邮件头分析器
粘贴一封邮件的原始邮件头——或直接拖入完整的 .eml——看看它们讲述的故事：Received 链逐跳呈现、每一步的延迟、你的服务商记录的 SPF、DKIM 与 DMARC 结论、Reply-To 和 Return-Path 是否悄悄指向与 From 不同的域名，以及正文链接的去活处理和附件标记。每条发现都列出其理由和权重。它完全在你的浏览器中运行：邮件头是你邮件路径的地图，而地图不该被上传去接受检查。
或把 .eml 文件拖到这个框里的任何位置，或选择一个文件：
发现
发件人身份
Authentication-Results
Received 链 （最新的一跳在前——这就是服务器前置它们的顺序）
| # | From | By | 时间戳（UTC） | 距上一跳的延迟 |
|---|
正文中的链接 （已去活——可以安全阅读，不要点击）
附件
如何获取一封邮件的邮件头
每个邮件客户端都把它们藏在比应有位置深一层的菜单里。在 Gmail 中，打开邮件，点击三点菜单，选择“显示原始邮件”——完整的邮件头块就在出现的内容顶部、编码正文之上。网页版 Outlook 中是同样三点菜单下的“查看邮件源”；桌面版 Outlook 中，打开邮件，然后“文件 → 属性”会在底部的框中显示互联网邮件头。Apple 邮件使用“显示 → 邮件 → 所有标头”，或用“原始源代码”查看整个文件。要把完整证据交给分析器，把邮件保存或导出为 .eml（Gmail 的“下载邮件”、Apple 邮件的“文件 → 存储为”原始源代码格式）并把文件拖进来——邮件头、正文和附件名都会从中读取。仅邮件头就足以做链路和认证分析；.eml 还会加上链接和附件检查，而相当一部分钓鱼证据正藏在那里。
它读什么——以及它诚实承认读不了什么
范围说得明明白白，这样分数就永远不会被误认为超出它本身的含义。本分析器读取邮件头并提取正文包含的内容。它不验证 DKIM 签名本身——它报告的是你的接收服务器在邮件到达时记录在 Authentication-Results 中的结论，那才是真正算数的验证，而且是在原始邮件完好无损、唯一能做验证的时刻完成的。它不会对着 DNS 重跑 SPF，也不会拿 URL 去对照威胁情报源或打开它们：链接会被去活（hxxps、点号加括号），让你能安全地读到真实目的地，并按形状标记——裸 IP 主机、@ 符号把戏、punycode、短链接、链接文字写着一个域名却指向另一个。分数是这些带标签的发现之和，就显示在发现本身旁边：Reply-To 在不同域名上、记录在案的 DMARC 失败、穿着文档名字的可执行文件，都会加分。读清单，不要只读等级。配套文章一封钓鱼邮件的邮件头解剖把一封邮件从头到尾拆开讲透；发件一侧的配套工具——为你的记录做邮件可投递性检查、为它们生成的反馈做DMARC 报告分析器——负责的是镜像的那份工作：让自己看起来不像那个示例。至于为什么合法邮件即便三项协议齐全仍会进垃圾箱，见为什么你的邮件会进垃圾箱。
常见问题
邮件头到底能证明什么？
接收服务器写下的邮件头是证据；发件人写下的是主张。你的服务商的 Authentication-Results 记录了邮件到达时它的检查发现了什么，而互联网你这一侧的服务器盖上的 Received 跳转很难事后伪造。靠下的跳转——离发件人最近的那些——任何人都能写，这也是为什么本分析器报告每一跳说了什么、并标记对不上的时间，而不是宣布一条链是真的。完整的实走讲解见一封钓鱼邮件的邮件头解剖。
邮件通过了 DMARC，就意味着它安全吗？
那只意味着 From 域名确实由控制该域名的人背书——仅此而已。一个仿冒域名（把你银行的名字换掉一个字母、新注册的、SPF、DKIM 和 DMARC 一应俱全）能通过每一项检查，却彻头彻尾是欺诈；真实域名下一个被攻陷账户发出的真邮件同样如此。认证回答的是“它是否真的来自它声称的域名”，从来不是“你应不应该相信它要求你做的事”。读它要求你做的事，而不只是认证。
这个工具会验证 DKIM 签名本身吗？
不会，而且它会明说，而不是含糊其辞地暗示会。本分析器读取接收服务器在投递时记录的 Authentication-Results 邮件头——那是一次已经发生的验证的结论。在这里重新验证，意味着要从 DNS 取回发件人的密钥、并精确复现原始邮件头的规范化过程，那是邮件服务器的工作，不是邮件头阅读器的工作。同样的诚实也适用于 URL：它们被提取并去活以供检查，而不是拿去对照威胁情报源。
把一封可疑邮件粘贴到这里安全吗？
安全——分析在你的浏览器中运行，你粘贴的任何东西都不传输、不存储。这一点比看起来更重要：邮件头包含你的地址、你的服务商的内部主机名和 IP 地址，以及一封邮件到达你手中所经过的完整路径。把它们粘贴进 AI 对话或在线粘贴服务去问“这是钓鱼吗？”，恰恰公布了攻击者想要枚举的元数据。本地阅读器才是这份工作的正确形态。
分数很低，但这封邮件还是感觉不对。我该信哪个？
信你的直觉。分数只统计邮件头和提取出的正文链接里可见的信号——它读不懂语气、紧迫感操纵、伪造的发票金额，或者你的“CEO”从来不这样写字这个事实。低分意味着邮件头里没有针对这封邮件的强技术证据；它是怀疑的下限，不是放行许可。如果它要求的是钱、凭据或保密，就在你已经信任的渠道上核实它，不管邮件头说什么。