Een .eml-bestand parseren: kopteksten, ‘Received’-keten, links, hashes van bijlagen, afwijkingen bij de afzender.
Nieuw
E-mailheader-parser
Draait lokaal
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik E-mailheader-parser
Wat het doet
Plak de onbewerkte headers van een verdacht bericht om de velden ‘Van’, ‘Aan’, ‘Datum’ en ‘Onderwerp’ te bekijken, evenals de SPF-, DKIM- en DMARC-resultaten die de ontvangende server heeft vastgelegd, alle ‘Received’-stappen in volgorde van oud naar nieuw, en een tabel met alle headers, inclusief ‘Reply-To’ en ‘Return-Path’.
Het draait volledig in je browser: er wordt niets van wat je invoert geüpload.
Hoe gebruik je E-mailheader-parser
- Kopieer de kopteksten. Open de brontekst van het bericht (Gmail: ‘Origineel weergeven’, Outlook: ‘Brontekst van bericht weergeven’, Thunderbird: ‘Brontekst weergeven’) en kopieer de kopregels tot aan de eerste lege regel.
- Plakken en parseren. Plak ze in de ‘Raw email headers’ en klik op ‘Parse’. Als je ook de tekst van de e-mail plakt, stopt de parser bij de eerste lege regel en geeft hij aan hoeveel regels hij niet heeft gelezen.
- Lees de belangrijkste velden. Eerst worden ‘Van’, ‘Aan’ en ‘Datum’ weergegeven, daarna ‘Onderwerp’ indien aanwezig. De waarden worden precies zo weergegeven als ze zijn ingevoerd, zonder te worden gedecodeerd.
- Lees de authenticatieresultaten. SPF, DKIM en DMARC geven de resultaten weer die de ontvangende server in de bovenste Authentication-Results-header heeft vermeld, samen met de naam van de server. Ze worden hier niet opnieuw gecontroleerd.
- Volg de hop. De ontvangen hops worden weergegeven in volgorde van oud naar nieuw, net als in EML Analyzer: Hop 1 ligt het dichtst bij de afzender; de laatste hop is toegevoegd door de server die het bericht aan jou heeft afgeleverd.
- Bekijk de volledige tabel. Onder ‘Alle headers’ worden alle headers weergegeven, inclusief ‘Reply-To’ en ‘Return-Path’. Met ‘Verzenden naar’ wordt het geparseerde resultaat doorgestuurd, bijvoorbeeld naar EML Analyzer.
Voorbeeld
Vervalste bankmededeling
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>De bovenste velden tonen de weergavenaam en het adres van de afzender, gevolgd door de authenticatieresultaten die de ontvangende server heeft vastgelegd (spf=pass, dkim=none, dmarc=fail) en twee ‘Received’-hops, met de oudste eerst, net als in EML Analyzer: in Hop 1 accepteert mail.example.net het bericht van 198.51.100.10, in Hop 2 accepteert mx.example.com het van mail.example.net. De tabel met alle 10 headers toont een ‘Reply-To’ op een ander domein; in combinatie met ‘dmarc=fail’ zijn dat twee aanwijzingen voor een vervalste afzender.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| Van | Vergelijk de weergavenaam met het adres tussen puntige haakjes. Een merknaam naast een domein dat daar geen verband mee houdt, is een veelvoorkomend teken van spoofing. |
| Aan | Als je eigen adres ontbreekt, stond je waarschijnlijk in het Bcc-veld of op een mailinglijst. Bij massale phishing wordt vaak gebruikgemaakt van Bcc. |
| Datum | Dit wordt gegenereerd door de software van de afzender, dus het kan vervalst zijn. Vergelijk het met de tijden in de ‘Received’-hops. |
| Onderwerp | Wordt onbewerkt weergegeven. Een waarde zoals =?UTF-8?B?...?= is gecodeerde tekst die deze parser niet decodeert. |
| SPF, DKIM, DMARC | De uitslagen van de ontvangende server. Als dmarc=fail wordt weergegeven voor het domein van een merk, is dat een duidelijk teken van spoofing; als er ‘not reported’ staat, betekent dit dat de server geen resultaat voor die controle heeft weergegeven. |
| Ontvangen hop | Elke hop wordt ingekort tot 200 tekens. Alleen de hops aan het einde van de lijst, die door je eigen provider zijn toegevoegd, zijn betrouwbaar; eerdere hops kunnen vervalst zijn. |
| Antwoord aan | Als het antwoordadres op een ander domein staat dan het ‘Van’-adres, betekent dit dat je antwoord ergens anders terechtkomt. |
| Return-Path | Het afzenderadres dat door SPF wordt gecontroleerd. Het is bij e-maildiensten gebruikelijk dat dit domein afwijkt van het ‘Van’-domein, maar het is goed om hier even bij stil te staan. |
| Bericht-ID | Het gedeelte na @ geeft vaak het systeem aan dat het bericht heeft aangemaakt. Vergelijk dit met het ‘Van’-domein. |
Nog meer voorbeelden
Gecodeerde naam van de afzender en onderwerp
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000De velden Van, Aan, Datum en Onderwerp zijn ingevuld, maar de naam en het onderwerp blijven staan als =?UTF-8?B?...?= omdat er niets wordt gedecodeerd (er staat ‘Payroll Team’ en ‘Salary update’). Onder ‘Ontvangen hops’ wordt de samengevouwen hop op één regel weergegeven, en onder ‘Alle headers’ worden alle headers weergegeven.
