Безопасность

Анализатор заголовков email

Отследите этапы доставки почты, обнаружьте подделку и извлеките результаты SPF/DKIM/DMARC из необработанных заголовков письма.

Этапы доставки

О инструменте «Анализатор заголовков email»

Разбирает исходные заголовки письма и восстанавливает полный путь сообщения — каждый почтовый хоп, временные метки и результаты аутентификации (SPF, DKIM, DMARC), как их оценил принимающий сервер. Это инструмент для расследования подозрения на фишинг или спуфинг, поскольку видимый адрес From в почтовом клиенте легко подделать, а трасса заголовков ниже показывает реальный исходящий сервер. Для использования скопируйте полный блок исходных заголовков из почтового клиента — видимых полей в обычном виде входящих недостаточно.

Заголовки Received располагаются в обратном порядке — сервер, с которого письмо действительно было отправлено, находится в самой нижней строке Received, а не в верхней, что часто вызывает путаницу при ручном прослеживании пути письма.

📖 Подробнее в базе знаний →

Как получить заголовки

Gmail: Откройте письмо, меню из трёх точек, "Показать оригинал"
Outlook: Файл > Свойства > Заголовки интернета
Apple Mail: Вид > Сообщение > Все заголовки
Thunderbird: Вид > Заголовки > Все

Как получить полный заголовок письма

Анализатору нужен исходный блок заголовков, а не видимые поля «От», «Кому» и «Тема». В каждом почтовом клиенте он находится в своём месте:

Gmail (веб): откройте письмо → меню ⋮ → Показать оригинал → скопируйте всё, что выше текста письма.
Outlook (десктоп): Файл → Свойства → поле Заголовки Интернета. Outlook в браузере: ⋯ → Просмотр → Просмотреть источник сообщения.
Яндекс Почта / Mail.ru: меню письма → Свойства письма или Показать оригинал.
Thunderbird: Вид → Исходный текст сообщения (Ctrl+U).

Вставляйте блок целиком: удаление нижних строк Received: убирает именно те данные, которые обычно нужны.

Как читать результат

Цепочка Received. Каждый сервер добавляет строку Received: сверху, поэтому путь читается снизу вверх: нижняя строка — отправитель, верхняя — ваш почтовый сервер. Большие интервалы между соседними отметками времени показывают, где письмо задержалось. Небольшие расхождения обычно связаны с часовыми поясами или неточными часами серверов.

Authentication-Results — вердикт принимающего сервера:

spf=pass — IP отправителя разрешён SPF-записью домена из Return-Path.
dkim=pass header.d=example.com — письмо подписано этим доменом и не изменялось по пути.
dmarc=pass — SPF или DKIM прошли, и домен совпадает с видимым адресом «От».

Признаки подделки и фишинга

Домен в From: не совпадает ни с Return-Path, ни с DKIM d=, и DMARC не пройден.
Reply-To: ведёт на посторонний или бесплатный почтовый адрес.
Первый внешний узел Received: не связан с заявленным отправителем — проверьте IP через обратный DNS или репутацию IP.

Если ваши собственные письма не проходят проверки, проверьте домен в инструменте SPF, DKIM и DMARC.