Pełny nagłówek to komplet pól technicznych wiadomości, niezbędny przy analizie jej trasy i uwierzytelnienia.
Pełny nagłówek wiadomości i jego podstawowe pola
Pełny nagłówek wiadomości e-mail to zestaw pól zapisanych przed treścią wiadomości. Zawiera informacje potrzebne do identyfikacji komunikatu, odtworzenia jego drogi między serwerami oraz oceny, czy nadawca został uwierzytelniony. W zwykłym widoku programu pocztowego użytkownik widzi zazwyczaj tylko skrócone dane: nadawcę, odbiorcę, temat i datę. Widok techniczny pokazuje także pola takie jak Message-ID, Received, Return-Path, MIME-Version czy Content-Type.
Do pól opisujących wiadomość należą między innymi From, To, Cc, Subject i Date. Pole From wskazuje autora prezentowanego odbiorcy, ale samo w sobie nie potwierdza, że wiadomość rzeczywiście została wysłana przez właściciela danego adresu. Pole Reply-To może wskazywać inny adres, na który program pocztowy skieruje odpowiedź. Message-ID jest identyfikatorem wiadomości, zwykle zapisanym w postaci adresopodobnego ciągu znaków, natomiast Date określa czas deklarowany przez nadawcę i nie powinien być bezwarunkowo utożsamiany z chwilą dostarczenia.
Łańcuch Received jako zapis trasy przez serwery pocztowe
Najważniejszym elementem analizy drogi wiadomości jest zestaw pól Received. Każdy serwer pocztowy, który przyjmuje komunikat od poprzedniego węzła, może dopisać własne pole Received. Nowy wpis jest umieszczany na początku nagłówka, dlatego trasę zwykle odtwarza się od dołu do góry. Wpis może zawierać nazwę hosta nadawcy, adres IP, nazwę hosta odbiorcy, użyty protokół, identyfikator transakcji oraz czas przyjęcia wiadomości.
Przykładowy wpis może mieć postać Received: from host.example (host.example [192.0.2.10]) by mx.example.net with ESMTPS id ABC123; Mon, 24 Aug 2026 10:15:00 +0000. Adres z zakresu 192.0.2.0/24 jest przeznaczony do dokumentacji i nie oznacza publicznego hosta w Internecie. W praktycznym nagłówku należy porównywać kolejność czasów, nazwy serwerów i adresy IP, pamiętając, że wpisy dodane przez zaufane serwery odbiorcze mają większą wartość dowodową niż informacje przekazane przez nadawcę. Różnica czasu między kolejnymi wpisami może wskazać opóźnienie, ponowne próby dostarczenia albo nieprawidłowo ustawiony zegar jednego z urządzeń.
Analiza Received nie polega na wyszukaniu jednego adresu IP i wydaniu automatycznego werdyktu. Część adresów może należeć do sieci prywatnych, translacji NAT, bram pośrednich albo systemów filtrujących. Trzeba również rozróżnić serwer, który faktycznie przyjął wiadomość, od nazwy umieszczonej w polu From. Jeżeli komunikat został przekazany przez kilka serwerów, najstarsze wpisy mogą pochodzić ze środowiska nadawcy, a najnowszy wpis jest tworzony przez infrastrukturę odbiorcy.
Uwierzytelnianie nadawcy w polach SPF, DKIM i Authentication-Results
Pełny nagłówek często zawiera wynik kontroli mechanizmów uwierzytelniania. Pole Authentication-Results jest dodawane przez serwer wykonujący sprawdzenie i może zawierać wyniki SPF, DKIM oraz DMARC. SPF sprawdza, czy adres IP serwera wysyłającego jest dopuszczony przez rekord SPF domeny użytej w kopercie SMTP, najczęściej widocznej jako domena z pola Return-Path. Wynik pass oznacza pozytywne przejście tego konkretnego sprawdzenia, ale nie jest samodzielnym dowodem zgodności adresu widocznego w polu From.
DKIM wykorzystuje podpis kryptograficzny zapisany w polu DKIM-Signature. Podpis wskazuje między innymi domenę podpisującą w parametrze d=, selektor klucza w parametrze s=, listę podpisanych pól w h= oraz skrót treści w bh=. Serwer odbiorczy pobiera klucz publiczny z rekordu DNS pod nazwą złożoną z selektora i domeny, a następnie sprawdza podpis oraz integralność objętych nim danych. Zmiana podpisanego tematu, adresu nadawcy lub treści po podpisaniu może spowodować wynik dkim=fail, zależnie od zakresu podpisu i sposobu kanonikalizacji.
DMARC porównuje domenę z pola From z domeną używaną przez SPF lub DKIM, zgodnie z zasadą zgodności domen. Wpis dmarc=pass oznacza, że kontrola DMARC zakończyła się pozytywnie w danym systemie odbiorczym; nie oznacza natomiast, że każda informacja w wiadomości jest prawdziwa. Warto sprawdzić także pola Return-Path, Delivered-To, X-Original-To i ARC-Authentication-Results, lecz nagłówki zaczynające się od X- nie mają jednolitego znaczenia ustalonego dla wszystkich dostawców.
Odczyt nagłówka w programie pocztowym i diagnostyka urządzenia
Pełny nagłówek przydaje się przy zgłoszeniach dotyczących spamu, opóźnionych wiadomości, błędnego wyświetlania nadawcy, problemów z załącznikiem oraz podejrzanych przekierowań. Należy skopiować całość nagłówka bez zmiany kolejności linii. Usunięcie kilku pierwszych pól Received albo wyników uwierzytelniania może uniemożliwić odtworzenie trasy. Podczas analizy warto zachować również temat, datę odebrania i informację, z którego folderu wiadomość pochodzi, ponieważ niektóre programy dodają własne wpisy dopiero po dostarczeniu komunikatu.
Wiadomości wieloczęściowe mogą zawierać pola MIME-Version, Content-Type i Content-Transfer-Encoding. Parametr boundary rozdziela poszczególne części, na przykład tekst zwykły, HTML i załącznik. Kodowanie base64 w nagłówku lub treści MIME nie jest szyfrowaniem; jest sposobem reprezentacji danych w formacie tekstowym. Sam pełny nagłówek również nie zawiera hasła do konta, ale może ujawniać adresy IP, nazwy hostów, identyfikatory systemowe i szczegóły konfiguracji klienta. Dlatego przy przekazywaniu go do analizy należy udostępniać tylko wiadomość potrzebną do diagnozy.
Jeżeli problem występuje wyłącznie na jednym laptopie, komputerze PC albo w jednym programie pocztowym, trzeba porównać pełny nagłówek wiadomości odebranej na tym urządzeniu z nagłówkiem tej samej wiadomości dostępnej przez webmail. Różnica może wskazywać na lokalny filtr, regułę przenoszącą wiadomości, nieprawidłową interpretację kodowania lub uszkodzony profil programu. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką konfiguracji systemu oraz programów pocztowych, gdy problem z odczytem wiadomości wynika z pracy urządzenia.
