حلّل ملف .eml: الترويسات وسلسلة Received والروابط وبصمات المرفقات وعدم تطابق المرسل.
جديدة
محلّل ترويسات البريد الإلكتروني
تعمل محليًا
الأداة نفسها باللغة الإنجليزية؛ وهذه الصفحة تشرحها بلغتك.
استخدم محلّل ترويسات البريد الإلكتروني
ما الذي يفعله
الصق الرؤوس الأولية لرسالة مشبوهة للاطلاع على حقول «من» و«إلى» و«التاريخ» و«الموضوع»، ونتائج SPF وDKIM وDMARC التي سجلها الخادم المستقبل، وجميع نقاط الترحيل المذكورة في حقل «Received» مرتبة من الأقدم إلى الأحدث، بالإضافة إلى جدول يضم جميع الرؤوس بما في ذلك «Reply-To» و«Return-Path».
يعمل التطبيق بالكامل داخل متصفحك: ولا يتم تحميل أي شيء تدخله.
كيفية استخدام محلّل ترويسات البريد الإلكتروني
- انسخ الترويسات. افتح مصدر الرسالة (Show original في Gmail، وView message source في Outlook، وView source في Thunderbird) وانسخ أسطر الترويسات حتى أول سطر فارغ.
- الصق وحلّل. الصقها في حقل «رؤوس البريد الإلكتروني الخام» (Raw email headers) واضغط على «تحليل» (Parse). إذا قمت بلصق نص الرسالة أيضًا، فسيتوقف أداة التحليل عند أول سطر فارغ ويُظهر عدد الأسطر التي لم يقم بقراءتها.
- اقرأ الحقول العلوية. تظهر From وTo وDate أولًا، ثم Subject إن وُجد. وتُعرض القيم كما كُتبت تمامًا، دون فك ترميز.
- اقرأ نتائج المصادقة. تعرض SPF وDKIM وDMARC النتائج التي سجلها الخادم المستقبل في رأس «Authentication-Results» الأعلى، مع ذكر اسم الخادم. ولا يتم إعادة التحقق منها هنا.
- اتبع مسار نبات القنب. يتم سرد نقاط الترحيل المستلمة بدءًا من الأقدم، كما هو الحال في EML Analyzer: نقطة الترحيل 1 هي الأقرب إلى المرسل، أما نقطة الترحيل الأخيرة فقد أضيفت بواسطة الخادم الذي قام بتسليم الرسالة إليك.
- اطلع على الجدول بالكامل. تسرد قائمة «جميع الرؤوس» كل الرؤوس، بما في ذلك «Reply-To» و«Return-Path». أما «إرسال إلى» فتقوم بتمرير النتيجة التي تم تحليلها إلى أداة أخرى، مثل EML Analyzer على سبيل المثال.
مثال
إشعار مصرفي منتحَل
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>تُظهر الحقول العلوية اسم وعنوان المرسل المعروضين، ثم نتائج المصادقة التي سجلها الخادم المستقبل (spf=pass، dkim=none، dmarc=fail)، بالإضافة إلى محطتي «Received»، مع عرض الأقدم أولاً كما هو الحال في EML Analyzer: في نقطة الترحيل 1، يقبل mail.example.net الرسالة الواردة من 198.51.100.10، وفي نقطة الترحيل 2، يقبلها mx.example.com من mail.example.net. يُظهر الجدول الذي يضم جميع الرؤوس العشرة حقل «Reply-To» (الرد إلى) على نطاق آخر؛ مع وجود dmarc=fail، وهذان علامتان على أن المرسل مزيف.
