Nagłówek wiadomości e-mail
Nagłówek wiadomości e-mail (ang. email header) to zestaw informacji technicznych dołączanych do poczty elektronicznej. Zawiera m.in. adres nadawcy i odbiorcy, datę wysyłki, identyfikator wiadomości, informacje o serwerach uczestniczących w jej dostarczaniu oraz wyniki weryfikacji nadawcy. Dzięki tym danym możesz sprawdzić, skąd pochodzi e-mail i czy występują sygnały wskazujące na próbę podszycia się pod inną osobę lub firmę.
Większość tych informacji jest domyślnie ukryta w programie pocztowym. Jeżeli jednak wiadomość wzbudzi Twoje podejrzenia, możesz wyświetlić jej pełny nagłówek i samodzielnie sprawdzić kilka podstawowych danych.
- Co to jest nagłówek wiadomości e-mail?
- Do czego służy nagłówek wiadomości?
- Co sprawdzić w nagłówku podejrzanej wiadomości?
- Jakie informacje zawiera nagłówek e-mail? Tabela
- Jak wyświetlić pełny nagłówek wiadomości?
- Czy nagłówek pozwala rozpoznać phishing?
Co to jest nagłówek wiadomości e-mail?
Każda wiadomość elektroniczna składa się z części zawierającej treść oraz nagłówka opisującego jej właściwości i sposób dostarczenia. Możesz porównać go do informacji umieszczanych na kopercie tradycyjnego listu, uzupełnionych o techniczny zapis jego drogi przez kolejne serwery pocztowe.
W nagłówku znajdziesz zarówno dane widoczne na co dzień, takie jak nadawca, odbiorca, temat i data, jak również informacje wykorzystywane przez serwery pocztowe do dostarczania wiadomości, weryfikowania domen i filtrowania spamu.
Ważne: adres widoczny w polu nadawcy można podrobić. Dlatego sam nagłówek From nie jest wystarczającym potwierdzeniem autentyczności wiadomości. Większe znaczenie ma zestawienie kilku pól oraz wyników kontroli uwierzytelniania.
Przykład pełnego nagłówka wiadomości e-mail zawierającego informacje techniczne o nadawcy, drodze dostarczenia i uwierzytelnianiu poczty.
Do czego służy nagłówek wiadomości?
Nagłówki są wykorzystywane podczas obsługi i dostarczania poczty elektronicznej. Dzięki nim serwery oraz programy pocztowe mogą rozpoznawać nadawcę, identyfikować wiadomości, analizować ich drogę i przetwarzać wyniki mechanizmów bezpieczeństwa.
Analiza nagłówka pomaga między innymi:
- sprawdzić informacje o nadawcy i adresie, na który zostanie wysłana odpowiedź,
- ocenić wyniki SPF, DKIM i DMARC, czyli mechanizmów uwierzytelniania poczty,
- ustalić, przez jakie serwery przechodziła wiadomość,
- zidentyfikować niektóre przyczyny opóźnień w dostarczaniu korespondencji,
- uzyskać dodatkowe informacje podczas analizy spamu, phishingu lub problemów z pocztą.
Więcej o sprawdzaniu pochodzenia wiadomości przeczytasz w naszym artykule Jak sprawdzić, czy otrzymana wiadomość pochodzi z SEOHOST?.
Co sprawdzić w nagłówku podejrzanej wiadomości?
Otrzymałeś wiadomość z prośbą o pilną płatność, zmianę hasła albo otwarcie nieznanego załącznika? Nie musisz analizować kilkudziesięciu technicznych wpisów. Zacznij od czterech podstawowych pól.
- From – kto jest nadawcą? Sprawdź pełny adres e-mail i domenę po znaku @. Nie kieruj się wyłącznie wyświetlaną nazwą firmy. Zwróć uwagę na literówki i domeny podobne do prawdziwych.
