Analysez un fichier .eml : en-têtes, chaîne Received, liens, empreintes des pièces jointes, incohérences d'expéditeur.
Nouveau
Analyseur d'en-têtes d'e-mail
Exécution locale
L'outil lui-même est en anglais ; cette page vous l'explique dans votre langue.
Utilisez Analyseur d'en-têtes d'e-mail
Fonctionnalités
Collez les en-têtes bruts d'un message suspect pour afficher les champs « De », « À », « Date » et « Objet », les résultats SPF, DKIM et DMARC générés par le serveur destinataire, tous les relais « Received » classés par ordre chronologique décroissant, ainsi qu'un tableau répertoriant tous les en-têtes, y compris « Reply-To » et « Return-Path ».
Tout se passe entièrement dans votre navigateur : aucune des données que vous saisissez n'est transmise.
Comment utiliser Analyseur d'en-têtes d'e-mail
- Copiez les en-têtes. Ouvrez la source du message (Gmail Show original, Outlook View message source, Thunderbird View source) et copiez les lignes d'en-tête jusqu'à la première ligne vide.
- Collez et analysez. Collez-les dans les en-têtes d'e-mail « Raw » et cliquez sur « Parse ». Si vous collez également le corps du message, l'analyseur s'arrête à la première ligne vide et indique le nombre de lignes qu'il n'a pas pu lire.
- Lisez les champs du haut. From, To et Date apparaissent en premier, puis Subject s'il est présent. Les valeurs sont affichées exactement telles qu'écrites, sans décodage.
- Consulter les résultats de l'authentification. Les champs SPF, DKIM et DMARC affichent les résultats que le serveur destinataire a indiqués dans l'en-tête « Authentication-Results » situé tout en haut, accompagnés du nom du serveur. Ils ne font pas l'objet d'une nouvelle vérification ici.
- Suivez le parcours du houblon. Les sauts reçus sont classés par ordre chronologique décroissant, comme dans EML Analyzer : le saut 1 est le plus proche de l'expéditeur, tandis que le dernier saut a été ajouté par le serveur qui vous a transmis le message.
- Consultez le tableau complet. La fonction « All headers » répertorie tous les en-têtes, y compris « Reply-To » et « Return-Path ». La fonction « Send to » transmet le résultat analysé, par exemple à EML Analyzer.
Exemple
Faux avis bancaire
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>Les champs du haut indiquent le nom d'affichage et l'adresse de l'expéditeur, puis les résultats d'authentification fournis par le serveur destinataire (spf=pass, dkim=none, dmarc=fail) et deux sauts « Received », classés du plus ancien au plus récent, comme dans EML Analyzer : au niveau de l'étape 1, mail.example.net accepte le message provenant de 198.51.100.10 ; au niveau de l'étape 2, mx.example.com l'accepte de la part de mail.example.net. Le tableau regroupant les 10 en-têtes affiche un « Reply-To » sur un autre domaine ; avec « dmarc=fail », cela constitue deux indices d’un expéditeur usurpé.
