Analiza nagłówków to badanie technicznych informacji zawartych w górnej części wiadomości e-mail, poza jej treścią właściwą.
Jakie informacje zawiera nagłówek wiadomości e-mail
Analiza nagłówków polega na odczytaniu technicznych pól zapisanych przed właściwą treścią wiadomości e-mail. Nagłówek może zawierać między innymi pola From, To, Date, Subject, Message-ID, Reply-To oraz Received. Część z nich jest prezentowana użytkownikowi w uproszczonym widoku programu pocztowego, a pełny zapis można wyświetlić za pomocą funkcji takich jak „pokaż źródło wiadomości”, „oryginał wiadomości” albo „wyświetl nagłówki”. Sam nagłówek nie jest treścią e-maila, lecz metadanymi opisującymi jego adresowanie, identyfikację i drogę dostarczenia.
Szczególne znaczenie ma pole Received. Serwery pocztowe dopisują je podczas przekazywania wiadomości, dlatego wpisy należy czytać od dołu do góry: najniższy wpis zwykle opisuje wcześniejszy etap, a najwyższy ostatni serwer, który przyjął wiadomość przed dostarczeniem jej do skrzynki. Wpis może zawierać nazwę hosta, adres IP, znacznik czasu oraz sposób uwierzytelnienia połączenia. Kolejność i zawartość tych pól pomagają ustalić, przez jakie serwery przechodziła wiadomość, choć nie każda nazwa hosta musi być wiarygodna, ponieważ część danych przekazuje nadawca.
Śledzenie drogi wiadomości przez pola Received
Każdy serwer, który przyjmuje wiadomość i przekazuje ją dalej, może dodać własny nagłówek Received. W typowym wpisie występują słowa from, by, with, id i for, ale dokładny format zależy od oprogramowania serwera. from wskazuje deklarowanego nadawcę połączenia, by identyfikuje serwer odbierający, a with może wskazywać użyty mechanizm transportu, na przykład ESMTP. Adres IP w nawiasach kwadratowych jest istotnym punktem odniesienia, lecz jego interpretacja wymaga uwzględnienia serwerów pośredniczących, bram pocztowych i usług filtrujących.
Znaczniki czasu w nagłówkach umożliwiają porównanie odstępów między kolejnymi etapami dostarczania. Różnica czasu może wynikać z opóźnienia kolejki, filtrowania antyspamowego, problemu z serwerem albo nieprawidłowego zegara systemowego. Do oceny chronologii można wykorzystać wartości zapisane w formacie zgodnym z RFC 5322, zawierające datę, godzinę i przesunięcie względem UTC. Jeżeli zegary serwerów są rozregulowane, sama data z pola Date nie wystarcza do ustalenia momentu faktycznego wysłania. Pole to jest tworzone przez program nadawcy i może różnić się od czasu zarejestrowanego przez serwer odbiorcy.
Uwierzytelnianie nadawcy i ocena wiarygodności
Nagłówki często zawierają wyniki mechanizmów SPF, DKIM i DMARC. SPF sprawdza, czy serwer wysyłający znajduje się na liście uprawnionych adresów IP opublikowanej w rekordzie DNS domeny nadawcy. DKIM wykorzystuje podpis kryptograficzny do potwierdzenia, że wybrane elementy wiadomości nie zostały zmienione po podpisaniu oraz że podpis odnosi się do określonej domeny. W nagłówku można spotkać pole DKIM-Signature z parametrami takimi jak d, s, h i b. Parametr d oznacza domenę podpisującą, s selektor klucza, a h listę podpisywanych pól.
DMARC porównuje domenę widoczną dla odbiorcy w polu From z domeną używaną przez SPF albo DKIM. Wynik kontroli bywa zapisany w polu Authentication-Results jako spf=pass, dkim=pass lub dmarc=fail. Warto sprawdzić także pola Return-Path, Sender i Reply-To, ponieważ adres wyświetlany jako nadawca może różnić się od adresu używanego do obsługi zwrotek albo odpowiedzi. Sukces pojedynczego mechanizmu nie stanowi samodzielnego dowodu autentyczności całej wiadomości. Trzeba porównać domeny, wynik uwierzytelnienia, trasę Received, identyfikator wiadomości i kontekst otrzymanej korespondencji.
Analiza nagłówków w praktyce serwisowej
Podczas sprawdzania problemu z pocztą warto zachować pełne nagłówki w niezmienionej postaci, ponieważ skrócony widok programu pocztowego może ukrywać pola potrzebne do porównania. Analizuje się między innymi powtarzające się lub brakujące wpisy Received, niespójne domeny, niezgodność adresu Reply-To z deklarowanym nadawcą, wyniki SPF/DKIM/DMARC oraz komunikaty opisujące odrzucenie wiadomości. Nagłówki mogą wyjaśnić, czy opóźnienie powstało przy wysyłaniu, w kolejce serwera, podczas filtrowania, czy dopiero przy dostarczeniu do skrzynki. Nie należy usuwać treści nagłówków przed przekazaniem ich do diagnostyki, ponieważ nawet pozornie drugorzędne pola mogą wskazywać konkretny etap problemu.
Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, a analiza nagłówków może być jednym z elementów sprawdzania problemów z konfiguracją programu pocztowego, połączeniem sieciowym lub działaniem systemu na takim urządzeniu. Wnioski powinny wynikać z całego zestawu danych, a nie z jednego podejrzanie wyglądającego adresu IP albo pojedynczego wyniku fail. Przydatne jest również porównanie kilku wiadomości: poprawnie dostarczonej, opóźnionej i odrzuconej. Różnice między nimi mogą ujawnić zmianę trasy, błędny rekord DNS, odrzucenie przez politykę domeny albo problem występujący wyłącznie w konkretnym programie pocztowym.
