Analizza un file .eml: intestazioni, catena Received, link, hash degli allegati, mittenti incoerenti.
Nuovo
Analizzatore intestazioni e-mail
Funziona in locale
Lo strumento è in inglese; questa pagina ne fornisce una spiegazione nella tua lingua.
Usa Analizzatore intestazioni e-mail
Cosa fa
Incolla le intestazioni grezze di un messaggio sospetto per visualizzare i campi "Da", "A", "Data" e "Oggetto", i risultati SPF, DKIM e DMARC registrati dal server ricevente, tutti i hop "Received" in ordine cronologico (dal più vecchio al più recente) e una tabella contenente tutte le intestazioni, inclusi "Reply-To" e "Return-Path".
Funziona interamente nel browser: nulla di ciò che inserisci viene caricato online.
Come utilizzare Analizzatore intestazioni e-mail
- Copia le intestazioni. Apri il sorgente del messaggio (Gmail Show original, Outlook View message source, Thunderbird View source) e copia le righe di intestazione fino alla prima riga vuota.
- Incolla e analizza. Incollali nelle intestazioni dell'email in formato Raw e premi "Parse". Se incolli anche il corpo del messaggio, il parser si ferma alla prima riga vuota e indica quante righe non ha letto.
- Leggi i campi in alto. From, To e Date compaiono per primi, poi Subject se presente. I valori sono mostrati esattamente come sono scritti, senza decodifica.
- Leggi i risultati dell'autenticazione. SPF, DKIM e DMARC riportano i risultati che il server ricevente ha inserito nell'intestazione "Authentication-Results" più in alto, insieme al nome del server. Qui non vengono ricontrollati.
- Segui il percorso del luppolo. Gli hop ricevuti sono elencati in ordine cronologico, a partire dal più vecchio, come in EML Analyzer: l'hop 1 è il più vicino al mittente, mentre l'ultimo hop è stato aggiunto dal server che ti ha consegnato il messaggio.
- Visualizza la tabella completa. "All headers" elenca tutte le intestazioni, comprese "Reply-To" e "Return-Path". "Send to" inoltra il risultato analizzato, ad esempio a EML Analyzer.
Esempio
Falso avviso bancario
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>I campi in alto mostrano il nome e l'indirizzo del mittente, seguiti dai risultati dell'autenticazione registrati dal server ricevente (spf=pass, dkim=none, dmarc=fail) e dai due hop "Received", in ordine cronologico a partire dal più vecchio, come in EML Analyzer: nell’hop 1, mail.example.net accetta il messaggio proveniente da 198.51.100.10; nell’hop 2, mx.example.com lo accetta da mail.example.net. La tabella con tutte e 10 le intestazioni mostra un «Reply-To» su un altro dominio; insieme a «dmarc=fail», questi sono due indizi che indicano un mittente falsificato.
Cosa verifica
| Segnale | Cosa significa |
|---|---|
| From | Confronta il nome visualizzato con l'indirizzo tra parentesi angolari. Il nome di un marchio accanto a un dominio estraneo è un comune segnale di spoofing. |
| To | Se manca il tuo indirizzo, probabilmente eri in Ccn (Bcc) o in una mailing list. Il phishing di massa usa spesso il Ccn. |
| Date | Scritta dal software del mittente, quindi può essere falsificata. Confrontala con gli orari negli hop Received. |
| Subject | Mostrato grezzo. Un valore come =?UTF-8?B?...?= è testo codificato che questo parser non decodifica. |
| SPF, DKIM, DMARC | I risultati del server ricevente. Il valore “dmarc=fail” per il dominio di un marchio è un chiaro indizio di spoofing; la dicitura “not reported” indica che il server non ha restituito alcun risultato per quel controllo. |
| Luppolo ricevuto | Ogni hop è limitato a 200 caratteri. Solo gli hop alla fine dell'elenco, aggiunti dal proprio provider, sono affidabili; quelli precedenti potrebbero essere falsificati. |
| Rispondi a | Se l'indirizzo di risposta appartiene a un dominio diverso da quello indicato nel campo "Da", la tua risposta verrebbe inviata altrove. |
| Percorso di ritorno | L'indirizzo di rimbalzo verificato dall'SPF. È normale che nei servizi di posta elettronica questo dominio sia diverso da quello del campo "Da", ma è comunque opportuno segnalarlo. |
| Message-ID | La parte dopo @ spesso indica il sistema che ha creato il messaggio. Confrontala con il dominio di From. |
Altri esempi
Nome del mittente e oggetto codificati
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000I campi Da, A, Data e Oggetto sono compilati, ma il nome e l'oggetto rimangono come =?UTF-8?B?...?= poiché non viene decodificato nulla (si leggono "Payroll Team" e "Salary update"). L'elenco "Hops ricevuti" riporta l'hop compresso su una sola riga, mentre l'elenco "Tutte le intestazioni" riporta tutte le intestazioni.
Corpo incollato con le intestazioni
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.Solo le righe che precedono la prima riga vuota vengono interpretate come intestazioni. Una nota sotto la tabella precisa che le righe successive, ovvero il corpo del messaggio, non sono state interpretate come intestazioni.
Una riga Subject ripiegata
From: Example Shop <orders@example.com>
Subject: Your order
has shippedFrom mostra Example Shop con l'indirizzo orders@example.com, To e Date mostrano un trattino, e Subject riporta "Your order has shipped" su una sola riga. Received hops (0) e All headers (2).
Domande frequenti
Come si leggono gli hop Received?
Gli hop sono numerati a partire dal più vecchio, come in EML Analyzer: l’hop 1 è l’intestazione “Received” più in basso, aggiunta dal primo server che ha gestito il messaggio, mentre l’ultimo hop è quello più in alto, aggiunto dal server che te lo ha consegnato. Solo gli hop aggiunti dal proprio provider di posta elettronica sono affidabili, poiché un mittente può falsificare qualsiasi riga "Received" che si trovi al di sotto di essi.
Verifica SPF, DKIM o DMARC?
No. Mostra i risultati SPF, DKIM e DMARC presenti nell’intestazione “Authentication-Results” più in alto ed elenca i campi “Received-SPF” e “DKIM-Signature” così come sono stati scritti dal server ricevente, senza effettuare alcuna verifica, decodificando =?UTF-8?B?...?= oggetti o leggere il corpo del messaggio (si ferma alla prima riga vuota), e abbrevia i valori lunghi (gli hop a 200 caratteri, le celle della tabella a 300). Per un file .eml completo, usa EML Analyzer.
Le intestazioni vengono caricate?
No. L'analisi avviene nel tuo browser e nulla viene inviato altrove. Le intestazioni possono contenere indirizzi personali e IP interni, quindi rimuovili prima di condividerle.
Posso incollare l'intero messaggio, corpo compreso?
Sì, ma viene letto solo il blocco di intestazione: l'analisi si interrompe alla prima riga vuota, come definito dalla RFC 5322, e la pagina indica quante righe del corpo del messaggio sono state saltate. EML Analyzer legge i messaggi per intero, allegati compresi.
Cosa succede alle righe di intestazione ripiegate?
Una riga che inizia con uno spazio o una tabulazione viene unita all'intestazione sopra di essa con un singolo spazio, quindi un'intestazione Received o Subject lunga compare come un unico valore.
Quale intestazione "Authentication-Results" viene utilizzata?
Quella più in alto, aggiunta per ultima dal server che ti ha consegnato il messaggio. Le intestazioni “Authentication-Results” poste più in basso possono provenire da server precedenti oppure essere state falsificate dal mittente.