فایل .eml را تجزیه کنید: هدرها، زنجیرهٔ Received، لینک‌ها، هش پیوستها و ناهمخوانی‌های فرستنده.
جدید
تجزیه‌گر هدر ایمیل
اجرای محلی
خود ابزار به زبان انگلیسی است؛ این صفحه آن را به زبان شما توضیح می‌دهد.
از تجزیه‌گر هدر ایمیل استفاده کنید
کارکرد
سربرگ‌های خام یک پیام مشکوک را پیست کنید تا فیلدهای From، To، Date و Subject، نتایج SPF، DKIM و DMARC که سرور دریافت‌کننده نوشته است، هر hop از سربرگ Received از قدیمیترین به جدیدترین و جدولی از تمام سربرگ‌ها از جمله Reply-To و Return-Path را ببینید.
این کاملاً در مرورگر شما اجرا میشود: هیچ‌یک از اطلاعاتی که وارد می‌کنید بارگذاری نمیشود.
چگونه از تجزیه‌گر هدر ایمیل استفاده کنیم
- هدرها را کپی کنید. متن خام پیام را باز کنید (در Gmail گزینهٔ Show original، در Outlook گزینهٔ View message source، در Thunderbird گزینهٔ View source) و خطوط هدر را تا نخستین خط خالی کپی کنید.
- بچسبانید و تجزیه کنید. آنها را در سربرگ‌های ایمیل خام بچسبانید و دکمهٔ Parse را فشار دهید. اگر متن ایمیل را هم بچسبانید، تجزیه‌گر در اولین خط خالی متوقف میشود و میگوید چند خط را نخوانده است.
- فیلدهای بالا را بخوانید. ابتدا From، To و Date نمایش داده میشوند، سپس Subject اگر وجود داشته باشد. مقادیر دقیقاً همانطور که نوشته شدهاند و بدون کدگشایی نمایش داده میشوند.
- نتایج احراز هویت را بخوانید. SPF، DKIM و DMARC نتایج را نشان می‌دهند که سرور دریافت‌کننده در بالاترین هدر Authentication-Results به همراه نام سرور نوشته است. این نتایج در اینجا مجدداً بررسی نمی‌شوند.
- به دنبال هاپها بروید. هاب‌های دریافتی به ترتیب از قدیمیترین به جدیدترین فهرست شدهاند، همانطور که در EML Analyzer نمایش داده میشود: هاب ۱ نزدیک‌ترین به فرستنده است و آخرین هاب توسط سروری اضافه شده که پیام را برای شما تحویل داده است.
- جدول کامل را اسکن کنید. تمام سربرگ‌ها همهٔ سربرگ‌ها را فهرست میکند، از جمله Reply-To و Return-Path. Send to نتیجهٔ تجزیه‌شده را برای مثال به EML Analyzer ارسال میکند.
مثال
اعلان جعلی بانک
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>میدان‌های بالایی نام نمایش‌دهنده و آدرس فرستنده را نشان می‌دهند، سپس نتایج احراز هویت (Authentication-Results) را که سرور دریافت‌کننده نوشته است (spf=pass, dkim=none, dmarc=fail) و دو hop دریافتی را، از قدیمیترین به جدیدترین، همانطور که در EML Analyzer است: در Hop 1، mail.example.net پیام را از 198.51.100.10 می‌پذیرد، و در Hop 2، mx.example.com آن را از mail.example.net می‌پذیرد. جدول تمام ۱۰ هدر، یک آدرس Reply-To (پاسخ به) در دامنه‌ای دیگر را نشان می‌دهد؛ با توجه به dmarc=fail، این دو نشانه از جعل فرستنده است.
