Jak czytać nagłówki e-maila

Czym są nagłówki e-maila

Nagłówki to linie metadanych dopisywane na początku wiadomości, najstarsze na dole, najnowsze na górze. Każdy serwer pocztowy obsługujący wiadomość dodaje własne linie, zamiast edytować to, co już tam jest, co sprawia, że blok nagłówków to z grubsza ślad audytowy drogi wiadomości.

Łańcuch Received

Czytaj nagłówki Received od dołu do góry — ten na dole to pierwszy przeskok, ten na górze to ostatni serwer przed Twoją skrzynką. Każda linia podaje, który serwer odebrał wiadomość od którego innego, wraz ze znacznikiem czasu, co pozwala prześledzić rzeczywistą trasę wiadomości i zauważyć przeskok, który do niej nie pasuje.

Authentication-Results

Ten nagłówek pokazuje spf=pass/fail, dkim=pass/fail i dmarc=pass/fail, tak jak ocenił je serwer odbierający w momencie przetwarzania wiadomości. To zapis tego, co ten jeden serwer zdecydował, a nie niezależna gwarancja — inny serwer odbierający, albo ten sam w innym momencie, może w zasadzie dojść do innego wyniku.

Inne przydatne nagłówki

• Return-Path — dokąd wysyłane są odbicia (bounce); często ujawnia prawdziwy system nadawczy, nawet gdy widoczny adres From wygląda dobrze
• Message-ID — unikalny identyfikator wiadomości, przydatny do odnajdywania tej samej wiadomości w zgłoszeniach do supportu czy logach
• X-Mailer lub User-Agent — oprogramowanie, które wysłało wiadomość, jeśli nadawca je dołącza

Jak nagłówki ujawniają spoofing

Widoczny adres From jest trywialnie łatwy do sfałszowania — to po prostu deklaracja oprogramowania nadawcy. Łańcuch Received i Return-Path trudniej przekonująco podrobić, bo dodały je prawdziwe serwery pocztowe, przez które wiadomość faktycznie przeszła; niezgodność między wiarygodnie wyglądającym adresem From a nieprawdopodobnym Return-Path lub łańcuchem Received to mocny sygnał spoofingu.

Przeanalizuj nagłówki wiadomości