Modulul 3 · 3.3
Citirea expeditorului și a antetelor
Modulul 3: Recunoașterea phishingului · Timp de citire: 13 minute
Obiectiv de învățare: După această lecție veți putea evalua expeditorul unui e-mail pe baza numelui afișat, a adresei From, a Reply-To, a Return-Path, a liniilor Received și a rezultatului SPF, DKIM și DMARC din Authentication-Results.
Noțiuni cheie: nume afișat, From, Reply-To, Return-Path, Received, Authentication-Results, rezultat SPF/DKIM/DMARC, aliniere
Ce vedeți și ce scrie cu adevărat
Un program de e-mail vă arată de obicei doar o mică parte din expeditor: un nume, uneori o adresă. În spate se află un bloc de linii tehnice pe care nu le vedeți, antetele (headers). În acestea scrie cine pretinde a fi expeditorul, unde vrea să primească răspunsurile, prin ce servere a trecut mesajul și ce a verificat serverul dumneavoastră de e-mail.
Nu trebuie să fiți tehnician ca să le citiți. Aveți nevoie de șase dintre ele:
| Antet | Ce reprezintă | Cine îl completează |
|---|---|---|
| Nume afișat | Numele dinaintea adresei, de exemplu Mijnbank | Expeditorul, la liberă alegere |
From | Adresa expeditorului pe care o vedeți | Expeditorul |
Reply-To | Unde ajunge răspunsul dumneavoastră dacă apăsați pe Răspundeți | Expeditorul |
Return-Path | Adresa tehnică a expeditorului pentru mesaje de eroare (expeditorul plicului) | Serverul dumneavoastră de e-mail, pe baza celor indicate de expeditor |
Received | O linie pentru fiecare server prin care a trecut mesajul | Fiecare server de pe traseu |
Authentication-Results | Rezultatul SPF, DKIM și DMARC | Serverul dumneavoastră de e-mail |
Primele trei pot fi completate de expeditor cum dorește. Abia la ultimele trei intervine o verificare.
Numele afișat nu spune nimic
Numele afișat este pur și simplu text. Oricine poate folosi ca nume "Serviciul Clienți Mijnbank" sau numele directorului dumneavoastră. Multe programe de e-mail, mai ales pe telefon, afișează doar acel nume. Un truc cunoscut este plasarea unei adrese în interiorul numelui:
From: "info@mijnbank.example" <noreply@aanvaller.example>Vedeți info@mijnbank.example, dar adresa reală se află între parantezele unghiulare. Așadar, atingeți sau faceți clic întotdeauna pe nume pentru a vedea adresa completă.
Și adresa From în sine poate fi falsificată: în protocolul de e-mail, un server poate indica orice adresă From. Dacă acest lucru reușește fără ca mesajul să ajungă în folderul de spam depinde de SPF, DKIM și DMARC ale domeniului imitat. Despre acestea este vorba în restul acestei lecții.
Reply-To: răspunsul merge către altcineva
Prin Reply-To, un e-mail spune: "nu răspundeți mie, ci acestei adrese". Buletinele informative și formularele web folosesc în mod normal acest câmp. Escrocii îl folosesc pentru a prelua o conversație. E-mailul provine de la o adresă reală sau cu aspect real, dar răspunsul dumneavoastră, cu datele solicitate sau confirmarea plății, ajunge la atacator.
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>La o cerere de bani sau de date, fiți atenți întotdeauna la adresa din fereastra de răspuns, înainte de a apăsa Trimiteți.
Return-Path, Received și traseul
Return-Path este adresa către care merg mesajele de eroare. Se mai numește și expeditorul plicului: adresa de pe exteriorul plicului, în timp ce From se află pe scrisoarea propriu-zisă. Pe acel domeniu verifică SPF. La buletine informative și facturi dintr-un program de contabilitate, Return-Path este adesea un domeniu al serviciului de trimitere. Acest lucru este normal.
Fiecare server care transmite mai departe mesajul adaugă o linie Received deasupra. Așadar, le citiți de jos în sus: linia de jos este începutul traseului, cea de sus este ultima stație (propriul dumneavoastră server de e-mail). Atenție: puteți avea încredere doar în liniile de sus, adăugate de propriul dumneavoastră furnizor. Dedesubt, un expeditor poate include linii inventate.
Authentication-Results: rezultatul verificării
Propriul dumneavoastră server de e-mail verifică la sosire trei lucruri (mai multe explicații în modulul 4 și în cursul DNS):
- SPF: avea acest server voie să trimită e-mailuri pentru domeniul din Return-Path?
