Comment lire les en-têtes d'un e-mail
Chaque e-mail porte des métadonnées ajoutées par chaque serveur qu'il a traversé — invisibles dans la vue normale de la boîte de réception, mais accessibles via « afficher l'original » ou « afficher la source », et souvent plus fiables que tout ce qui figure dans le message visible.
Ce que sont les en-têtes d'e-mail
Les en-têtes sont des lignes de métadonnées ajoutées en tête d'un message, les plus anciennes en bas, les plus récentes en haut. Chaque serveur de messagerie qui traite un message ajoute ses propres lignes plutôt que de modifier ce qui existe déjà, ce qui fait du bloc d'en-têtes une trace approximative du chemin parcouru par le message.
La chaîne Received
Lisez les en-têtes Received de bas en haut — celui du bas est le premier saut, celui du haut le dernier serveur avant votre boîte de réception. Chaque ligne indique quel serveur a reçu le message de quel autre serveur, avec un horodatage, ce qui permet de retracer le chemin réel d'un message et de repérer un saut qui n'a pas lieu d'être.
Authentication-Results
Cet en-tête affiche spf=pass/fail, dkim=pass/fail et dmarc=pass/fail tels qu'évalués par le serveur destinataire au moment où il a traité le message. C'est la trace de ce que ce seul serveur a décidé, pas une garantie indépendante — un autre serveur destinataire, ou le même à un autre moment, peut en principe arriver à un résultat différent.
Autres en-têtes utiles
- Return-Path — où sont envoyés les rebonds ; révèle souvent le système d'envoi réel même quand l'adresse From visible paraît légitime
- Message-ID — un identifiant unique par message, utile pour retrouver le même e-mail dans des tickets de support ou des journaux
- X-Mailer ou User-Agent — le logiciel qui a envoyé le message, lorsque l'expéditeur l'indique
Comment les en-têtes révèlent l'usurpation
L'adresse From visible est trivialement facile à falsifier — c'est simplement une affirmation faite par le logiciel expéditeur. La chaîne Received et le Return-Path sont plus difficiles à falsifier de façon convaincante, puisqu'ils ont été ajoutés par de vrais serveurs de messagerie que le message a réellement traversés ; un décalage entre une adresse From d'apparence plausible et un Return-Path ou une chaîne Received peu plausibles est un signal fort d'usurpation.
Analyser les en-têtes d'un message
Voyez la théorie en pratique — lancez Analyseur d'en-têtes d'e-mail pour votre propre domaine.