Czym jest analizator nagłówków wiadomości?
Analizator nagłówków bierze surowy tekst nagłówków e-maila (wszystko ponad pustą linią, która oddziela nagłówki od treści) i pokazuje, przez jakie serwery przeszła wiadomość, kto ją podpisał i czy uwierzytelnienie się zgadza. Wszystko dzieje się w przeglądarce - żadne dane nie opuszczają Twojego komputera.
Z jednego okna dostajesz cztery rzeczy: podstawowe pola (From, To, Subject, Message-ID, Date), werdykty SPF / DKIM / DMARC z nagłówka Authentication-Results, chronologiczną oś czasu hopów Received (od najstarszego do najnowszego, z opóźnieniem między hopami) oraz heurystyczny wskaźnik spamu 0-10 z wypisanymi powodami.
Dla każdego adresu IP widocznego w łańcuchu Received masz klikalny link do whois-lookup - można jednym kliknięciem sprawdzić, do kogo należy serwer pośredniczący.
Jak tego użyć
- Skopiuj surowe nagłówki z klienta poczty. W Gmailu otwórz wiadomość → trzy kropki → "Pokaż oryginał" → skopiuj cały tekst. W Outlooku otwórz wiadomość → Plik → Właściwości → pole "Nagłówki internetowe". W Apple Mail otwórz wiadomość → Widok → Wiadomość → Wszystkie nagłówki.
- Wklej do pola tekstowego powyżej. Możesz wkleić same nagłówki albo całą wiadomość - narzędzie odetnie treść w pierwszej pustej linii.
- Spójrz na wskaźnik spamu na górze. Zielony 0-2 = wszystko zdrowe, żółty 3-5 = sygnały ryzyka, czerwony 6-10 = bardzo prawdopodobny phishing lub spam.
- W sekcji Authentication-Results sprawdź, czy SPF / DKIM / DMARC są pass. Jeden czerwony = wiadomość prawdopodobnie nie pochodzi od deklarowanego nadawcy.
- Przewiń do Received chain. Górny hop (numer 1) to najstarszy serwer, czyli ten, który najpierw przyjął wiadomość. Najniższy hop = serwer, który wręczył ją Twojej skrzynce.
- Kliknij dowolne IP w łańcuchu, żeby otworzyć whois-lookup w nowej karcie i sprawdzić, do kogo należy.
- Jeśli widzisz dziwny pierwszy hop (np. wiadomość z banku, ale pierwszy hop to serwer hostingowy w innym kraju), masz prawie pewność, że to podszywanie się pod nadawcę.
Kiedy to się przydaje
Pięć codziennych sytuacji, w których analiza nagłówków rozstrzyga sprawę:
- Czy ten mail to phishing?. Dostałeś wiadomość "z banku" z linkiem do "weryfikacji konta". Spójrz na From vs Return-Path vs pierwszy hop w Received chain. Jeśli pierwszy serwer nie ma nic wspólnego z bankiem, to klasyczny phishing.
- Mój ważny e-mail nie dotarł, kontrahent twierdzi że wysłał. Poproś o kompletne nagłówki odpowiedzi, którą rzekomo dostał. Możesz prześledzić dokładną ścieżkę, sprawdzić, gdzie wiadomość się zatrzymała i ile zajął każdy hop.
- Skarga klienta "Twój mail przyszedł w spamie". Spójrz na nagłówki kopii, którą Ci przesłał. Najczęściej znajdziesz SPF fail albo DKIM fail w Authentication-Results - masz konkretną przyczynę, nie domysł.
- Audyt bezpieczeństwa po incydencie. Włamywacz wysłał maile z firmowej domeny. Z nagłówków podejrzanych wiadomości widać, czy szły przez Twój serwer (kompromitacja konta) czy przez obcy serwer z fałszywym From (spoofing - Twoja domena nie ma DMARC).
- Dziwna wiadomość od współpracownika. CFO pisze do księgowości z prośbą o pilny przelew. Sprawdź Reply-To i Return-Path - w atakach BEC (Business Email Compromise) różnią się od pola From, więc Twoja odpowiedź wyląduje u atakującego.
Powiązane narzędzia: sprawdzanie DNS poczty (audyt SPF/DKIM/DMARC Twojej domeny), whois-lookup (właściciel IP z łańcucha Received), DNS lookup.