Analisador de cabeçalhos de e-mail

Cole os cabeçalhos em bruto de uma mensagem — ou largue o .eml completo — e obtenha a história que eles contam: a cadeia Received salto a salto com o atraso em cada passo, os vereditos SPF, DKIM e DMARC que o seu fornecedor registou, se Reply-To e Return-Path apontam silenciosamente para domínios diferentes do From, e as ligações do corpo neutralizadas e os seus anexos assinalados. Cada constatação é listada com o seu motivo e o seu peso. Funciona inteiramente no seu navegador: os cabeçalhos são um mapa do percurso do seu correio, e os mapas não devem ser enviados para inspeção.

Ou largue um ficheiro .eml em qualquer parte desta caixa, ou escolha um:

O exemplo é fabricado — um «alerta bancário» que falha o DMARC, responde para uma história diferente da que conta, liga para um IP em bruto e traz um statement.pdf.exe.

Como obter os cabeçalhos de uma mensagem

Cada cliente de correio os esconde um menu mais fundo do que devia. No Gmail, abra a mensagem, clique no menu de três pontos e escolha «Mostrar original» — o bloco completo de cabeçalhos está no topo do que aparece, acima do corpo codificado. No Outlook na web é «Ver código-fonte da mensagem» nos mesmos três pontos; no Outlook de ambiente de trabalho, abra a mensagem e depois Ficheiro → Propriedades mostra os cabeçalhos da internet numa caixa na parte inferior. O Apple Mail usa Ver → Mensagem → Todos os cabeçalhos, ou Código-fonte bruto para o ficheiro completo. Para entregar ao analisador a evidência completa, guarde ou exporte a mensagem como .eml («Transferir mensagem» no Gmail, Ficheiro → Guardar como em formato de código-fonte bruto no Apple Mail) e largue o ficheiro — os cabeçalhos, o corpo e os nomes dos anexos são todos lidos a partir dele. Os cabeçalhos por si só bastam para a análise da cadeia e da autenticação; o .eml acrescenta as verificações de ligações e anexos, que é onde vive uma boa terça parte da evidência de phishing.

O que isto lê — e o que honestamente não consegue ler

O âmbito é dito sem rodeios para que a pontuação nunca seja confundida com mais do que é. Este analisador lê os cabeçalhos e extrai o que o corpo contém. Não verifica as assinaturas DKIM — reporta o veredito que o seu servidor recetor registou em Authentication-Results quando a mensagem chegou, que é a verificação que conta, feita no único momento em que podia ser feita com a mensagem original intacta. Não volta a executar o SPF contra o DNS, e não verifica URL contra feeds de ameaças nem os abre: as ligações são neutralizadas (hxxps, pontos entre parênteses retos) para que possa ler o destino real em segurança, e assinaladas pela sua forma — anfitriões com IP em bruto, truques com o sinal @, punycode, encurtadores, texto de ligação que nomeia um domínio e vai para outro. A pontuação é uma soma dessas constatações rotuladas, mostrada junto às próprias constatações: pontos por um Reply-To num domínio diferente, por uma falha de DMARC registada, por um executável com nome de documento. Leia a lista, não apenas a banda. O artigo complementar, anatomia de um cabeçalho de e-mail de phishing, disseca uma mensagem de ponta a ponta, e os companheiros do lado do envio — a verificação de capacidade de entrega de e-mail para os seus registos e o analisador de relatórios DMARC para o feedback que geram — cobrem o trabalho espelhado de não se parecer com o exemplo. Porque é que o correio legítimo continua a cair no spam apesar dos três protocolos é tratado em porque o seu e-mail cai no spam.

Perguntas frequentes

O que podem realmente provar os cabeçalhos de um e-mail?

Os cabeçalhos que um servidor recetor escreve são evidência; os que um remetente escreve são alegações. O Authentication-Results do seu fornecedor regista o que as suas verificações encontraram quando a mensagem chegou, e os saltos Received carimbados por servidores do seu lado da internet são difíceis de falsificar retroativamente. Os saltos inferiores — os mais próximos do remetente — podem ser escritos por qualquer pessoa, e é por isso que este analisador reporta o que cada salto diz e assinala os tempos que não batem certo, em vez de declarar genuína uma cadeia. O percurso completo está em anatomia de um cabeçalho de e-mail de phishing.

A mensagem passou no DMARC. Isso significa que é segura?

Significa que o domínio From é genuinamente respaldado por quem controla esse domínio — nada mais. Um domínio semelhante (o nome do seu banco com uma letra trocada, registado de fresco com SPF, DKIM e DMARC perfeitos) passa todas as verificações sendo inteiramente fraudulento, e o mesmo acontece com correio real de uma conta comprometida no domínio verdadeiro. A autenticação responde «é mesmo do domínio que afirma?», nunca «deve confiar no que pede?». Leia o pedido, não apenas a autenticação.

Esta ferramenta verifica a própria assinatura DKIM?

Não, e diz isso em vez de o insinuar. Este analisador lê o cabeçalho Authentication-Results registado pelo servidor recetor no momento da entrega — o veredito de uma verificação que já aconteceu. Voltar a verificar aqui significaria ir buscar a chave do remetente ao DNS e reproduzir a canonicalização exata dos cabeçalhos originais, que é trabalho de um servidor de correio, não de um leitor de cabeçalhos. A mesma honestidade aplica-se aos URL: são extraídos e neutralizados para inspeção, não verificados contra feeds de ameaças.

É seguro colar aqui um e-mail suspeito?

Sim — a análise corre no seu navegador e nada do que colar é transmitido ou armazenado. Isso importa mais do que pode parecer: os cabeçalhos contêm o seu endereço, os nomes de anfitrião internos e endereços IP do seu fornecedor, e o percurso completo que uma mensagem fez para chegar até si. Colá-los num chat de IA ou num serviço de colagem online para perguntar «isto é phishing?» publica exatamente os metadados que um atacante gostaria de enumerar. Um leitor local é a forma certa para este trabalho.

A pontuação é baixa, mas a mensagem continua a parecer errada. Em qual confio?

No seu instinto. A pontuação só conta os sinais visíveis nos cabeçalhos e nas ligações extraídas do corpo — não consegue ler o tom, a engenharia da urgência, um valor de fatura falsificado, ou o facto de o seu «CEO» nunca escrever assim. Uma pontuação baixa significa que os cabeçalhos não trazem evidência técnica forte contra a mensagem; é um piso para a suspeita, não uma autorização. Se o pedido for dinheiro, credenciais ou sigilo, verifique-o num canal em que já confia, digam os cabeçalhos o que disserem.