Hoe lees je e-mailheaders

Wat e-mailheaders zijn

Headers zijn regels metadata die vooraan een bericht worden toegevoegd, de oudste onderaan, de nieuwste bovenaan. Elke mailserver die een bericht verwerkt, voegt zijn eigen regels toe in plaats van te bewerken wat er al staat — precies dat maakt het headerblok tot een ruw controlespoor van het pad van het bericht.

De Received-keten

Lees Received-headers van onder naar boven — die onderaan is de eerste hop, die bovenaan de laatste server vóór je inbox. Elke regel noemt welke server het bericht van welke andere server ontving, met tijdstempel, zodat je het werkelijke pad van een bericht kunt natrekken en een hop kunt opmerken die er niet thuishoort.

Authentication-Results

Deze header toont spf=pass/fail, dkim=pass/fail en dmarc=pass/fail zoals beoordeeld door de ontvangende server op het moment dat die het bericht verwerkte. Het is een verslag van wat die ene server besliste, geen onafhankelijke garantie — een andere ontvangende server, of dezelfde op een ander moment, kan in principe tot een ander resultaat komen.

Andere nuttige headers

• Return-Path — waar bounces naartoe gaan; onthult vaak het werkelijke verzendsysteem, zelfs als het zichtbare From-adres in orde lijkt
• Message-ID — een unieke identificatie per bericht, handig om dezelfde e-mail terug te vinden in supporttickets of logs
• X-Mailer of User-Agent — de software die het bericht verzond, als de afzender die meestuurt

Hoe headers spoofing onthullen

Het zichtbare From-adres is triviaal eenvoudig te vervalsen — het is gewoon een bewering van de verzendende software. De Received-keten en het Return-Path zijn moeilijker overtuigend te vervalsen, omdat echte mailservers die het bericht daadwerkelijk passeerde ze hebben toegevoegd; een mismatch tussen een geloofwaardig ogend From-adres en een onaannemelijk Return-Path of Received-keten is een sterk signaal van spoofing.

Analyseer de headers van een bericht