都不表態。
- 無:網域沒有公布可供比對的內容。
- 暫時性錯誤與永久性錯誤:伺服器無法完成檢查，例如 DNS 查詢逾時或紀錄損壞。
- 政策:結果由收信伺服器自己的政策決定。
- 未驗證:有 DKIM 簽章，但沒有任何伺服器記錄它的結果。
- 找不到:標頭中沒有該項檢查的結果。
結果取自最上方的 Authentication-Results 標頭，也包含沒有伺服器識別碼的 Outlook 格式。如果沒有，SPF 會改用 Received-SPF,DKIM 則改用 DKIM-Signature 標頭。
解讀信件的傳送路徑（Received 標頭）
每台處理過這封信的伺服器，都會在最上方加上一行 Received。傳送路徑卡片會把順序反過來，讓最早的一站排在最前面，並為每一站顯示寄出的伺服器（來自）、它的 IP 位址、收信的伺服器（經由）、通訊協定、UTC 時間，以及距離上一站多久。摘要列會列出伺服器數量與在途總時間。
兩站之間若有很長的延遲，就能看出信件卡在哪裡，例如佇列或垃圾郵件過濾器。顯示原始值會在每一列下方顯示標頭的原始文字。
這個工具做不到的事
它不會驗證簽章，也不會查詢 DNS,只會呈現收信伺服器寫進標頭的結果。偽造的信件可能帶著假的 Authentication-Results 行，所以只有最上方、由你自己的郵件服務商加上的那一行才可信;更早之前的行是別人寫的，可能被偽造。它不保證信件安全或不安全，也不會查出 IP 位址位於何處。
你的標頭是在瀏覽器內讀取的，不會上傳，也不會儲存。被截斷或格式錯誤的標頭也能正常處理：折行以及編碼過的名稱與主旨會被解碼，讀取則停在本文之前的空白行。
常見問題
email header 該怎麼看？
從信件複製完整的標頭區塊，貼到「郵件原始標頭」,再按「分析標頭」。結果畫面會把重要的行整理好：「真實寄件者」卡片（Return-Path、From、Reply-To）、「驗證」卡片（SPF、DKIM、DMARC）,以及列出信件經過每台伺服器的「傳送路徑」卡片。使用「顯示原始值」可以看到每一列背後的標頭原始文字。
在 Gmail 或 Outlook 哪裡找得到郵件標頭？
在 Gmail 開啟該封信，用三點選單選擇「顯示原始郵件」,再複製最上方的標頭區塊。在 Outlook 則要找信件的內容或訊息詳細資料（傳統版是「檔案」→「內容」,新版是「檢視」→「檢視訊息詳細資料」）。各版本的選單名稱會變動。
怎麼知道一封信真正是從哪裡寄來的？
看「真實寄件者」卡片上的 Return-Path 與「路徑中第一個公開 IP」。Return-Path 由真正寄出信件的伺服器設定，第一個公開 IP 則是 Received 行中最早的外部位址。兩者都可能屬於郵件服務而不是個人，偽造的信件也可能從一開始就帶著假造的行，所以只能當作線索，不是證據。
可以從標頭找出寄件者的 IP 位址嗎？
通常看得到某個 IP,但不一定是寄件者本人的。工具會列出每一行 Received 中的 IP 位址，並標出路徑中第一個公開的位址。如果對方是透過 Gmail、Outlook 或電子報服務寄信，那個位址屬於郵件伺服器，而不是對方的手機或電腦。工具不會查詢 IP 的所在位置。
要如何判斷一封信是不是偽造的？
比對各個身分，再閱讀驗證結果。當 From 與 Return-Path 屬於不同網域，或回覆會寄到與 From 不同的網域時，會出現提示。接著看 SPF、DKIM 與 DMARC:如果一封自稱來自銀行或熟人的信，DMARC 顯示「失敗」,就是警訊。電子報網域不同是正常的，所以請把提示當作提醒你多看一眼，而不是定論。
SPF 軟性失敗是什麼意思？
軟性失敗表示寄件網域的 SPF 紀錄指出，遞送這封信的伺服器很可能未獲授權，但並不要求拒收。收信伺服器常會收下這類信件並加上標記，所以軟性失敗是警告，不是偽造的證據。「失敗」是比較嚴格的結果，「中性」則代表網域不表態。
為什麼標頭會顯示「未驗證」、「無」或「找不到」?
「未驗證」表示有 DKIM 簽章，但沒有任何伺服器記錄它的結果。「無」表示網域沒有公布可供比對的內容。「找不到」表示標頭完全沒有該項檢查的結果，常見於收信伺服器沒有記錄，或你只貼了一部分標頭的時候。「政策」、「暫時性錯誤」與「永久性錯誤」則是伺服器自己寫下的結果。
標頭裡的 Authentication-Results 行可以相信嗎？
只有最上方、由你自己的郵件服務商加上的那一行可信。路徑中更早的行是其他伺服器寫的，寄信的人可以偽造。這個工具照實讀取這些行，不會驗證簽章，也不會自己查詢 DNS,只是呈現你的服務商已經做出的判斷。
這個工具免費嗎？我的標頭會被上傳嗎？
免費，而且不需要帳號。標頭是在你的瀏覽器內讀取，不會上傳，也不會儲存。貼上的文字上限是 200,000 個字元，遠多於一般的標頭區塊。
