Jak získat surové hlavičky
- Gmail: otevřete zprávu, klikněte na tři tečky vedle tlačítka Odpovědět, zvolte Zobrazit originál a pak Kopírovat do schránky.
- Outlook na webu: otevřete zprávu a zvolte … → Zobrazit → Zobrazit zdroj zprávy.
- Outlook pro Windows: otevřete zprávu, pak Soubor → Vlastnosti a zkopírujte obsah pole Internetové hlavičky.
- Apple Mail: vyberte zprávu, pak Zobrazení → Zpráva → Všechna záhlaví (nebo Nezpracovaný zdroj).
- Thunderbird: otevřete zprávu a stiskněte Ctrl+U (na Macu Cmd+U).
Klidně vložte celý zdroj zprávy: analýza skončí u prvního prázdného řádku, kde začíná tělo.
Co výsledky znamenají
Trasa. Každý server, který zprávu zpracuje, přidá nad ostatní řádek Received, takže
hlavičky se čtou od nejnovější po nejstarší. Analýza je otočí a ukáže skoky v pořadí, v jakém proběhly, i s časem mezi
nimi. Pár sekund je normální. Minuty obvykle znamenají frontu, greylisting nebo opakovaný pokus po dočasné chybě.
Záporné zdržení znamená, že jeden ze serverů má špatně nastavené hodiny, ne že pošta cestovala v čase zpátky.
SPF ověřuje, že odesílající server smí posílat poštu za obálkovou doménu (Return-Path).
DKIM ověřuje kryptografický podpis, který přidala doména, takže víte, že se zpráva cestou nezměnila.
DMARC ověřuje, že aspoň jedno z nich prošlo pro doménu v adrese From, kterou vidíte, a říká příjemci,
co dělat, když ne. Výsledky pocházejí z hlavičky Authentication-Results, kterou přidal váš vlastní
poskytovatel, když zpráva dorazila.
Upozornění ukazují na věci, které stojí za druhý pohled: Reply-To na jiné doméně, chybějící Message-ID, DKIM podpis od nesouvisející domény nebo skok, který trval mnohem déle než ostatní. U newsletterů a helpdesků je něco z toho běžné. Spolu se selháním DMARC jsou to ale typické znaky phishingu.
Nastavení odesílatele si ověříte kontrolou DMARC, kontrolou SPF záznamu nebo vyhledáním DKIM záznamu.
Časté otázky
Je bezpečné sem hlavičky vkládat?
Ano. Analýza je obyčejný JavaScript, který běží ve vaší záložce prohlížeče. Hlavičky se nikam nenahrávají, neukládají ani nezaznamenávají. Jakmile se stránka načte, funguje stejně i s vypnutým připojením.
Proč nemá první skok žádné zdržení?
Zdržení je čas mezi dvěma razítky Received, takže první server v řetězci nemá s čím se porovnat. Celková doba doručení se navíc počítá od hlavičky Date, kterou nastavuje poštovní program odesílatele.
SPF prošlo, ale DMARC selhal. Jak je to možné?
DMARC potřebuje, aby SPF nebo DKIM prošlo pro doménu, která odpovídá viditelné adrese From. SPF ověřuje obálkového odesílatele (Return-Path) a ten si newsletterové a fakturační služby často nastavují na vlastní doménu. Když ta doména není vaše a chybí zarovnaný DKIM podpis, DMARC selže, i když SPF prošlo.
Dají se hlavičky podvrhnout?
Všechno pod první hlavičkou Received, kterou přidal váš vlastní poskytovatel, mohl napsat odesílatel. Věřte hlavičce Authentication-Results, kterou nahoře přidal váš poskytovatel, a zbytek řetězce berte jako tvrzení, ne jako důkaz.