Analiza pliku .eml: nagłówki, łańcuch „Received”, linki, skróty załączników, niezgodności nadawców.
Nowe
Analizator nagłówków wiadomości e-mail
Działa lokalnie
Samo narzędzie jest w języku angielskim; na tej stronie znajdziesz wyjaśnienia w Twoim języku.
Użyj Analizator nagłówków wiadomości e-mail
Jak to działa
Wklej surowe nagłówki podejrzanej wiadomości, aby wyświetlić pola „Od”, „Do”, „Data” i „Temat”, wyniki sprawdzania SPF, DKIM i DMARC zapisane przez serwer odbiorczy, wszystkie węzły z pola „Received” w kolejności od najstarszego do najnowszego oraz tabelę zawierającą wszystkie nagłówki, w tym „Reply-To” i „Return-Path”.
Działa całkowicie w przeglądarce: żadne wprowadzone dane nie są przesyłane.
Jak korzystać z Analizator nagłówków wiadomości e-mail
- Skopiuj nagłówki. Otwórz źródło wiadomości (w Gmailu: „Pokaż oryginał”, w Outlooku: „Wyświetl źródło wiadomości”, w Thunderbirdzie: „Wyświetl źródło”) i skopiuj wiersze nagłówka aż do pierwszego pustego wiersza.
- Wklej i przeanalizuj. Wklej je do sekcji „Raw email headers” i naciśnij przycisk „Parse”. Jeśli wkleisz również treść wiadomości, parser zatrzyma się na pierwszej pustej linii i wskaże, ile wierszy nie udało mu się odczytać.
- Odczytaj najważniejsze pola. Najpierw wyświetlane są pola „Od”, „Do” i „Data”, a następnie „Temat”, o ile jest podany. Wartości są wyświetlane dokładnie tak, jak zostały wpisane, bez dekodowania.
- Przeczytaj wyniki uwierzytelniania. SPF, DKIM i DMARC przedstawiają wyniki zapisane przez serwer odbierający w najwyższym nagłówku „Authentication-Results” wraz z nazwą serwera. Nie są one tutaj ponownie sprawdzane.
- Podążaj za chmielem. Otrzymane przeskoki są wyświetlane w kolejności od najstarszego do najnowszego, tak jak w programie EML Analyzer: przeskok 1 znajduje się najbliżej nadawcy, a ostatni przeskok został dodany przez serwer, który dostarczył Ci wiadomość.
- Przejrzyj całą tabelę. W sekcji „Wszystkie nagłówki” wyświetlane są wszystkie nagłówki, w tym „Reply-To” i „Return-Path”. Funkcja „Wyślij do” przekazuje przeanalizowane dane dalej, na przykład do programu EML Analyzer.
Przykład
Fałszywe zawiadomienie bankowe
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>W górnych polach widoczna jest nazwa wyświetlana i adres nadawcy, następnie wyniki uwierzytelnienia zapisane przez serwer odbiorczy (spf=pass, dkim=none, dmarc=fail) oraz dwa przeskoki z pola „Received”, uporządkowane od najstarszego, tak jak w programie EML Analyzer: w przeskoku 1 serwer mail.example.net przyjmuje wiadomość od adresu 198.51.100.10, a w przeskoku 2 serwer mx.example.com przyjmuje ją od serwera mail.example.net. Tabela zawierająca wszystkie 10 nagłówków pokazuje pole „Reply-To” w innej domenie; w połączeniu z wartością „dmarc=fail” są to dwa oznaki sfałszowanego nadawcy.
