Анализатор заголовков электронной почты

Что заголовок письма может показать, а что: нет

Интернет-письмо состоит из именованных полей заголовка, пустой строки и тела сообщения. RFC 5322 задаёт формат сообщения, включая сворачивание полей: строка, начинающаяся с пробела, продолжает предыдущее поле. Анализатор разворачивает такие продолжения перед интерпретацией данных. Он останавливается на первой пустой строке, поэтому не анализирует тело письма и вложения.

Почтовые серверы обычно добавляют поле Received сверху при каждом переходе сообщения. Поэтому в исходном тексте поля идут от нового к старому. Отчёт разворачивает порядок и показывает временную шкалу от источника. Разница выводится лишь тогда, когда обе соседние отметки времени успешно распознаны. Отрицательная разница помечается как возможное рассогласование часов и отменяет расчёт общего времени доставки; она не заменяется нулём.

Как читать раздел аутентификации

RFC 8601 определяет поле Authentication-Results, которое принимающая система добавляет для записи результатов вроде spf=pass, dkim=pass или dmarc=fail. Анализатор сохраняет повторные Authentication-Results, поскольку письмо может пройти несколько административных доменов. Связанные свойства, включая smtp.mailfrom, header.d и header.from, также сохраняются в заявленном виде.

DKIM-Signature содержит домен подписи (d=), селектор (s=), алгоритм (a=), идентификатор (i=) и большие криптографические значения (b= и bh=). Отчёт фиксирует полезные теги и наличие значений подписи, но намеренно исключает сами подписи из JSON. Запросы DNS и криптографическая проверка не выполняются.

RFC 8617 описывает Authenticated Received Chain (ARC). Экземпляр ARC структурно полон, если содержит ARC-Seal, ARC-Message-Signature и ARC-Authentication-Results с одинаковым значением i=. Слово «полон» означает только наличие этих трёх элементов, а не действительность или надёжность цепочки.

Пример маршрута

Пусть в исходном тексте есть два поля Received. Нижнее сообщает, что источник передал письмо ретранслятору в 10:00:03 +0000, а верхнее, что ретранслятор достиг получателя в 10:00:10 +0000. Отчёт сначала показывает событие у источника и вычисляет наблюдаемый интервал 7 секунд. Часовые пояса учитываются: между 10:00:03 +0000 и 12:00:06 +0200 проходит 3 секунды, а не два часа. Если вторая нормализованная отметка на пять секунд раньше, отчёт отмечает рассогласование часов, а итог оставляет недоступным.

Границы доверия и типичные ошибки

RFC 5321 описывает транспорт SMTP и следы, добавляемые серверами. Заголовки из-за пределов доверенной почтовой системы могут быть выдуманы. Начинайте доверие с контролируемой принимающей системы и двигайтесь вниз лишь настолько, насколько это подтверждают её записи и правила. Разные домены видимого From и Return-Path обычны для списков рассылки, переадресации и платформ транзакционных писем; это наблюдение, а не доказательство подмены.

Кодированные темы и отображаемые имена могут использовать encoded-word из RFC 2047. Анализатор декодирует распространённые варианты Base64 и quoted-printable в UTF-8, ISO-8859-1 и Windows-1252, а неподдерживаемые кодировки оставляет видимыми с предупреждением. Чрезмерные наборы полей и узлов ограничиваются ради отзывчивости браузера. Для расследования храните исходное письмо отдельно: экспорт представляет собой краткий отчёт и намеренно не содержит исходный ввод, тело, вложения и блоки подписи DKIM.

Конфиденциальность и экспорт

Разбор, выбор, копирование и создание файлов выполняются локально в текущей вкладке. Шаги воронки используют хранилище текущей вкладки, а не URL, поэтому исходный заголовок не отправляется через Livewire и не попадает в параметры перехода. Ограничение ввода, 512 KiB. CSV временной шкалы использует UTF-8 с меткой порядка байтов и строки CRLF; ячейки, начинающиеся с символов формул электронных таблиц, обезвреживаются. JSON содержит разобранные наблюдения и оговорку отчёта вместо исходного заголовка.