郵件標頭分析器
貼上一封郵件的原始標頭——或直接拖入完整的 .eml——看看它們講述的故事：Received 鏈逐跳呈現、每一步的延遲、你的服務商記錄的 SPF、DKIM 與 DMARC 結論、Reply-To 和 Return-Path 是否悄悄指向與 From 不同的網域，以及正文連結的去活處理和附件標記。每條發現都列出其理由和權重。它完全在你的瀏覽器中執行：郵件標頭是你郵件路徑的地圖，而地圖不該被上傳去接受檢查。
或把 .eml 檔案拖到這個框裡的任何位置，或選擇一個檔案：
發現
寄件人身分
Authentication-Results
Received 鏈 （最新的一跳在前——這就是伺服器前置它們的順序）
| # | From | By | 時間戳（UTC） | 距上一跳的延遲 |
|---|
正文中的連結 （已去活——可以安全閱讀，不要點擊）
附件
如何取得一封郵件的標頭
每個郵件用戶端都把它們藏在比應有位置深一層的選單裡。在 Gmail 中，打開郵件，點擊三點選單，選擇「顯示原始郵件」——完整的標頭區塊就在出現的內容頂部、編碼正文之上。網頁版 Outlook 中是同樣三點選單下的「檢視郵件來源」；桌面版 Outlook 中，打開郵件，然後「檔案 → 內容」會在底部的框中顯示網際網路標頭。Apple 郵件使用「顯示方式 → 郵件 → 所有標頭」，或用「原始程式碼」查看整個檔案。要把完整證據交給分析器，把郵件儲存或匯出為 .eml（Gmail 的「下載郵件」、Apple 郵件的「檔案 → 另存新檔」原始程式碼格式）並把檔案拖進來——標頭、正文和附件名都會從中讀取。僅標頭就足以做鏈路和認證分析；.eml 還會加上連結和附件檢查，而相當一部分釣魚證據正藏在那裡。
它讀什麼——以及它誠實承認讀不了什麼
範圍說得明明白白，這樣分數就永遠不會被誤認為超出它本身的含義。本分析器讀取標頭並擷取正文包含的內容。它不驗證 DKIM 簽章本身——它報告的是你的接收伺服器在郵件到達時記錄在 Authentication-Results 中的結論，那才是真正算數的驗證，而且是在原始郵件完好無損、唯一能做驗證的時刻完成的。它不會對著 DNS 重跑 SPF，也不會拿 URL 去對照威脅情資來源或打開它們：連結會被去活（hxxps、點號加括號），讓你能安全地讀到真實目的地，並按形狀標記——裸 IP 主機、@ 符號把戲、punycode、短連結、連結文字寫著一個網域卻指向另一個。分數是這些帶標籤的發現之和，就顯示在發現本身旁邊：Reply-To 在不同網域上、記錄在案的 DMARC 失敗、穿著文件名字的可執行檔，都會加分。讀清單，不要只讀等級。配套文章一封釣魚郵件的標頭解剖把一封郵件從頭到尾拆開講透；寄件一側的配套工具——為你的記錄做郵件可投遞性檢查、為它們產生的回饋做DMARC 報告分析器——負責的是鏡像的那份工作：讓自己看起來不像那個範例。至於為什麼合法郵件即便三項協定齊全仍會進垃圾桶，見為什麼你的郵件會進垃圾桶。
常見問題
郵件標頭到底能證明什麼？
接收伺服器寫下的標頭是證據；寄件人寫下的是主張。你的服務商的 Authentication-Results 記錄了郵件到達時它的檢查發現了什麼，而網際網路你這一側的伺服器蓋上的 Received 跳轉很難事後偽造。靠下的跳轉——離寄件人最近的那些——任何人都能寫，這也是為什麼本分析器報告每一跳說了什麼、並標記對不上的時間，而不是宣布一條鏈是真的。完整的實走講解見一封釣魚郵件的標頭解剖。
郵件通過了 DMARC，就意味著它安全嗎？
那只意味著 From 網域確實由控制該網域的人背書——僅此而已。一個仿冒網域（把你銀行的名字換掉一個字母、新註冊的、SPF、DKIM 和 DMARC 一應俱全）能通過每一項檢查，卻徹頭徹尾是詐騙；真實網域下一個被攻陷帳戶發出的真郵件同樣如此。認證回答的是「它是否真的來自它聲稱的網域」，從來不是「你應不應該相信它要求你做的事」。讀它要求你做的事，而不只是認證。
這個工具會驗證 DKIM 簽章本身嗎？
不會，而且它會明說，而不是含糊其辭地暗示會。本分析器讀取接收伺服器在投遞時記錄的 Authentication-Results 標頭——那是一次已經發生的驗證的結論。在這裡重新驗證，意味著要從 DNS 取回寄件人的金鑰、並精確重現原始標頭的規範化過程，那是郵件伺服器的工作，不是標頭閱讀器的工作。同樣的誠實也適用於 URL：它們被擷取並去活以供檢查，而不是拿去對照威脅情資來源。
把一封可疑郵件貼到這裡安全嗎？
安全——分析在你的瀏覽器中執行，你貼上的任何東西都不傳輸、不儲存。這一點比看起來更重要：標頭包含你的地址、你的服務商的內部主機名和 IP 地址，以及一封郵件到達你手中所經過的完整路徑。把它們貼進 AI 對話或線上貼上服務去問「這是釣魚嗎？」，恰恰公布了攻擊者想要枚舉的中繼資料。本地閱讀器才是這份工作的正確形態。
分數很低，但這封郵件還是感覺不對。我該信哪個？
信你的直覺。分數只統計標頭和擷取出的正文連結裡可見的訊號——它讀不懂語氣、緊迫感操縱、偽造的發票金額，或者你的「CEO」從來不這樣寫字這個事實。低分意味著標頭裡沒有針對這封郵件的強技術證據；它是懷疑的下限，不是放行許可。如果它要求的是錢、憑證或保密，就在你已經信任的管道上核實它，不管標頭說什麼。