ניתוח קובץ .eml: כותרות, שרשרת Received, קישורים, גיבובי קבצים מצורפים ואי-התאמות בשולח.
חדש
מנתח כותרות אימייל
פועל מקומית
הכלי עצמו הוא באנגלית; דף זה מסביר את אופן השימוש בו בשפתך.
השתמש ב-מנתח כותרות אימייל
מה זה עושה
הדבק את הכותרות הגולמיות של הודעה חשודה כדי לראות את השדות "מאת", "אל", "תאריך" ו"נושא", את תוצאות ה-SPF, ה-DKIM וה-DMARC שכתב השרת המקבל, את כל נקודות המעבר ב-Received בסדר יורד לפי תאריך, וכן טבלה של כל הכותרות, כולל "Reply-To" ו-"Return-Path".
היא פועלת כולה בדפדפן שלך: שום דבר שאתה מזין לא מועלה.
כיצד להשתמש ב-מנתח כותרות אימייל
- העתיקו את הכותרות. פתחו את המקור של ההודעה (ב-Gmail Show original, ב-Outlook View message source, ב-Thunderbird View source) והעתיקו את שורות הכותרת עד השורה הריקה הראשונה.
- הדביקו ונתחו. הדביקו אותם ב"כותרות דוא"ל גולמיות" ולחצו על "Parse". אם תדביקו גם את גוף ההודעה, המנתח ייעצר בשורה הריקה הראשונה ויציין כמה שורות הוא לא קרא.
- קראו את השדות העליונים. From, To ו-Date מופיעים ראשונים, ואחריהם Subject כשהוא קיים. הערכים מוצגים בדיוק כפי שנכתבו, בלי פענוח.
- קרא את תוצאות האימות. SPF, DKIM ו-DMARC מציגים את התוצאות ששרת הקבלה רשם בכותרת ה-Authentication-Results העליונה ביותר, יחד עם שם השרת. הן אינן נבדקות מחדש כאן.
- עקבו אחר הכשות. הקפיצות שהתקבלו מפורטות לפי סדר כרונולוגי, מהישנה ביותר לראשונה, כפי שמופיע ב-EML Analyzer: הקפיצה הראשונה היא הקרובה ביותר לשולח, והקפיצה האחרונה נוספה על ידי השרת שהעביר אליך את ההודעה.
- סרוק את הטבלה כולה. הרשימה "כל הכותרות" מפרטת את כל הכותרות, כולל Reply-To ו-Return-Path. הפונקציה "שלח אל" מעבירה את התוצאה המפורשת הלאה, למשל ל-EML Analyzer.
דוגמה
הודעה מזויפת מבנק
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>השדות העליונים מציגים את שם התצוגה והכתובת של השולח, ולאחר מכן את תוצאות האימות שכתב השרת המקבל (spf=pass, dkim=none, dmarc=fail) ושני שלבי "Received", מהישן ביותר תחילה, כפי שמופיע ב-EML Analyzer: ב-Hop 1, mail.example.net מקבל את ההודעה מ-198.51.100.10; ב-Hop 2, mx.example.com מקבל אותה מ-mail.example.net. הטבלה של כל 10 הכותרות מציגה שדה "Reply-To" (השב אל) בדומיין אחר; יחד עם dmarc=fail, אלה שני סימנים לשולח מזויף.
