Analyseur d’en-têtes d’e-mail

Collez les en-têtes bruts d’un message — ou déposez le .eml entier — et obtenez l’histoire qu’ils racontent : la chaîne Received saut par saut avec le délai à chaque étape, les verdicts SPF, DKIM et DMARC enregistrés par votre fournisseur, si Reply-To et Return-Path pointent en silence vers des domaines différents du From, et les liens du corps neutralisés et ses pièces jointes signalées. Chaque constat est listé avec sa raison et son poids. Tout fonctionne dans votre navigateur : les en-têtes sont une carte du trajet de votre courrier, et les cartes ne devraient pas être téléversées pour inspection.

Ou déposez un fichier .eml n’importe où dans ce cadre, ou choisissez-en un :

L’exemple est fabriqué — une « alerte bancaire » qui échoue à DMARC, répond à une autre histoire que celle qu’elle raconte, pointe vers une IP brute et transporte un statement.pdf.exe.

Comment obtenir les en-têtes d’un message

Chaque client de messagerie les cache un menu plus profond qu’il ne devrait. Dans Gmail, ouvrez le message, cliquez sur le menu à trois points et choisissez « Afficher l’original » — le bloc complet des en-têtes se trouve en haut de ce qui apparaît, au-dessus du corps encodé. Dans Outlook sur le web, c’est « Afficher la source du message » sous les mêmes trois points ; dans Outlook de bureau, ouvrez le message, puis Fichier → Propriétés affiche les en-têtes internet dans un cadre en bas. Apple Mail utilise Présentation → Message → Tous les en-têtes, ou Source brute pour le fichier entier. Pour remettre à l’analyseur la preuve complète, enregistrez ou exportez le message en .eml (« Télécharger le message » dans Gmail, Fichier → Enregistrer sous au format source brute dans Apple Mail) et déposez le fichier — les en-têtes, le corps et les noms des pièces jointes y sont tous lus. Les en-têtes seuls suffisent pour l’analyse de la chaîne et de l’authentification ; le .eml ajoute les contrôles des liens et des pièces jointes, là où vit un bon tiers des preuves de phishing.

Ce que ceci lit — et ce qu’il ne peut honnêtement pas lire

Le périmètre est énoncé sans détour afin que le score ne soit jamais pris pour plus que ce qu’il est. Cet analyseur lit les en-têtes et extrait ce que le corps contient. Il ne vérifie pas les signatures DKIM — il rapporte le verdict que votre serveur de réception a enregistré dans Authentication-Results à l’arrivée du message, c’est-à-dire la vérification qui compte, faite au seul moment où elle pouvait l’être avec le message original intact. Il ne réexécute pas SPF contre le DNS, et il ne confronte pas les URL à des flux de menaces ni ne les ouvre : les liens sont neutralisés (hxxps, points entre crochets) pour que vous puissiez lire la destination réelle en sécurité, et signalés par leur forme — hôtes en IP brute, astuces au signe @, punycode, raccourcisseurs, texte de lien qui nomme un domaine en allant vers un autre. Le score est une somme de ces constats étiquetés, affichée à côté des constats eux-mêmes : des points pour un Reply-To sur un autre domaine, pour un échec DMARC enregistré, pour un exécutable portant le nom d’un document. Lisez la liste, pas seulement la bande. L’article compagnon, anatomie d’un en-tête d’e-mail de phishing, dissèque un message de bout en bout, et les compagnons côté envoi — le contrôle de délivrabilité d’e-mail pour vos enregistrements et l’analyseur de rapports DMARC pour les retours qu’ils génèrent — couvrent le travail en miroir consistant à ne pas ressembler à l’exemple. Pourquoi le courrier légitime atterrit malgré tout en spam malgré les trois protocoles est traité dans pourquoi votre e-mail atterrit en spam.

Questions fréquentes

Que peuvent vraiment prouver les en-têtes d’un e-mail ?

Les en-têtes qu’écrit un serveur de réception sont des preuves ; ceux qu’écrit un expéditeur sont des affirmations. L’Authentication-Results de votre fournisseur enregistre ce que ses contrôles ont trouvé à l’arrivée du message, et les sauts Received horodatés par des serveurs de votre côté d’internet sont difficiles à falsifier rétroactivement. Les sauts inférieurs — les plus proches de l’expéditeur — peuvent être écrits par n’importe qui, et c’est pourquoi cet analyseur rapporte ce que dit chaque saut et signale les temps qui ne collent pas, plutôt que de déclarer une chaîne authentique. Le parcours complet est anatomie d’un en-tête d’e-mail de phishing.

Le message a passé DMARC. Cela signifie-t-il qu’il est sûr ?

Cela signifie que le domaine From est réellement adossé à qui contrôle ce domaine — rien de plus. Un domaine sosie (le nom de votre banque avec une lettre échangée, enregistré de frais avec SPF, DKIM et DMARC parfaits) passe tous les contrôles tout en étant entièrement frauduleux, et le vrai courrier parti d’un compte compromis sur le vrai domaine aussi. L’authentification répond à « vient-il vraiment du domaine qu’il prétend ? », jamais à « devriez-vous faire confiance à ce qu’il demande ? ». Lisez la demande, pas seulement l’authentification.

Cet outil vérifie-t-il la signature DKIM elle-même ?

Non, et il le dit au lieu de le laisser entendre. Cet analyseur lit l’en-tête Authentication-Results enregistré par le serveur de réception au moment de la livraison — le verdict d’une vérification déjà accomplie. Revérifier ici signifierait récupérer la clé de l’expéditeur depuis le DNS et reproduire la canonisation exacte des en-têtes d’origine, ce qui est le travail d’un serveur de messagerie, pas d’un lecteur d’en-têtes. La même honnêteté s’applique aux URL : elles sont extraites et neutralisées pour inspection, non confrontées à des flux de menaces.

Est-il sûr de coller un e-mail suspect ici ?

Oui — l’analyse s’exécute dans votre navigateur et rien de ce que vous collez n’est transmis ni conservé. Cela compte plus qu’il n’y paraît : les en-têtes contiennent votre adresse, les noms d’hôtes internes et les adresses IP de votre fournisseur, et le trajet complet qu’un message a suivi pour vous parvenir. Les coller dans un chat d’IA ou un service de collage en ligne pour demander « est-ce du phishing ? » publie exactement les métadonnées qu’un attaquant aimerait énumérer. Un lecteur local est la bonne forme pour ce travail.

Le score est bas mais le message semble toujours faux. À quoi me fier ?

À votre instinct. Le score ne compte que les signaux visibles dans les en-têtes et les liens extraits du corps — il ne peut pas lire le ton, l’ingénierie de l’urgence, un montant de facture falsifié, ni le fait que votre « PDG » n’écrit jamais ainsi. Un score bas signifie que les en-têtes n’apportent aucune preuve technique forte contre le message ; c’est un plancher pour la suspicion, pas un laissez-passer. Si la demande porte sur de l’argent, des identifiants ou le secret, vérifiez-la sur un canal auquel vous faites déjà confiance, quoi que disent les en-têtes.