Analizor de antete e-mail
Urmăriți etapele de livrare, citiți rezultatele SPF, DKIM și DMARC și vedeți dacă acestea acoperă efectiv adresa From.
Instrumente înrudite
- Securitatea e-mailuluiVerificați SPF, DKIM, DMARC, MTA-STS, TLS-RPT și BIMI pentru un domeniu și obțineți înregistrările care le repară.
- Verificare liste negreVerificați dacă o adresă IP sau serverul de e-mail al unui domeniu este listat pe listele negre DNS.
- MX și SMTPVerificați serverele de e-mail ale unui domeniu și testați conexiunile SMTP, STARTTLS și open relay.
Despre acest instrument
Analizor de antete e-mail preia sursa brută a unui mesaj - tot ce se află deasupra primei linii goale - și reconstituie ce s-a întâmplat cu el. Desface liniile de antet împăturite (RFC 5322), transformă fiecare linie Received într-un salt de livrare cu serverul care a predat mesajul, serverul care l-a preluat, marca temporală și întârzierea față de saltul anterior și citește verdictele SPF, DKIM și DMARC din antetele Authentication-Results (RFC 8601) și Received-SPF (RFC 7208 §9.1). Apoi pune întrebarea la care insignele nu răspund: care domeniu a fost de fapt autentificat. SPF autentifică domeniul din plic, iar DKIM autentifică domeniul de semnare, iar un mesaj este acoperit doar când unul dintre acestea se aliniază cu domeniul din antetul From (RFC 7489 §3.1) - așa că un pass pe domeniul altcuiva, alături de un From falsificat, este numit ca atare. Pe lângă asta, citește numele afișat, Reply-To și Return-Path pentru trucurile pe care un cititor le vede primele și parcurge lanțul Received în căutarea întreruperilor, a mărcilor temporale care merg înapoi și a unui prim salt care arată ca o conexiune de acasă. Se iau în calcul doar rezultatele scrise de serverul care a livrat mesajul: o linie Authentication-Results scrisă de orice alt server și un set ARC preluat de la un salt anterior (RFC 8617) sunt afișate și marcate, niciodată numărate, pentru că orice mașină de pe traseu le poate scrie. Nu verifică el însuși o semnătură DKIM, nu interoghează DNS pentru înregistrări SPF sau DKIM, nu contactează niciun server numit în antete și nu citește corpul mesajului și atașamentele. Scorul este o citire a acestor antete, nu un verdict asupra mesajului: tot ce se află sub serverul destinatar poate fi scris de cine a trimis mesajul, așa că cel mai mult ce va spune pagina este că un domeniu a fost autentificat și aliniat.
Nimic din ce lipiți nu părăsește browserul dumneavoastră, iar un fișier .eml sau .txt pe care îl deschideți sau îl trageți în pagină este citit de propriul File API al browserului și analizat la fel - nu este încărcat niciodată. Antetele sunt desfășurate și analizate de JavaScript în pagină: nicio cerere nu ajunge la API-ul XGM, nu se trimite nicio interogare DNS pentru domeniile, selectorii sau adresele care apar în ele și niciun server numit într-o linie Received nu este contactat. Insignele SPF, DKIM și DMARC sunt copiate din antetele Authentication-Results și Received-SPF pe care serverul dumneavoastră de recepție le-a scris deja, așa că nu mai rămâne nimic de căutat nicăieri. Evaluarea de spoofing de sub ele este construită din același text: compară domeniul din From cu domeniul pe care SPF și DKIM l-au autentificat efectiv, citește numele afișat, Reply-To și Return-Path și parcurge lanțul Received. Rezultatele scrise de alt server decât cel care a livrat mesajul sunt afișate, dar nu sunt luate în calcul, pentru că orice mașină de pe traseu le poate adăuga. Scorul este o citire a acestor antete, nu un verdict asupra mesajului, iar tot ce se află sub serverul de recepție poate fi scris de cine l-a trimis - așa că lucrul cel mai puternic pe care pagina îl va spune vreodată este că un domeniu a fost autentificat și aliniat. Exporturile JSON și Markdown sunt generate în pagină și salvate de propriul dumneavoastră browser, iar textul din casetă nu este stocat împreună cu rezultatul.