מה הוא בודק
| אות | מה זה אומר |
|---|---|
| From | השוו את שם התצוגה לכתובת שבסוגריים המשולשים. שם של מותג לצד דומיין לא קשור הוא סימן נפוץ לזיוף. |
| To | אם הכתובת שלכם חסרה, כנראה הייתם ב-Bcc או ברשימת תפוצה. פישינג המוני משתמש לעתים קרובות ב-Bcc. |
| Date | נכתב על ידי התוכנה של השולח, ולכן אפשר לזייף אותו. השוו אותו לזמנים בתחנות ה-Received. |
| Subject | מוצג גולמי. ערך כמו =?UTF-8?B?...?= הוא טקסט מקודד שהמנתח הזה אינו מפענח. |
| SPF, DKIM, DMARC | תוצאות הבדיקה של השרת המקבל. הערך dmarc=fail עבור דומיין של מותג מהווה סימן מובהק לזיוף; אי-דיווח פירושו שהשרת לא רשם תוצאה עבור בדיקה זו. |
| כשות שהתקבל | כל קפיצה מקוצצת ל-200 תווים. ניתן לסמוך רק על הקפיצות שבסוף הרשימה, שנוספו על ידי הספק שלך; הקפיצות הקודמות עלולות להיות מזויפות. |
| כתובת תשובה | כתובת תשובה הנמצאת בדומיין שונה מזה של השולח פירושה שהתשובה שלך תועבר למקום אחר. |
| Return-Path | כתובת ה-bounce ש-SPF בודק. דומיין שונה מזה המופיע בשדה "From" הוא דבר מקובל בשירותי דואר אלקטרוני, אך כדאי לציין זאת. |
| Message-ID | החלק שאחרי @ מציין לעתים קרובות את המערכת שיצרה את ההודעה. השוו אותו לדומיין של From. |
דוגמאות נוספות
שם שולח ונושא מקודדים
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000השדות "מאת", "אל", "תאריך" ו"נושא" מולאו, אך השם והנושא נשארים בצורת =?UTF-8?B?...?= מכיוון שלא בוצע פענוח (הם מציינים "צוות שכר" ו"עדכון שכר"). רשימת ה-hops שהתקבלו מציגה את ה-hop המקופל בשורה אחת, ורשימת "כל הכותרות" מפרטת את כל הכותרות.
גוף ההודעה הודבק יחד עם הכותרות
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.רק השורות שלפני השורה הריקה הראשונה נקראות ככותרות. הערה מתחת לטבלה מציינת כי השורות שאחריה, גוף ההודעה, לא נקראו ככותרות.
שורת Subject מקופלת
From: Example Shop <orders@example.com>
Subject: Your order
has shippedFrom מציג Example Shop עם הכתובת orders@example.com, To ו-Date מציגים מקף, ו-Subject מציג "Your order has shipped" בשורה אחת. Received hops (0) ו-All headers (2).
שאלות נפוצות
איך קוראים את תחנות ה-Received?
הקפיצות ממוספרות מהוותק ביותר, כפי שמופיע ב-EML Analyzer: קפיצה 1 היא כותרת ה-Received התחתונה ביותר, שנוספה על ידי השרת הראשון שטיפל בהודעה, והקפיצה האחרונה היא זו שנמצאת בראש הרשימה, שנוספה על ידי השרת שהעביר אותה אליך. ניתן לסמוך רק על ה-hops שנוספו על ידי ספק הדואר שלך, מכיוון ששולח יכול לזייף כל שורת "Received" המופיעה מתחתם.
האם הכלי בודק SPF, DKIM או DMARC?
לא. הוא מציג את תוצאות ה-SPF, ה-DKIM וה-DMARC מהכותרת העליונה ביותר של "Authentication-Results" ומפרט את "Received-SPF" ו-"DKIM-Signature" כפי ששרת הקבלה כתב אותם, מבלי לאמת דבר, תוך פענוח =?UTF-8?B?...?= נושאים או קריאת גוף ההודעה (הוא נעצר בשורה הריקה הראשונה), והוא מקצר ערכים ארוכים (מקפיץ ל-200 תווים, תאי טבלה ל-300). לקבלת קובץ .eml מלא, השתמש ב-EML Analyzer.
האם הכותרות מועלות?
לא. הניתוח מתבצע בדפדפן שלכם ושום דבר לא נשלח לשום מקום. כותרות יכולות להכיל כתובות אישיות וכתובות IP פנימיות, ולכן הסירו אותן לפני שאתם משתפים.
אפשר להדביק את כל ההודעה, כולל הגוף?
כן, אך רק בלוק הכותרת נקרא: הניתוח נעצר בשורה הריקה הראשונה, כפי שמוגדר ב-RFC 5322, והדף מציין כמה שורות בגוף ההודעה הושמטו. EML Analyzer קורא הודעות במלואן, כולל קבצים מצורפים.
מה קורה לשורות כותרת מקופלות?
שורה שמתחילה ברווח או בטאב מצורפת לכותרת שמעליה עם רווח יחיד, כך שכותרת Received או Subject ארוכה מופיעה כערך אחד.
איזה כותרת "Authentication-Results" משמשת?
הכותרת העליונה ביותר, שנוספה אחרונה על ידי השרת שהעביר אליך את ההודעה. כותרות "Authentication-Results" הנמצאות מתחתיה עשויות להגיע משרתים קודמים או להיות מזויפות על ידי השולח.