Анализатор заголовков почты

Вставьте сырые заголовки сообщения — или перетащите весь .eml — и получите историю, которую они рассказывают: цепочка Received переход за переходом с задержкой на каждом шаге, вердикты SPF, DKIM и DMARC, записанные вашим провайдером, не указывают ли Reply-To и Return-Path молча на домены, отличные от From, а также обезвреженные ссылки тела и помеченные вложения. Каждый вывод перечислен с его причиной и весом. Всё работает в вашем браузере: заголовки — это карта пути вашей почты, а карты не следует загружать для проверки.

Или перетащите файл .eml в любое место этого поля, или выберите его:

Образец вымышлен — «банковское оповещение», которое не проходит DMARC, отвечает на историю, отличную от той, что рассказывает, ссылается на сырой IP и несёт statement.pdf.exe.

Как получить заголовки сообщения

Каждый почтовый клиент прячет их на один пункт меню глубже, чем следует. В Gmail откройте сообщение, нажмите меню с тремя точками и выберите «Показать оригинал» — полный блок заголовков находится вверху появившегося, над закодированным телом. В Outlook в вебе это «Просмотр исходного кода сообщения» под теми же тремя точками; в настольном Outlook откройте сообщение, затем Файл → Свойства покажет интернет-заголовки в поле внизу. Apple Mail использует Вид → Сообщение → Все заголовки, или Исходный текст для всего файла. Чтобы передать анализатору полные доказательства, сохраните или экспортируйте сообщение как .eml («Скачать сообщение» в Gmail, Файл → Сохранить как в формате исходного текста в Apple Mail) и перетащите файл — заголовки, тело и имена вложений читаются из него. Одних заголовков достаточно для анализа цепочки и аутентификации; .eml добавляет проверки ссылок и вложений, а именно там живёт добрая треть фишинговых доказательств.

Что это читает — и что честно не может

Область применения названа прямо, чтобы балл никогда не принимали за большее, чем он есть. Этот анализатор читает заголовки и извлекает то, что содержит тело. Он не проверяет подписи DKIM — он сообщает вердикт, который ваш принимающий сервер записал в Authentication-Results при прибытии сообщения, а это та проверка, которая имеет значение, выполненная в единственный момент, когда она могла быть выполнена с неповреждённым исходным сообщением. Он не запускает SPF заново против DNS и не сверяет URL с фидами угроз и не открывает их: ссылки обезвреживаются (hxxps, точки в скобках), чтобы вы могли безопасно прочитать реальное назначение, и помечаются по форме — хосты с сырым IP, трюки со знаком @, punycode, сокращатели, текст ссылки, называющий один домен и ведущий на другой. Балл — это сумма этих помеченных выводов, показанная рядом с самими выводами: баллы за Reply-To на другом домене, за записанный провал DMARC, за исполняемый файл под именем документа. Читайте список, а не только диапазон. Сопутствующая статья анатомия заголовка фишингового письма разбирает одно сообщение от начала до конца, а спутники на стороне отправки — проверка доставляемости почты для ваших записей и анализатор отчётов DMARC для обратной связи, которую они порождают, — покрывают зеркальную работу: не выглядеть как образец. Почему легитимная почта всё равно попадает в спам несмотря на все три протокола, рассказано в почему ваша почта попадает в спам.

Часто задаваемые вопросы

Что заголовки почты могут на самом деле доказать?

Заголовки, которые пишет принимающий сервер, — это доказательства; те, что пишет отправитель, — утверждения. Authentication-Results вашего провайдера записывает, что его проверки обнаружили при прибытии сообщения, а переходы Received, проштампованные серверами на вашей стороне интернета, трудно подделать задним числом. Нижние переходы — ближайшие к отправителю — может написать кто угодно, поэтому этот анализатор сообщает, что говорит каждый переход, и помечает время, которое не сходится, а не объявляет цепочку подлинной. Полный разбор на примере — анатомия заголовка фишингового письма.

Сообщение прошло DMARC. Значит ли это, что оно безопасно?

Это значит, что домен From действительно подкреплён тем, кто этот домен контролирует, — и ничего больше. Похожий домен (название вашего банка с заменённой буквой, свежезарегистрированный, с идеальными SPF, DKIM и DMARC) проходит каждую проверку, будучи полностью мошенническим, равно как и настоящая почта со взломанной учётной записи на настоящем домене. Аутентификация отвечает на вопрос «действительно ли оно с домена, который заявляет», а не «следует ли доверять тому, о чём оно просит». Читайте просьбу, а не только аутентификацию.

Этот инструмент проверяет саму подпись DKIM?

Нет, и он говорит об этом, а не намекает на обратное. Этот анализатор читает заголовок Authentication-Results, записанный принимающим сервером в момент доставки, — вердикт проверки, которая уже произошла. Повторная проверка здесь означала бы получить ключ отправителя из DNS и воспроизвести точную канонизацию исходных заголовков, а это работа почтового сервера, а не читателя заголовков. Та же честность применима к URL: они извлекаются и обезвреживаются для проверки, а не сверяются с фидами угроз.

Безопасно ли вставлять сюда подозрительное письмо?

Да — анализ выполняется в вашем браузере, и ничего из вставленного не передаётся и не сохраняется. Это важнее, чем может показаться: заголовки содержат ваш адрес, внутренние имена хостов и IP-адреса вашего провайдера и полный путь, который сообщение проделало, чтобы до вас добраться. Вставка их в ИИ-чат или онлайн-сервис вставки с вопросом «это фишинг?» публикует ровно те метаданные, которые атакующий хотел бы перечислить. Локальный читатель — правильная форма для этой работы.

Балл низкий, но сообщение всё равно кажется неправильным. Чему доверять?

Своему чутью. Балл считает только сигналы, видимые в заголовках и извлечённых ссылках тела, — он не может прочитать тон, инженерию срочности, поддельную сумму счёта или тот факт, что ваш «генеральный директор» никогда так не пишет. Низкий балл означает, что заголовки не несут сильных технических доказательств против сообщения; это пол для подозрения, а не разрешение. Если просьба касается денег, учётных данных или секретности, проверьте её по каналу, которому вы уже доверяете, что бы ни говорили заголовки.