Darmowe narzędzie
Analizator nagłówków e-mail. Zobacz, skąd naprawdę przyszła wiadomość.
Wklej surowe nagłówki wiadomości, aby zobaczyć, przez jakie serwery przeszła, czy SPF, DKIM i DMARC dały wynik pozytywny i czy domeny w polach From, Reply-To i Return-Path do siebie pasują.
Analiza działa w Twojej przeglądarce. Wklejone nagłówki nie trafiają do AntiBait ani nikogo innego.
Co sprawdza
Ta część e-maila, której nie widać.
Nad treścią każdego e-maila jest blok nagłówków. Część z nich wpisuje nadawca (From, Subject, Reply-To), a część dopisuje każdy serwer pocztowy, przez który wiadomość przeszła w drodze do Ciebie (Received, Authentication-Results).
Pole From to zwykły tekst i każdy może wpisać w nie dowolny adres. Nagłówki dopisane przez Twojego dostawcę poczty dużo trudniej podrobić: zapisują, który serwer przekazał wiadomość i czy domena nadawcy za nią poręczyła. Zestawienie ich obok siebie to najszybszy sposób, by rozpoznać podszywanie się pod nadawcę.
Droga doręczenia
Wszystkie wiersze Received od najstarszego, z serwerem nadawczym, jego adresem IP, protokołem i czasem, przez jaki każdy serwer przetrzymał wiadomość.
SPF, DKIM i DMARC
Nagłówek Authentication-Results zapisany przez Twojego dostawcę, rozłożony na wynik każdego sprawdzenia i domenę, dla której je przeprowadzono.
Zgodność domen
Czy Return-Path, Reply-To, Message-ID i domena podpisu DKIM należą do tej samej domeny co From.
Wyraźne niezgodności
Odpowiedzi kierowane gdzie indziej, nazwa nadawcy z innym adresem, nieudane sprawdzenia i znaczniki czasu, które cofają się w czasie.
Wynik
Jak czytać wynik.
Wyniki są ułożone od najpoważniejszego. Pojedynczy wynik rzadko cokolwiek przesądza, ale kilka wskazujących w tę samą stronę zwykle tak.
- DMARC: wynik negatywny
- Najmocniejszy pojedynczy sygnał podszywania się. Domena z pola From publikuje politykę, a wiadomość nie spełniła żadnego z jej warunków: SPF nie przeszedł dla tej domeny i nie ma jej podpisu DKIM.
- SPF i DKIM
- Wynik pozytywny oznacza, że jakaś domena poręczyła za wiadomość, niekoniecznie ta z pola From. Sprawdź domenę obok każdego wyniku i wiersze zgodności.
- Zgodna z From / Inna
- Newslettery i inne wysyłki masowe często mają osobną domenę Return-Path i DKIM należącą do firmy wysyłkowej, więc różnica w tych polach jest częsta. Reply-To w niezwiązanej domenie zasługuje na więcej podejrzliwości: Twoja odpowiedź trafiłaby do kogoś innego.
- Droga doręczenia
- Czytaj ją od góry do dołu jako trasę wiadomości. Pierwsze przeskoki zapisała strona nadawcy i mogą być zmyślone; ostatnie należą do Twojego dostawcy i można im ufać.
- Rozbieżny zegar
- Przeskok oznaczony wcześniejszą godziną niż poprzedni. Zwykle to serwer ze źle ustawionym czasem, ale tak wyglądają też sfabrykowane wiersze Received.
Pytania
Częste pytania.
Jak zobaczyć pełne nagłówki e-maila?
W Gmailu otwórz wiadomość, kliknij menu z trzema kropkami i wybierz Pokaż oryginał. W Outlooku w przeglądarce otwórz menu z trzema kropkami, wybierz Widok, a potem Wyświetl szczegóły wiadomości; w klasycznym Outlooku dla Windows otwórz wiadomość i przejdź do Plik, Właściwości, Nagłówki internetowe. W Apple Mail użyj Widok, Wiadomość, Wszystkie nagłówki, a w Thunderbirdzie Widok, Źródło wiadomości. Skopiuj wszystko, co jest nad treścią wiadomości.
Czy mogę bezpiecznie wkleić tu swoje nagłówki?
Analiza odbywa się w całości w Twojej przeglądarce i nic z tego, co wklejasz, nie jest wysyłane. Nagłówki mogą jednak zawierać Twój adres e-mail i nazwy wewnętrznych serwerów, więc udostępniając je gdzie indziej, traktuj je jak inne dane osobowe.
Dlaczego nagłówków Authentication-Results jest kilka?
Każdy serwer, który sprawdza wiadomość, może dopisać własny. Tylko ten najwyżej zapisał Twój dostawca poczty. Niższe mogą pochodzić od strony nadawcy, a podrobiony nagłówek z wynikiem „wszystko w porządku” to znana sztuczka, dlatego to narzędzie opiera werdykt na najwyższym.
SPF i DKIM przeszły. Czy wiadomość jest bezpieczna?
Niekoniecznie. Pozytywny wynik dowodzi, że wiadomość wysłała jakaś domena, a nie że ta domena jest uczciwa. Oszuści rejestrują własne domeny i konfigurują dla nich SPF i DKIM. Sprawdź, która domena przeszła weryfikację i czy to ta, z której wiadomość rzekomo pochodzi.
Co, jeśli nie ma nagłówków Received?
Najpewniej nagłówki pochodzą z wiadomości wysłanej, wersji roboczej albo pliku zapisanego przez program pocztowy, a te nie mają drogi doręczenia. Otwórz wiadomość tak, jak dotarła do skrzynki odbiorcy, i skopiuj nagłówki stamtąd.
Pełna analiza
Masz wątpliwości co do całej wiadomości? Sprawdź ją w całości.
To narzędzie patrzy na jeden fragment wiadomości. Analizator AntiBait czyta cały e-mail: uwierzytelnienie nadawcy, linki i to, dokąd przekierowują, załączniki, samą treść i tożsamość nadawcy, a potem wyjaśnia werdykt. Możesz wypróbować go za darmo, bez zakładania konta.