Co jest sprawdzane
| Sygnał | Co to oznacza |
|---|---|
| Od | Porównaj nazwę wyświetlaną z adresem podanym w nawiasach kątowych. Nazwa marki umieszczona obok niepowiązanej domeny to częsta oznaka oszustwa. |
| Do | Jeśli brakuje Twojego adresu, prawdopodobnie znalazłeś się w polu „Ukryte” (Bcc) lub na liście mailingowej. W masowych atakach phishingowych często wykorzystuje się pole „Ukryte” (Bcc). |
| Data | Zostało wygenerowane przez oprogramowanie nadawcy, więc można je sfałszować. Porównaj tę wartość z czasami podanymi w polu „Received hops”. |
| Temat | Wyświetlane w postaci surowej. Wartość typu =?UTF-8?B?...?= to zakodowany tekst, którego ten parser nie dekoduje. |
| SPF, DKIM, DMARC | Wyniki serwera odbierającego. Wynik „dmarc=fail” dla domeny marki stanowi wyraźną oznakę fałszowania; brak zgłoszenia oznacza, że serwer nie podał żadnego wyniku dla tej kontroli. |
| Otrzymany chmiel | Każdy skok jest ograniczony do 200 znaków. Zaufać można jedynie skokom znajdującym się na końcu listy, dodanym przez Twojego dostawcę; wcześniejsze skoki mogą być sfałszowane. |
| Odpowiedz na | Adres zwrotny w domenie innej niż adres nadawcy oznacza, że Twoja odpowiedź trafi gdzie indziej. |
| Return-Path | Adres zwrotny sprawdzany przez SPF. W usługach pocztowych często zdarza się, że domena ta różni się od domeny nadawcy, ale warto o tym wspomnieć. |
| Identyfikator wiadomości | Część tekstu następująca po znaku @ często wskazuje system, który utworzył wiadomość. Porównaj ją z domeną w polu „Od”. |
Więcej przykładów
Zakodowana nazwa nadawcy i temat wiadomości
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000Pola „Od”, „Do”, „Data” i „Temat” są wypełnione, ale nazwa i temat pozostają w postaci „=?UTF-8?B?...?=”, ponieważ nic nie zostało zdekodowane (wyświetlają się jako „Zespół ds. płac” i „Aktualizacja wynagrodzenia”). Lista przeskoków w sekcji „Otrzymane” zawiera złożone przeskoki w jednym wierszu, a sekcja „Wszystkie nagłówki” zawiera wszystkie nagłówki.
Treść z wklejonymi nagłówkami
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.Jako nagłówki odczytywane są wyłącznie wiersze poprzedzające pierwszy pusty wiersz. Z adnotacji pod tabelą wynika, że wiersze następujące po nim, czyli treść wiadomości, nie zostały odczytane jako nagłówki.
Złożony temat wiadomości
From: Example Shop <orders@example.com>
Subject: Your order
has shippedW przykładach ze strony Example Shop o adresie orders@example.com pola „Do” i „Data” zawierają myślnik, a w polu „Temat” widnieje komunikat „Twoje zamówienie zostało wysłane” w jednym wierszu. Liczba odebranych przeskoków (0) i liczba wszystkich nagłówków (2).
Najczęściej zadawane pytania
Jak odczytać liczbę przeskoków w sieci?
Skoki są numerowane od najstarszego, tak jak w programie EML Analyzer: skok 1 to najniżej położony nagłówek „Received”, dodany przez pierwszy serwer, który przetworzył wiadomość, a ostatni skok to najwyżej położony, dodany przez serwer, który dostarczył ją do Ciebie. Zaufać można wyłącznie przeskokom dodanym przez własnego dostawcę poczty, ponieważ nadawca może sfałszować dowolne wiersze „Received” znajdujące się poniżej nich.
Czy sprawdza SPF, DKIM czy DMARC?
Nie. Wyświetla wyniki SPF, DKIM i DMARC z najwyższego nagłówka „Authentication-Results” oraz podaje wartości pól „Received-SPF” i „DKIM-Signature” w takiej postaci, w jakiej zapisał je serwer odbiorczy, bez przeprowadzania jakiejkolwiek weryfikacji, dekodując =?UTF-8?B?...?= podmiotów ani odczytywania treści (zatrzymuje się na pierwszej pustej linii), a także skraca długie wartości (skoki do 200 znaków, komórki tabeli do 300). Aby uzyskać pełny plik .eml, użyj programu EML Analyzer.
Czy nagłówki zostały już przesłane?
Nie. Analiza odbywa się w przeglądarce i żadne dane nie są nigdzie wysyłane. Nagłówki mogą zawierać adresy osobiste i wewnętrzne adresy IP, więc przed udostępnieniem należy je usunąć.
Czy mogę wkleić całą wiadomość, łącznie z treścią?
Tak, ale odczytywany jest tylko blok nagłówka: analizowanie zatrzymuje się na pierwszej pustej linii, zgodnie z definicją zawartą w RFC 5322, a strona podaje, ile wierszy treści zostało pominiętych. Program EML Analyzer odczytuje całe wiadomości, łącznie z załącznikami.
Co dzieje się ze złożonymi wierszami nagłówka?
Wiersz zaczynający się od spacji lub znaku tabulacji jest łączony z nagłówkiem znajdującym się nad nim za pomocą pojedynczej spacji, dzięki czemu długi nagłówek „Received” lub „Subject” wyświetla się jako jedna wartość.
Który nagłówek „Authentication-Results” jest używany?
Najwyżej położony, dodany jako ostatni przez serwer, który dostarczył Ci tę wiadomość. Niższe nagłówki „Authentication-Results” mogą pochodzić od wcześniejszych serwerów lub zostać sfałszowane przez nadawcę.