Ce que fait un analyseur d'en-têtes mail
Un analyseur d'en-têtes mail prend le texte brut des en-têtes d'un email (tout ce qui est au-dessus de la ligne blanche qui sépare les en-têtes du corps) et vous montre quels serveurs ont géré le message, qui l'a signé, et si les vérifications d'authentification passent. Tout tourne dans votre navigateur - aucune donnée ne quitte votre appareil.
En un écran vous obtenez quatre choses : le bloc identité basique (From, To, Subject, Message-ID, Date), les verdicts SPF / DKIM / DMARC depuis l'en-tête Authentication-Results, une timeline chronologique des hops Received (du plus ancien d'abord, avec le délai entre hops), et un score spam heuristique 0-10 avec des raisons concrètes.
Pour chaque IP qui apparaît dans la chaîne Received vous obtenez un lien cliquable vers l'outil whois-lookup - un clic et vous pouvez voir qui possède le serveur de relais.
Mode d'emploi
- Copiez les en-têtes bruts depuis votre client mail. Gmail : ouvrez le message → menu trois-points → "Afficher l'original" → copiez tout le texte. Outlook : ouvrez le message → Fichier → Propriétés → champ "En-têtes Internet". Apple Mail : ouvrez le message → Présentation → Message → Tous les en-têtes.
- Collez dans la textarea au-dessus. Vous pouvez coller juste les en-têtes ou le message entier - l'outil découpe le corps à la première ligne blanche.
- Vérifiez le score spam en haut. Vert 0-2 = a l'air sain, jaune 3-5 = signaux d'alerte, rouge 6-10 = très probablement phishing ou spam.
- Dans la section Authentication-Results vérifiez que SPF / DKIM / DMARC affichent tous pass. Un verdict rouge signifie souvent que le message n'est pas vraiment venu de l'expéditeur prétendu.
- Scrollez vers la chaîne Received. Le hop du haut (#1) est le serveur le plus ancien - le premier qui a accepté le message. Le hop du bas est le serveur qui l'a remis à votre boîte.
- Cliquez n'importe quelle IP dans la chaîne pour ouvrir whois-lookup dans un nouvel onglet et voir à qui appartient cette adresse.
- Si vous voyez un premier hop bizarre (une "notification bancaire" dont le premier hop est une boîte d'hébergement dans un pays aléatoire), vous avez une preuve forte d'usurpation d'expéditeur.
Quand cet outil est utile
Cinq situations du quotidien où une analyse d'en-têtes tranche la question :
- Cet email est-il du phishing ?. Vous avez reçu un message "banque" avec un lien pour "vérifier votre compte". Comparez From vs Return-Path vs le premier hop dans la chaîne Received. Si le premier serveur n'a rien à voir avec la banque, c'est du phishing typique.
- Mon email critique n'est jamais arrivé, le destinataire dit qu'il a envoyé la réponse. Demandez-lui les en-têtes complets du message qu'il pense avoir reçu. Vous pouvez tracer le chemin exact, voir où ça a calé, et combien de temps chaque hop a pris.
- Plainte client : "Votre email a atterri en spam". Regardez les en-têtes de la copie qu'il a transférée. La plupart du temps vous trouverez SPF fail ou DKIM fail dans Authentication-Results - c'est une cause concrète, pas une supposition.
- Audit post-incident. Un attaquant a envoyé des emails depuis votre domaine d'entreprise. Depuis les en-têtes des messages suspects vous pouvez dire s'ils sont passés par votre vrai serveur mail (compte compromis) ou par un serveur étranger avec un From forgé (spoofing, votre domaine n'a pas de DMARC).
- Email étrange d'un collègue. Le DAF envoie un mail à l'équipe finance demandant un virement urgent. Vérifiez Reply-To et Return-Path - dans les attaques BEC (Business Email Compromise) ils diffèrent du champ From, votre réponse atterrit donc chez l'attaquant.
Outils liés : vérificateur DNS email (audit du SPF/DKIM/DMARC de votre domaine), whois-lookup (propriétaire d'une IP dans la chaîne Received), consultation DNS.