- Reply-To – do kogo trafi odpowiedź? Jeżeli odpowiedź ma zostać wysłana na zupełnie inny adres lub do nieznanej domeny, zachowaj ostrożność. Różnica nie zawsze oznacza oszustwo, ale warto ją wyjaśnić.
- Authentication-Results – co potwierdził serwer pocztowy? Odszukaj wyniki SPF, DKIM i DMARC. Oznaczenie
passinformuje o pozytywnym wyniku konkretnego testu, natomiastfailwskazuje, że dana kontrola nie została zaliczona. Szczególnie istotny jest wynik DMARC, który uwzględnia zgodność uwierzytelnionej domeny z domeną widoczną w polu From. - Return-Path – jaki jest techniczny adres zwrotny? Sprawdź, czy należy do domeny nadawcy lub rozpoznawalnego dostawcy obsługującego wysyłkę. Różnica względem From jest normalna np. w newsletterach, ale nieznany adres może być powodem do dalszej weryfikacji.
Uwaga na podejrzane wiadomości. Jeśli adres nadawcy budzi wątpliwości, odpowiedź jest kierowana na nieznaną domenę albo wyniki uwierzytelniania są nieprawidłowe, nie klikaj linków i nie otwieraj załączników. Potwierdź autentyczność wiadomości niezależnym kanałem, np. przez oficjalną stronę firmy lub znany numer telefonu.
Jakie informacje zawiera nagłówek e-mail?
Poniższa tabela przedstawia najczęściej spotykane pola nagłówka wiadomości, ich znaczenie i zastosowanie. Pogrubieniem wyróżniliśmy cztery pola, od których warto rozpocząć sprawdzanie podejrzanego e-maila. Nie każda wiadomość będzie zawierała wszystkie wymienione wpisy.
| Pole nagłówka | Co oznacza? | Jak je interpretować? |
|---|---|---|
| From | Adres nadawcy widoczny dla odbiorcy. | Sprawdź pełny adres i domenę. Nazwa firmy i adres mogą być podrobione. |
| Reply-To | Adres, na który program wyśle odpowiedź. | Porównaj go z From. Nieoczekiwana domena wymaga dodatkowej kontroli. |
| Authentication-Results | Wyniki uwierzytelniania SPF, DKIM i DMARC. | Sprawdź wartości pass, fail lub none. Interpretuj wyniki zapisane przez zaufany serwer odbiorczy. |
| Return-Path | Techniczny adres zwrotny używany m.in. przy niedostarczeniu wiadomości. | Porównaj domenę z From. Inny adres może należeć do legalnego systemu wysyłkowego. |
| Received | Informacje o serwerach przekazujących wiadomość. | Pozwala analizować trasę dostarczenia. Kolejne wpisy są zwykle dodawane od góry; nie wszystkie wcześniejsze dane muszą być wiarygodne. |
| Received-SPF | Wynik kontroli SPF zapisany przez system pocztowy. | Informuje, czy serwer wysyłający został upoważniony do wysyłki dla sprawdzanej domeny. |
| DKIM-Signature | Podpis cyfrowy dołączony do wiadomości. | Zawiera m.in. domenę podpisującą (d=). Sama obecność podpisu nie oznacza, że przeszedł weryfikację. |
| Date | Data i godzina zadeklarowana przez nadawcę. | Nietypowa data lub rozbieżność z czasem dostarczenia może wymagać wyjaśnienia. |
| To | Odbiorca wskazany w nagłówku. | Może różnić się od faktycznego odbiorcy, np. w przypadku BCC, aliasów lub list mailingowych. |
| Subject | Temat wiadomości. | Pomaga zidentyfikować korespondencję, ale nie potwierdza autentyczności nadawcy. |
| Message-ID | Identyfikator przypisany wiadomości. | Pomocny w logach pocztowych i diagnostyce. Może zawierać nazwę domeny lub serwera, ale można go podrobić. |
