Citirea capetelor de mesaj: de unde a venit acest e-mail?

Modulul 1: Cum funcționează e-mailul · Timp de citire: 11 minute

Obiectivul lecției: După această lecție veți putea deschide capetele de mesaj ale unui e-mail, veți citi liniile Received în ordinea corectă și veți putea determina din Authentication-Results dacă SPF, DKIM și DMARC au fost valide.

Noțiuni cheie: capete de mesaj (headers), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, capete X, sursa sau mesajul original

Ce nu vedeți de obicei

Programul dumneavoastră de e-mail afișează doar câteva informații despre un mesaj: expeditor, subiect, dată, destinatari. În realitate, fiecare e-mail are zeci de capete de mesaj (headers) în partea de sus, înaintea textului. Acestea sunt adăugate de programul expeditorului și de fiecare server pe care mesajul îl traversează. Împreună, ele formează jurnalul de călătorie al mesajului.

Cine știe să citească aceste capete de mesaj poate răspunde singur la multe întrebări: este acest e-mail cu adevărat de la banca mea? De ce a ajuns abia după două ore? De ce se află în spam? Este corect propriul meu DKIM? Multe exerciții din această cursă vă cer să examinați capetele de mesaj. În această lecție veți învăța cum.

Deschiderea capetelor de mesaj

Fiecare program are propriul buton pentru aceasta:

Pe telefon, de obicei acest lucru nu este posibil. Redirecționați atunci mesajul către dumneavoastră înșivă ca atașament sau deschideți-l în webmail.

Un exemplu

Jan primește un e-mail de la Anna. Așa arată capetele de mesaj principale (prescurtate):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Liniile Received: de jos în sus

Fiecare server care transmite mesajul adaugă o linie Received: în partea de sus. Astfel, cea mai veche se află cel mai jos, iar cea mai nouă cel mai sus. Citiți-le de jos în sus pentru a urmări traseul:

1. Linia de jos: laptopul Annei (IP 198.51.100.77, conexiunea ei de acasă) predă mesajul către out.hosting.example, prin ESMTPSA (A înseamnă authenticated: s-a autentificat) și TLS 1.3. La ora 10:15:04.
2. Linia din mijloc: out.hosting.example (192.0.2.25) predă mesajul către mx1.mailprovider.example, serverul MX al domeniului example.net. La ora 10:15:07.
3. Linia de sus: serverul de mail plasează mesajul intern în căsuța poștală a lui Jan (LMTP). La ora 10:15:09.

O linie Received are întotdeauna forma from <cine l-a oferit> by <cine l-a primit> with <protocol>; <ora>. Între paranteze după from se află ceea ce a observat chiar serverul destinatar: numele real (PTR) și adresa IP reală. Această parte este de încredere în măsura în care aveți încredere în respectivul server destinatar. Ceea ce a declarat chiar expeditorul (helo=) nu poate fi verificat.

Două trucuri practice:

• Căutarea unei întârzieri: comparați orele. Dacă între două linii se află un interval de două ore, înseamnă că mesajul a stat atât de mult într-o coadă de așteptare. Fiți atenți la fusurile orare (+0100, +0000).
• Găsirea serverului real de expediere: căutați linia Received cea mai de sus care a fost scrisă de un server al destinatarului însuși și verificați ce se află acolo după from. Tot ce se află dedesubt a fost scris de partea expeditoare și, în teorie, poate fi fals. În exemplu, 192.0.2.25 este serverul care a livrat mesajul la destinatar; pe baza acestuia se evaluează SPF și reputația.

Adresele

Un truc cunoscut al escrocilor: un From care seamănă cu banca dumneavoastră, cu un Reply-To către o adresă complet diferită. În caz de îndoială, verificați întotdeauna domeniul din From și din Return-Path, precum și Authentication-Results.

Authentication-Results: verdictul destinatarului

Serverul destinatar adaugă în Authentication-Results (RFC 8601) rezultatul verificărilor sale:

• spf=pass smtp.mailfrom=example.com: IP-ul serverului care a livrat mesajul se află în înregistrarea SPF a domeniului din Return-Path.
• dkim=pass header.d=example.com header.s=x: semnătura DKIM a domeniului example.com, cu cheia (selectorul) x, este validă.
• dmarc=pass header.from=example.com: domeniul din From este aliniat cu un SPF sau DKIM reușit, deci DMARC a fost valid.