Cum se folosește
- Deschideți instrumentul Analizor de antete e-mail.
- Lipiți sau tastați datele pe care vreți să le inspectați.
- Citiți rezultatul, calculat în browser; datele nu sunt trimise către XGM.
- Copiați rezultatul doar după ce ați verificat că arată corect.
- Folosiți instrumentele XGM înrudite dacă aveți nevoie de o imagine de diagnostic mai largă.
Întrebări frecvente
DKIM arată „nu a fost găsit”, deși știu că mesajul a fost semnat. De ce?
Insignele sunt citite din antetul Authentication-Results scris de serverul dumneavoastră de recepție (RFC 8601), nu din DKIM-Signature în sine. Dacă furnizorul dumneavoastră nu adaugă acel antet sau dacă ați lipit doar o parte din sursă, nu există niciun verdict de afișat. Analizorul nu preia niciodată cheia publică din DNS, așa că nu poate recalcula o semnătură pe care destinatarul nu a verificat-o deja.
Care rând este expeditorul, primul sau ultimul?
Fiecare server adaugă propria linie Received la început, așa că în sursa brută cel mai nou salt este sus (RFC 5322 §3.6.7). Tabelul inversează această ordine: saltul 1 este cel mai vechi, de obicei mașina care a acceptat prima mesajul, iar ultimul rând este serverul care l-a livrat în căsuța dumneavoastră.
De ce o întârziere este negativă și de ce asta produce un avertisment?
Întârzierea fiecărui salt este propria sa marcă temporală minus cea a saltului anterior, iar fiecare server aplică marca temporală cu propriul ceas. O deviație de câteva secunde este normală, așa că sunt semnalate doar diferențele mai mari de 60 de secunde în sens invers. O întârziere negativă mare înseamnă fie un ceas prost setat pe un releu, fie linii Received adăugate de expeditor, nu de un server real.
SPF spune pass, dar DMARC a eșuat. Cum așa?
SPF autentifică expeditorul din plic, cel din MAIL FROM, adică exact ce consemnează antetul Return-Path (RFC 7208 §2.4). DMARC socotește o trecere doar când acel domeniu este aliniat cu domeniul din antetul From (RFC 7489 §3.1), așa că un serviciu de mailing care trimite bounce-urile către propriul domeniu trece de SPF și tot pică la DMARC. Analizorul semnalează acest lucru când domeniul din Return-Path nu este nici domeniul From, nici un subdomeniu al lui, caz în care DKIM trebuie să ducă alinierea.
Scorul este mare. Înseamnă asta că mesajul este sigur?
Nu, iar pagina nu va afirma acest lucru. Scorul măsoară doar cât de mult susțin aceste antete adresa From: dacă serverul care a livrat mesajul a raportat un rezultat de trecere, dacă acel rezultat acoperă domeniul din linia From și dacă traseul și adresele se potrivesc între ele. Un cont real care a fost compromis trimite phishing autentificat perfect, iar tot ce se află în antetele de sub serverul de recepție poate fi scris de cine a trimis mesajul. Cea mai puternică afirmație disponibilă este „autentificat și aliniat pentru acel domeniu”, care se referă la domeniu, nu la conținut.
Se poate avea încredere în liniile Received?
Doar de la primul server pe care îl controlați în jos. Tot ce poartă un mesaj înainte de a ajunge la furnizorul dumneavoastră poate fi scris de expeditor, așa că antetele care pretind o origine respectabilă nu dovedesc nimic. Părțile demne de încredere sunt salturile adăugate de propria dumneavoastră infrastructură și linia Authentication-Results scrisă de ea, motiv pentru care instrumentul își bazează insignele SPF, DKIM și DMARC pe acel antet.
Citiți ghidul complet Analizor de antete e-mail