| X-Spam-Status / X-Spam-Score | Ocena wiadomości przez wybrane filtry antyspamowe. | Może wskazywać, dlaczego wiadomość została zakwalifikowana jako spam. Nie każdy dostawca używa takich samych pól. |
| Content-Type | Format zawartości wiadomości, np. tekst, HTML lub wiadomość wieloczęściowa. | Pomaga określić sposób przetwarzania treści i załączników. |
| MIME-Version | Wersja standardu formatowania treści wiadomości. | Pole techniczne, zwykle bez znaczenia przy samodzielnym sprawdzaniu wiarygodności nadawcy. |
| List-Unsubscribe | Informacja o sposobie wypisania się z listy mailingowej. | Występuje m.in. w newsletterach. Sama obecność pola nie potwierdza legalności ani bezpieczeństwa wiadomości. |
Co oznaczają SPF, DKIM i DMARC? SPF sprawdza uprawnienia serwera do wysyłania poczty dla określonej domeny, DKIM weryfikuje podpis cyfrowy wiadomości, natomiast DMARC kontroluje zgodność domeny widocznej w polu From z domeną prawidłowo uwierzytelnioną przez SPF lub DKIM. Szczegóły wyjaśniamy w artykule Jak SPF, DKIM i DMARC wpływają na ochronę antyspamową?.
Jak wyświetlić pełny nagłówek wiadomości?
Większość programów pocztowych umożliwia wyświetlenie pełnych nagłówków otrzymanej wiadomości. Nazwa funkcji zależy od aplikacji – może to być np. „Nagłówki”, „Pokaż oryginał”, „Źródło wiadomości” albo „Nagłówki internetowe”.
Przygotowaliśmy osobne instrukcje pokazujące, gdzie znaleźć te informacje w popularnych usługach pocztowych:
Po wyświetleniu nagłówka możesz wyszukać interesujące Cię pola, korzystając z funkcji wyszukiwania tekstu w przeglądarce lub programie pocztowym. Do podstawowej oceny zacznij od From, Reply-To, Authentication-Results i Return-Path.
Czy nagłówek pozwala rozpoznać phishing?
Analiza nagłówka może pomóc wykryć próbę podszycia się pod nadawcę, ale nie daje stuprocentowej pewności, że wiadomość jest bezpieczna. Przestępca może wysłać phishing z własnej, prawidłowo uwierzytelnionej domeny albo z przejętego konta pocztowego. W takich sytuacjach wyniki SPF, DKIM i DMARC mogą być poprawne, mimo że treść wiadomości jest oszustwem.
Podobnie nie każdy wynik fail oznacza atak. Nieprawidłowa konfiguracja serwera, przekazywanie wiadomości między usługami czy działanie list mailingowych mogą wpływać na wyniki poszczególnych kontroli.
Nagłówek jest wskazówką, a nie gwarancją bezpieczeństwa. W przypadku podejrzanej wiadomości sprawdź również treść, adresy stron, na które prowadzą linki, i kontekst otrzymanej prośby. Jeżeli wiadomość dotyczy pieniędzy lub danych logowania, zweryfikuj ją bezpośrednio u nadawcy, korzystając z niezależnie ustalonych danych kontaktowych.
Dowiedz się więcej o zagrożeniach związanych z korespondencją elektroniczną:
- Co to jest phishing i jak go rozpoznać?
- Co to jest spoofing i jak działa podszywanie się pod nadawcę?
- Jak sprawdzić, czy wiadomość rzeczywiście pochodzi z SEOHOST?
Nie masz pewności, czy otrzymana wiadomość jest autentyczna? Jeżeli dotyczy usług SEOHOST, płatności, domeny lub dostępu do hostingu, zweryfikuj informacje bezpośrednio w Panelu Klienta albo skontaktuj się z nami przez formularz kontaktowy SEOHOST. Do zgłoszenia możesz dołączyć oryginalną wiadomość wraz z nagłówkami, pamiętając, że mogą one zawierać dane osobowe i informacje techniczne.