Come leggere le intestazioni di un'email
Ogni email porta metadati aggiunti da ogni server che ha attraversato — invisibili nella normale visualizzazione della casella di posta, ma disponibili tramite "mostra originale" o "visualizza sorgente", e spesso più affidabili di qualsiasi cosa nel messaggio visibile.
Cosa sono le intestazioni email
Le intestazioni sono righe di metadati aggiunte in testa a un messaggio, le più vecchie in basso, le più recenti in alto. Ogni server di posta che gestisce un messaggio aggiunge le proprie righe invece di modificare quelle già presenti, il che rende il blocco delle intestazioni una traccia approssimativa del percorso del messaggio.
La catena Received
Leggi le intestazioni Received dal basso verso l'alto — quella in basso è il primo salto, quella in alto è l'ultimo server prima della tua casella di posta. Ogni riga indica quale server ha ricevuto il messaggio da quale altro server, con un timestamp, permettendoti di ricostruire il percorso reale di un messaggio e notare un salto che non dovrebbe esserci.
Authentication-Results
Questa intestazione mostra spf=pass/fail, dkim=pass/fail e dmarc=pass/fail come valutati dal server ricevente al momento dell'elaborazione del messaggio. È il resoconto di ciò che quel singolo server ha deciso, non una garanzia indipendente — un altro server ricevente, o lo stesso in un altro momento, può in linea di principio arrivare a un risultato diverso.
Altre intestazioni utili
- Return-Path — dove vengono inviati i bounce; spesso rivela il vero sistema di invio anche quando l'indirizzo From visibile sembra a posto
- Message-ID — un identificatore univoco per messaggio, utile per ritrovare la stessa email tra i ticket di supporto o nei log
- X-Mailer o User-Agent — il software che ha inviato il messaggio, quando il mittente lo include
Come le intestazioni rivelano lo spoofing
L'indirizzo From visibile è banalmente facile da falsificare — è semplicemente una dichiarazione fatta dal software mittente. La catena Received e il Return-Path sono più difficili da falsificare in modo convincente, poiché sono stati aggiunti da veri server di posta che il messaggio ha effettivamente attraversato; una discrepanza tra un indirizzo From dall'aspetto plausibile e un Return-Path o una catena Received poco plausibili è un forte segnale di spoofing.
Analizza le intestazioni di un messaggio
Vedi la teoria in pratica: esegui Analizzatore di intestazioni e-mail sul tuo dominio.