ما الذي يتحقق منه
| إشارة | ماذا يعني ذلك |
|---|---|
| From | قارن اسم العرض بالعنوان الموجود بين علامتي الزاوية. اسم علامة تجارية بجوار نطاق لا علاقة له بها علامة شائعة على الانتحال. |
| To | إذا كان عنوانك غائبًا، فالأرجح أنك كنت في Bcc أو في قائمة بريدية. وكثيرًا ما يستخدم التصيد الجماعي Bcc. |
| Date | يكتبه برنامج المرسل، لذا يمكن تزويره. قارنه بالأوقات الواردة في قفزات Received. |
| Subject | يُعرض خامًا. القيمة مثل =?UTF-8?B?...?= نص مرمَّز لا يفك هذا المحلّل ترميزه. |
| SPF، DKIM، DMARC | نتائج الخادم المستقبل. إن ظهور القيمة «dmarc=fail» لنطاق علامة تجارية ما يُعد مؤشراً قوياً على التزوير؛ أما عدم الإبلاغ عن النتيجة فيعني أن الخادم لم يسجل أي نتيجة لهذا الفحص. |
| كمية الشمر المستلمة | يتم قص كل نقطة تمرير إلى 200 حرف. ولا يمكن الوثوق إلا بنقاط التمرير الموجودة في نهاية القائمة، والتي أضافها مزود الخدمة الخاص بك؛ أما النقاط السابقة لها، فيمكن تزويرها. |
| الرد إلى | إذا كان عنوان الرد على نطاق مختلف عن نطاق المرسل، فهذا يعني أن ردك سيُرسل إلى مكان آخر. |
| مسار الإرجاع | عنوان الارتداد الذي يتحقق منه نظام SPF. ومن الطبيعي في خدمات البريد الإلكتروني أن يكون هذا النطاق مختلفًا عن نطاق «من»، لكن الأمر يستحق الإشارة إليه. |
| Message-ID | كثيرًا ما يسمّي الجزء الذي بعد @ النظام الذي أنشأ الرسالة. قارنه بنطاق From. |
المزيد من الأمثلة
اسم مرسل وموضوع مرمَّزان
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000تم ملء حقول «من» و«إلى» و«التاريخ» و«الموضوع»، لكن «الاسم» و«الموضوع» يظلان على النحو التالي: =?UTF-8?B?...?=، وذلك لأن البيانات لم يتم فك تشفيرها (يُقرأ منها «فريق الرواتب» و«تحديث الراتب»). وتُدرج قائمة «الخطوات المستلمة» الخطوة المطوية في سطر واحد، بينما تُدرج قائمة «جميع الرؤوس» كل رأس على حدة.
نص الرسالة ملصوق مع الترويسات
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.لا تُقرأ كعناوين سوى الأسطر الموجودة قبل السطر الفارغ الأول. وتشير ملاحظة أسفل الجدول إلى أن الأسطر التي تليه، أي نص الرسالة، لم تُقرأ كعناوين.
سطر Subject مطوي
From: Example Shop <orders@example.com>
Subject: Your order
has shippedيعرض From الاسم Example Shop مع العنوان orders@example.com، ويعرض To وDate شرطة، ويظهر Subject بالنص «Your order has shipped» في سطر واحد. وReceived hops (0) وAll headers (2).
الأسئلة الشائعة
كيف أقرأ قفزات Received؟
يتم ترقيم «الخطوات» (Hops) بدءًا من الأقدم، كما هو الحال في برنامج EML Analyzer: «الخطوة 1» هي رأس «Received» السفلي، الذي أضافه الخادم الأول الذي عالج الرسالة، أما «الخطوة الأخيرة» فهي الرأس العلوي، الذي أضافه الخادم الذي قام بتسليم الرسالة إليك. لا يمكن الوثوق إلا بالخطوات التي أضافها مزود البريد الخاص بك، لأن المرسل يمكنه تزوير أي أسطر «Received» تظهر أسفلها.
هل يفحص SPF أو DKIM أو DMARC؟
لا. فهو يعرض نتائج SPF وDKIM وDMARC من رأس «Authentication-Results» الأعلى، ويُدرج «Received-SPF» و«DKIM-Signature» بالصيغة التي كتبها بها الخادم المستقبل، دون التحقق من أي شيء، مع فك تشفير =?UTF-8?B?...?= العناوين أو قراءة النص الأساسي (يتوقف عند أول سطر فارغ)، ويقوم باختصار القيم الطويلة (يقتصر على 200 حرف، وخلايا الجدول على 300). للحصول على ملف .eml كامل، استخدم EML Analyzer.
هل تُرفع الترويسات؟
لا. يجري التحليل داخل متصفحك ولا يُرسل أي شيء إلى أي مكان. قد تحتوي الترويسات على عناوين شخصية وعناوين IP داخلية، لذا أزلها قبل مشاركتها.
هل يمكنني لصق الرسالة كاملة بما فيها النص؟
نعم، ولكن يتم قراءة كتلة الرأس فقط: يتوقف التحليل عند أول سطر فارغ، كما ينص RFC 5322، وتوضح الصفحة عدد أسطر النص الأساسي التي تم تخطيها. أما برنامج EML Analyzer فيقرأ الرسائل بالكامل، بما في ذلك المرفقات.
ماذا يحدث لأسطر الترويسات المطوية؟
السطر الذي يبدأ بمسافة أو علامة جدولة يُضم إلى الترويسة التي فوقه بمسافة واحدة، لذا تظهر ترويسة Received أو Subject الطويلة كقيمة واحدة.
ما هو رأس «Authentication-Results» المستخدم؟
الرأس الأعلى، وهو الذي أضافه آخر خادم قام بتسليم الرسالة إليك. أما رؤوس «Authentication-Results» الأدنى، فقد تكون صادرة عن خوادم سابقة أو مزورة من قِبل المرسل.