Analisador de cabeçalho de email

O cabeçalho de um email é o bloco de metadados que viaja com toda mensagem e registra como ela chegou até você: quem enviou, quais servidores repassaram, quando cada um a processou e se o domínio remetente passou na autenticação. Seu cliente de email esconde quase tudo e mostra apenas De, Para, Assunto e Data. O resto é onde está a informação útil.

Ele pega aquele bloco bruto - denso, repetitivo e escrito para máquinas - e transforma em algo legível. Este extrai o caminho de entrega salto a salto, puxa os veredictos de SPF, DKIM e DMARC registrados pelo servidor de destino, verifica se o domínio do remetente visível bate com o domínio que realmente se autenticou e sinaliza os padrões que aparecem em emails falsificados.

Depende do seu cliente. Gmail: abra a mensagem, menu de três pontos, "Show original". Outlook na web: menu de três pontos, "View", "View message source". Apple Mail: menu Visualizar, Mensagem, "All Headers". Yahoo: menu de três pontos, "View raw message". Thunderbird: Ctrl+U. As instruções completas de cada um estão na seção acima.

O SPF verifica se o servidor que enviou a mensagem está na lista de servidores autorizados pelo domínio. O DKIM verifica uma assinatura criptográfica que prova que a mensagem não foi alterada no caminho e veio mesmo daquele domínio. O DMARC amarra os dois e acrescenta o que mais importa: exige que o domínio que passou no SPF ou no DKIM seja o mesmo que aparece na linha From:. Uma mensagem pode passar no SPF e ainda assim ser falsa, se o domínio aprovado não for o que você vê.

O sinal isolado mais forte é uma falha de DMARC em uma mensagem que diz vir de uma marca grande - esses domínios publicam políticas rígidas, então uma mensagem legítima deles passa. Depois disso, procure um Reply-To apontando para um domínio diferente do endereço From, um Return-Path que não bate com nenhum dos dois e a ausência de Message-ID. Qualquer um desses sozinho pode ser inocente. Dois ou três juntos, em uma mensagem que quer que você clique em algo, não são.

Quase sempre por encaminhamento. Quando uma mensagem é encaminhada, o servidor que encaminha passa a ser o remetente aos olhos do SPF, e ele não está na lista autorizada do domínio original - então o SPF falha sem culpa nenhuma de quem enviou. É exatamente para isso que o DKIM existe: a assinatura sobrevive ao encaminhamento. Se o DKIM passou e o SPF falhou, encaminhamento é a explicação provável.

Cada servidor adiciona a própria linha Received: no topo do bloco de cabeçalhos conforme a mensagem passa, então os cabeçalhos brutos são lidos do mais novo para o mais antigo - o último servidor a tocar a mensagem fica no topo e o remetente original, embaixo. Esta ferramenta inverte a ordem, de modo que o caminho de entrega que você vê segue a ordem em que a mensagem realmente viajou.

Só de forma aproximada, e muitas vezes nem isso. O IP de origem diz qual servidor enviou a mensagem, e para quem usa Gmail, Outlook ou qualquer provedor conhecido isso é um data center, não uma pessoa. Emails enviados de um servidor próprio ou de um dispositivo comprometido podem revelar mais. Trate qualquer localização obtida assim como um sinal fraco, nunca como identificação.

Não. Toda a análise roda como JavaScript dentro do seu navegador - os cabeçalhos nunca são enviados aos nossos servidores, nunca são registrados e nunca são armazenados. Você pode se desconectar da internet depois que a página carregar e a ferramenta continua funcionando. Cabeçalhos de email costumam conter nomes de host internos, endereços de destinatários e detalhes de roteamento, que é exatamente o tipo de coisa que não deveria ir parar nas mãos de terceiros para processamento.

Não. Não há cadastro, nem limite de quantas mensagens você pode analisar, nem plano pago. E se você também precisar de um endereço descartável para testar onde seu próprio email vai parar, dá para criar um nesta mesma página com um clique - isso também é grátis.