Alte rezultate pe care le puteți vedea: fail (invalid), softfail (SPF se termină cu ~all, iar IP-ul nu este menționat), neutral, none (nicio înregistrare), temperror (eroare DNS temporară) și permerror (înregistrare defectă, de exemplu două înregistrări SPF). Ce înseamnă exact acestea și cum le reparați veți afla în modulul 4.

Atenție: aveți încredere doar în Authentication-Results adăugat de serverul destinatarului însuși (numele din față, aici mx1.mailprovider.example). Un mesaj fals poate conține propriul Authentication-Results, inventat. Serverele bune îl elimină, dar nu toate.

DKIM-Signature: semnătura

Capul de mesaj DKIM-Signature este chiar semnătura. Aveți nevoie adesea de două câmpuri:

• d= domeniul care semnează (aici example.com);
• s= selectorul, numele cheii (aici x).

Cu acestea găsiți cheia publică în DNS: x._domainkey.example.com. În exerciții și în cazul problemelor, va trebui adesea să căutați exact aceste două valori. Un mesaj poate avea mai multe semnături DKIM, de exemplu una de la domeniul dumneavoastră și una de la serviciul de trimitere. În lecția 4.3 vom aprofunda acest subiect.

Uneori vedeți și ARC-Seal, ARC-Message-Signature și ARC-Authentication-Results. ARC (RFC 8617) este o modalitate prin care stațiile intermediare, cum ar fi o listă de corespondență sau un server de redirecționare, consemnează care au fost rezultatele verificărilor înainte de a modifica mesajul. Nu este nevoie să le puteți citi acum.

Capete X

Capetele de mesaj care încep cu X- nu sunt standardizate. Filtrele de spam își notează acolo scorul, de exemplu X-Spam-Status: No, score=1.2 sau X-Spam-Flag: YES. Acest lucru ajută la a vedea de ce ceva a ajuns în spam. Ele diferă în funcție de furnizor.

Rezumat

• Capetele de mesaj reprezintă jurnalul de călătorie al unui e-mail. Deschideți-le cu „afișare original”, „sursă mesaj” sau ceva similar.
• Citiți liniile Received de jos în sus. Linia scrisă de serverul destinatarului vă spune ce IP a livrat mesajul.
• Return-Path este expeditorul plicului (SPF), From este expeditorul vizibil (DMARC), Reply-To este locul unde ajung răspunsurile.
• Authentication-Results oferă verdictul privind SPF, DKIM și DMARC; aveți încredere doar în cel adăugat de serverul destinatar.
• În DKIM-Signature se află d= (domeniu) și s= (selector); împreună indică locul cheii: s._domainkey.d.

Quiz

Exercițiu

Exercițiu Z1.5: Analizarea capetelor de mesaj. Trimiteți-vă un e-mail de pe o altă adresă (de exemplu, de la adresa dumneavoastră de serviciu către cea personală, sau invers), deschideți capetele de mesaj și lipiți-le în formular. Dacă nu aveți o a doua adresă, folosiți fișierul exemplu kopregels-1.txt care însoțește exercițiul. Completați apoi dumneavoastră înșivă: adresa IP a serverului care a livrat mesajul la destinatar, domeniul din Return-Path, domeniul și selectorul semnăturii DKIM, precum și rezultatul SPF, DKIM și DMARC. Programul analizează aceleași capete de mesaj, caută în timp real cheia DKIM și compară rezultatul său cu al dumneavoastră. Capetele de mesaj trimise de dumneavoastră nu sunt păstrate.

Lecturi suplimentare

Pașii din aceste articole sunt valabili pentru panourile WebOké; la alți furnizori procedura este similară.

• Verificați dacă un e-mail a ajuns, cu Email Tracking în DirectAdmin
• Manual DirectAdmin 9.3: E-mail Tracking: unde a dispărut mesajul meu?
• Acest e-mail este cu adevărat de la WebOké? Recunoașterea phishingului și utilizarea codului de acțiune
• Curs gratuit de DNS 4.4: DKIM: semnătura sub e-mailul dumneavoastră
• RFC 5322 (structura unui e-mail), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)