آنچه بررسی میکند
| سیگنال | معنای آن |
|---|---|
| From | نام نمایشی را با آدرسی که داخل علامت‌های زاویه‌ای آمده است مقایسه کنید. نام یک برند در کنار دامنه‌ای نامرتبط، نشانهٔ رایج جعل است. |
| To | اگر آدرس خودتان در آن نیست، احتمالاً در Bcc یا در یک فهرست پستی بوده‌اید. فیشینگ انبوه اغلب از Bcc استفاده میکند. |
| Date | نرم‌افزار فرستنده آن را می‌نویسد، پس قابل جعل است. آن را با زمان‌های گامهای Received مقایسه کنید. |
| Subject | به شکل خام نمایش داده میشود. مقداری مانند =?UTF-8?B?...?= متن کدگذاری‌شده‌ای است که این تجزیه‌گر کدگشایی نمی‌کند. |
| SPF، DKIM، DMARC | حکم‌های سرور دریافت‌کننده. dmarc=fail برای دامنه یک برند نشانه قوی جعل است؛ عدم گزارش به این معنی است که سرور هیچ نتیجه‌ای برای آن بررسی ثبت نکرده است. |
| حمل‌شده‌ها | هر پرش به ۲۰۰ کاراکتر محدود شده است. تنها پرش‌های انتهای فهرست که توسط ارائهدهندهٔ خودتان اضافه شدهاند قابل اعتماد هستند؛ پرش‌های قبلی ممکن است جعل شده باشند. |
| پاسخ به | یک آدرس پاسخ در دامنه‌ای متفاوت از «From» به این معنی است که پاسخ شما به جای دیگری ارسال میشود. |
| مسیر بازگشت | آدرس بازتابی که SPF بررسی میکند. متفاوت بودن دامنهٔ آن از دامنهٔ «From» در سرویس‌های ایمیل امری عادی است، اما شایان ذکر است. |
| Message-ID | بخش بعد از @ اغلب نام سیستمی را نشان می‌دهد که پیام را ساخته است. آن را با دامنهٔ From مقایسه کنید. |
نمونه‌های بیشتر
نام فرستنده و موضوع کدگذاری‌شده
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000از، به، تاریخ و موضوع پر شدهاند، اما نام و موضوع همچنان به صورت =?UTF-8?B?...?= باقی می‌مانند زیرا هیچ چیز رمزگشایی نشده است (آنها Payroll Team و Salary update را می‌خوانند). Received hops هپ تاخورده را در یک خط فهرست میکند و All headers هر سربرگ را فهرست میکند.
متن پیام همراه با هدرها چسبانده شده
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.فقط خطوط قبل از اولین خط خالی به‌عنوان سربرگ خوانده میشوند. یادداشتی زیر جدول میگوید که خطوط پس از آن، یعنی متن پیام، به‌عنوان سربرگ خوانده نشده‌اند.
خط Subject تاشده
From: Example Shop <orders@example.com>
Subject: Your order
has shippedFrom نام Example Shop را با آدرس orders@example.com نشان می‌دهد، To و Date یک خط تیره نشان می‌دهند و Subject عبارت "Your order has shipped" را در یک خط نمایش می‌دهد. Received hops (0) و All headers (2).
سوالات متداول
گامهای Received را چطور بخوانم؟
هاپها از قدیمیترین به جدیدترین به ترتیب شمارهگذاری میشوند، همانطور که در EML Analyzer نشان داده شده است: هاپ ۱ سربرگ Received پایینی است که توسط اولین سرور پردازشکننده پیام اضافه شده و آخرین هاپ سربرگ بالایی است که توسط سروری که پیام را برای شما تحویل داده اضافه شده است. فقط به هاپهایی که توسط ارائهدهندهٔ ایمیل خودتان اضافه شدهاند میتوان اعتماد کرد، زیرا فرستنده میتواند هر خط Received زیر آنها را جعل کند.
آیا SPF، DKIM یا DMARC را بررسی میکند؟
خیر. این نتایج SPF، DKIM و DMARC را از اولین هدر Authentication-Results نشان می‌دهد و Received-SPF و DKIM-Signature را همانطور که سرور دریافت‌کننده نوشته است فهرست میکند، بدون اینکه هیچ‌چیز را تأیید کند، و =?UTF-8?B?...? را رمزگشایی میکند.= subjects یا خواندن بدنه (در اولین خط خالی متوقف میشود)، و مقادیر طولانی را کوتاه میکند (به ۲۰۰ کاراکتر برای رشته‌ها و ۳۰۰ کاراکتر برای سلول‌های جدول محدود میکند). برای یک فایل کامل .eml، از EML Analyzer استفاده کنید.
آیا هدرها آپلود میشوند؟
نه. تجزیه در مرورگر شما انجام میشود و هیچ چیز به جایی فرستاده نمیشود. هدرها ممکن است آدرسهای شخصی و IPهای داخلی داشته باشند، پس پیش از اشتراکگذاری آنها را حذف کنید.
آیا میتوانم کل پیام را همراه با متن آن بچسبانم؟
بله، اما فقط بلوک سرآیند خوانده میشود: تجزیه در اولین خط خالی متوقف میشود، همانطور که RFC 5322 تعریف میکند، و صفحه میگوید چند خط از بدنه را نادیده گرفته است. EML Analyzer پیامهای کامل، از جمله پیوستها را میخواند.
با خطوط تاشدهٔ هدر چه میشود؟
خطی که با فاصله یا tab شروع شود با یک فاصله به هدر بالایی خود متصل میشود، بنابراین یک هدر طولانی Received یا Subject به شکل یک مقدار واحد نمایش داده میشود.
از کدام هدر Authentication-Results استفاده میشود؟
بالاترین مورد، همان چیزی است که سروری که پیام را برای شما ارسال کرده در آخر اضافه کرده است. سربرگ‌های پایین‌تر Authentication-Results ممکن است از سرورهای قبلی آمده باشند یا توسط فرستنده جعل شده باشند.