X-Mailer

X-Mailer to nagłówek identyfikujący oprogramowanie użyte do wysłania wiadomości.

Nagłówek informacyjny opisujący program nadawcy

X-Mailer należy do grupy nagłówków rozszerzających, oznaczanych przedrostkiem X, których standard formatu wiadomości nigdy nie definiował jako obowiązkowych. Wpisuje go program pocztowy nadawcy i podaje w nim własną nazwę oraz wersję. Część klientów zamiast tego używa nagłówka User-Agent, o tym samym znaczeniu, a nowsze wydania popularnych programów biurowych nie dodają go w ogóle, ujawniając się dopiero pośrednio przez sposób budowy części wielosegmentowej wiadomości. Nagłówek zobaczymy, otwierając właściwości wiadomości i podglądając nagłówki internetowe, a w kliencie przeglądarkowym wybierając polecenie pokazania oryginału.

Do czego naprawdę służy w analizie poczty

Wartość diagnostyczna tego pola jest spora, choć nie ma ono żadnej mocy dowodowej. Nadawca może wpisać w nie cokolwiek, bo nagłówek nie jest w żaden sposób weryfikowany przez serwery pośredniczące. Mimo to filtry antyspamowe uwzględniają go w punktacji: wartości charakterystyczne dla znanych narzędzi masowej wysyłki albo puste i wyraźnie sfałszowane wpisy podnoszą wynik podejrzliwości. Przy analizie zgłoszeń o podszywaniu się nagłówek pomaga odróżnić wiadomość wysłaną naprawdę z firmowego programu od podrobionej, jeśli zestawi się go z pozostałymi śladami: łańcuchem serwerów pośredniczących, wynikiem weryfikacji podpisu domeny i identyfikatorem wiadomości.

Prywatność i ukrywanie informacji o środowisku

Ujawnianie dokładnej wersji programu pocztowego to drobny, ale realny wyciek informacji, bo wskazuje potencjalnemu napastnikowi, jakie podatności warto wypróbować. W środowiskach o podwyższonych wymaganiach usuwa się ten nagłówek regułą na bramie pocztowej albo zastępuje wartością neutralną. Warto pamiętać, że sama zmiana nagłówka niczego nie ukrywa, jeśli reszta wiadomości nadal zdradza nadawcę: granice sekcji wielosegmentowej, format daty i sposób kodowania załączników mają charakterystyczną postać dla każdego programu. Usuwanie nagłówka bywa też mylnie stosowane jako lekarstwo na trafianie do folderu wiadomości śmieci, podczas gdy przyczyną są zwykle braki w konfiguracji rekordów uwierzytelniających domenę.

Analiza nagłówków przy zgłoszeniach o wyłudzenia

Najczęściej sięgamy po ten nagłówek, gdy firma dostaje wiadomość podszywającą się pod prezesa lub kontrahenta z prośbą o zmianę numeru konta. Rozkładamy wtedy pełne nagłówki na czynniki pierwsze, ustalamy, którym serwerem list faktycznie wyszedł, i sprawdzamy, czy własna domena klienta jest odpowiednio zabezpieczona przed podszywaniem. Przy okazji weryfikujemy stanowiska, na których wiadomość została otwarta, bo załącznik z takiej korespondencji bywa już uruchomiony. Takie zgłoszenia obsługujemy natychmiast, o każdej porze doby, bo liczy się w nich czas reakcji.