Ce qu'il vérifie
| Signal | Ce que cela signifie |
|---|---|
| From | Comparez le nom d'affichage avec l'adresse entre chevrons. Un nom de marque à côté d'un domaine sans rapport est un signe courant d'usurpation. |
| To | Si votre propre adresse n'y figure pas, vous étiez probablement en Cci ou sur une liste de diffusion. Le phishing de masse utilise souvent le Cci. |
| Date | Écrite par le logiciel de l'expéditeur, elle peut donc être falsifiée. Comparez-la avec les heures des sauts Received. |
| Subject | Affiché brut. Une valeur comme =?UTF-8?B?...?= est un texte encodé que cet analyseur ne décode pas. |
| SPF, DKIM, DMARC | Les résultats du serveur destinataire. La valeur « dmarc=fail » pour le domaine d'une marque constitue un signe fort d'usurpation d'identité ; l'absence de mention signifie que le serveur n'a renvoyé aucun résultat pour cette vérification. |
| Houblon reçu | Chaque saut est limité à 200 caractères. Seuls les sauts figurant à la fin de la liste, ajoutés par votre propre fournisseur d'accès, sont fiables ; ceux qui précèdent peuvent être falsifiés. |
| Répondre à | Si l'adresse de réponse se trouve sur un domaine différent de celui de l'expéditeur, cela signifie que votre réponse serait envoyée ailleurs. |
| Chemin de retour | L'adresse de rebond vérifiée par le SPF. Il est courant, dans les services de messagerie, que ce domaine soit différent de celui du champ « De », mais cela mérite d'être signalé. |
| Message-ID | La partie après @ désigne souvent le système qui a créé le message. Comparez-la avec le domaine de From. |
D'autres exemples
Nom d'expéditeur et objet encodés
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000Les champs « De », « À », « Date » et « Objet » sont renseignés, mais le nom et l'objet restent sous la forme « =?UTF-8?B?...?= » car rien n'est décodé (on peut y lire « Équipe Paie » et « Mise à jour des salaires »). La liste des sauts de transmission affiche les sauts regroupés sur une seule ligne, tandis que la liste « Tous les en-têtes » répertorie chaque en-tête.
Corps collé avec les en-têtes
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.Seules les lignes précédant la première ligne vide sont considérées comme des en-têtes. Une note sous le tableau précise que les lignes qui suivent, c'est-à-dire le corps du message, n'ont pas été considérées comme des en-têtes.
Une ligne Subject repliée
From: Example Shop <orders@example.com>
Subject: Your order
has shippedFrom affiche Example Shop avec l'adresse orders@example.com, To et Date affichent un tiret, et Subject indique « Your order has shipped » sur une seule ligne. Received hops (0) et All headers (2).
FAQ
Comment lire les sauts Received ?
Les sauts sont numérotés du plus ancien au plus récent, comme dans EML Analyzer : le saut 1 correspond à l'en-tête « Received » situé tout en bas, ajouté par le premier serveur ayant traité le message, et le dernier saut est celui situé tout en haut, ajouté par le serveur qui vous l'a transmis. Seuls les sauts ajoutés par votre propre fournisseur de messagerie sont fiables, car un expéditeur peut falsifier toutes les lignes « Received » situées en dessous.
Vérifie-t-il SPF, DKIM ou DMARC ?
Non. Il affiche les résultats SPF, DKIM et DMARC provenant de l'en-tête « Authentication-Results » situé tout en haut et répertorie les champs « Received-SPF » et « DKIM-Signature » tels qu'ils ont été écrits par le serveur de réception, sans effectuer aucune vérification, en décodant =?UTF-8?B?...?= sujets ou de lire le corps du message (il s'arrête à la première ligne vide), et il raccourcit les valeurs longues (les sauts sont limités à 200 caractères, les cellules du tableau à 300). Pour un fichier .eml complet, utilisez EML Analyzer.
Les en-têtes sont-ils téléversés ?
Non. L'analyse se fait dans votre navigateur et rien n'est envoyé nulle part. Les en-têtes peuvent contenir des adresses personnelles et des IP internes : retirez-les avant de les partager.
Puis-je coller le message entier, corps compris ?
Oui, mais seul le bloc d'en-tête est lu : l'analyse s'arrête à la première ligne vide, comme le définit la RFC 5322, et la page indique le nombre de lignes du corps qui ont été ignorées. EML Analyzer lit les messages dans leur intégralité, y compris les pièces jointes.
Que deviennent les lignes d'en-tête repliées ?
Une ligne qui commence par une espace ou une tabulation est jointe à l'en-tête du dessus avec une seule espace : un long en-tête Received ou Subject apparaît ainsi comme une seule valeur.
Quel en-tête « Authentication-Results » est utilisé ?
Celui situé tout en haut, qui a été ajouté en dernier par le serveur qui vous a transmis le message. Les en-têtes « Authentication-Results » situés plus bas peuvent provenir de serveurs antérieurs ou avoir été falsifiés par l'expéditeur.