- DKIM: este corectă semnătura digitală și cărui domeniu îi aparține (
d=sauheader.d=)? - DMARC: aparține cel puțin una dintre aceste două verificări reușite domeniului din From? Aceasta se numește aliniere. "Aparține" înseamnă: același domeniu înregistrabil (lecția 3.2).
mail.mijnbank.exampleeste aliniat cumijnbank.example(același domeniu înregistrabil).
Rezultatul se află în Authentication-Results. Aveți încredere doar în linia cu numele propriului dumneavoastră server de e-mail la început; un expeditor poate include și el însuși o astfel de linie.
| Rezultat | Semnificație |
|---|---|
pass | Verificarea a reușit |
fail | Verificarea a eșuat: nu era permis sau semnătura nu este corectă |
softfail (SPF) | Probabil nu era permis, dar domeniul nu dorește o respingere fermă (~all) |
none | Nu a existat nimic de verificat: niciun înregistrare sau nicio semnătură |
Cea mai importantă lecție: dmarc=pass înseamnă doar "acest e-mail provine cu adevărat de la domeniul din From". Nu spune nimic despre întrebarea dacă acel domeniu este de încredere. Un atacator cu propriul său domeniu lookalike poate avea totul perfect setat pe pass.
În practică: așa arată
Trei blocuri de antete simulate, reduse la liniile relevante. Destinatarul este Bakkerij Example; propriul server de e-mail se numește mx1.example.com.
Exemplul 1: autentic.
Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mail.mijnbank.example;
dkim=pass header.d=mijnbank.example header.s=sel2026;
dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaarDomeniul From este mijnbank.example, DKIM este semnat de mijnbank.example, iar Return-Path se încadrează sub acesta: ambele aliniate, DMARC trece. E-mailul provine cu adevărat de la acel domeniu. Pentru extrasul anual, accesați totuși banca prin propriul dumneavoastră marcaj (bookmark).
Exemplul 2: expeditor falsificat.
Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mailer.aanvaller.example;
dkim=none;
dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummerSPF trece, dar pentru aanvaller.example, nu pentru domeniul From. Nu există semnătură. DMARC eșuează, așadar. Pentru că furnizorul are p=none, mesajul a fost totuși livrat. Cu p=reject ar fi fost respins. La aceasta se adaugă și Reply-To către un alt domeniu. Fals.
Exemplul 3: lookalike cu totul pe pass.
Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mijnbank-veilig.example;
dkim=pass header.d=mijnbank-veilig.example header.s=k1;
dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Confirmați datele dumneavoastră pentru noul card de platăTotul trece, pentru că atacatorul a configurat totul corect pentru propriul domeniu. Dar mijnbank-veilig.example nu este mijnbank.example, domeniul băncii reale. Fals.
Deschideți singur antetele. În webmailul bazat pe Roundcube (ca la WebOké), deschideți mesajul și alegeți din meniul More (cele trei puncte) opțiunea Source. Alte programe îl denumesc, de exemplu, "Afișare original" sau "Sursa mesajului". Căutați în text Authentication-Results. Pe telefon acest lucru adesea nu este posibil; vizualizați atunci e-mailul în webmail pe un calculator.
Rezumat
- Numele afișat, From și Reply-To sunt completate de expeditor însuși. Fiți atenți întotdeauna la adresa reală și la Reply-To înainte de a răspunde.
- Return-Path este adresa de plic pe care o verifică SPF. Liniile Received se citesc de jos în sus; aveți încredere doar în cele ale propriului dumneavoastră furnizor.
- Authentication-Results oferă rezultatul SPF, DKIM și DMARC. DMARC verifică dacă SPF sau DKIM este aliniat cu domeniul From.
dmarc=failla un domeniu cunoscut este un semnal puternic de falsificare.dmarc=passdovedește doar că e-mailul provine de la domeniul From. Verificați întotdeauna dacă acel domeniu este cel real.
Test
Exercițiu
Exercițiul A3.3: Citirea antetelor. Primiți trei blocuri de antete. Completați pentru fiecare bloc: domeniul din Return-Path, domeniul semnăturii DKIM (d=), rezultatul DMARC și dacă e-mailul este autentic sau fals. Programul verifică și, în caz de greșeală, indică linia unde se află răspunsul.
Citiți mai departe
Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează similar.
- Ce este DMARC? Explicație pe înțelesul tuturor
- E-mailul dumneavoastră nu ajunge sau ajunge în spam: iată cum identificați problema
- Verificare publică de e-mail (SPF, DMARC, MX) a unui domeniu: https://www.weboke.ro/emailcheck, și testul de e-mail de la internet.nl: https://internet.nl
- Cursul DNS, lecțiile 4.3 SPF, 4.4 DKIM și 4.5 DMARC: https://www.weboke.ro/dns-cursus
- RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601