Tekst met de kopteksten erin geplakt
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.Alleen de regels vóór de eerste lege regel worden als kopteksten gelezen. In een opmerking onder de tabel staat dat de regels daarna, de hoofdtekst van het bericht, niet als kopteksten zijn gelezen.
Een ingekorte onderwerpregel
From: Example Shop <orders@example.com>
Subject: Your order
has shippedUit de weergaven van Example Shop met het adres orders@example.com: bij ‘Aan’ en ‘Datum’ staat een streepje, en bij ‘Onderwerp’ staat op één regel “Uw bestelling is verzonden”. Ontvangen hops (0) en alle headers (2).
Veelgestelde vragen
Hoe kan ik de aantal hops bij ‘Received’ aflezen?
Hops worden genummerd met de oudste eerst, net als in EML Analyzer: Hop 1 is de onderste ‘Received’-header, toegevoegd door de eerste server die het bericht heeft verwerkt, en de laatste hop is de bovenste, toegevoegd door de server die het bericht aan jou heeft afgeleverd. Alleen hops die door je eigen e-mailprovider zijn toegevoegd, zijn betrouwbaar, omdat een afzender alle ‘Received’-regels daaronder kan vervalsen.
Controleert het SPF, DKIM of DMARC?
Nee. Het toont de SPF-, DKIM- en DMARC-resultaten uit de bovenste „Authentication-Results”-header en geeft „Received-SPF” en „DKIM-Signature” weer zoals de ontvangende server ze heeft geschreven, zonder iets te verifiëren, waarbij „=?UTF-8?B?...?= onderwerpen te decoderen of de hoofdtekst te lezen (het stopt bij de eerste lege regel), en het verkort lange waarden (hops tot 200 tekens, tabelcellen tot 300). Gebruik EML Analyzer voor een volledig .eml-bestand.
Zijn de kopteksten geüpload?
Nee. Het parseren vindt plaats in je browser en er wordt nergens iets naartoe verzonden. Headers kunnen persoonlijke adressen en interne IP-adressen bevatten, dus verwijder die voordat je ze deelt.
Mag ik het hele bericht, inclusief de hoofdtekst, plakken?
Ja, maar alleen het koptekstblok wordt gelezen: het parseren stopt bij de eerste lege regel, zoals vastgelegd in RFC 5322, en op de pagina staat vermeld hoeveel regels van de hoofdtekst zijn overgeslagen. EML Analyzer leest volledige berichten, inclusief bijlagen.
Wat gebeurt er met opgevouwen kopregels?
Een regel die begint met een spatie of tab wordt met een enkele spatie samengevoegd met de koptekst erboven, zodat een lange „Received”- of „Subject”-koptekst als één waarde wordt weergegeven.
Welke ‘Authentication-Results’-header wordt gebruikt?
De bovenste, die als laatste is toegevoegd door de server die het bericht aan jou heeft verzonden. De onderliggende Authentication-Results-headers kunnen afkomstig zijn van eerdere servers of door de afzender zijn vervalst.