Analise um arquivo .eml: cabeçalhos, cadeia Received, links, hashes de anexos, remetentes divergentes.
Nova
Analisador de cabeçalhos de e-mail
Execução local
A ferramenta em si está em inglês; esta página explica como usá-la no seu idioma.
Use Analisador de cabeçalhos de e-mail
O que ele faz
Cole os cabeçalhos brutos de uma mensagem suspeita para visualizar os campos “De”, “Para”, “Data” e “Assunto”, os resultados de SPF, DKIM e DMARC gerados pelo servidor de destino, todos os saltos “Received” ordenados do mais antigo para o mais recente e uma tabela com todos os cabeçalhos, incluindo “Reply-To” e “Return-Path”.
Ele funciona inteiramente no seu navegador: nada do que você digitar é enviado.
Como usar Analisador de cabeçalhos de e-mail
- Copie os cabeçalhos. Abra o código-fonte da mensagem (Gmail: Mostrar original; Outlook: Exibir código-fonte da mensagem; Thunderbird: código-fonte da mensagem) e copie as linhas de cabeçalho até a primeira linha vazia.
- Cole e analise. Cole-os nos cabeçalhos do e-mail no formato Raw e clique em “Parse”. Se você colar o corpo da mensagem também, o analisador para na primeira linha em branco e informa quantas linhas não foram lidas.
- Leia os campos do topo. From, To e Date aparecem primeiro, depois Subject, quando existir. Os valores são exibidos exatamente como foram escritos, sem decodificação.
- Leia os resultados da autenticação. SPF, DKIM e DMARC exibem os resultados que o servidor receptor registrou no cabeçalho “Authentication-Results” mais alto, juntamente com o nome do servidor. Eles não são verificados novamente aqui.
- Siga os lúpulos. Os saltos recebidos são listados do mais antigo para o mais recente, assim como no EML Analyzer: o Salto 1 é o mais próximo do remetente, e o último salto foi adicionado pelo servidor que entregou a mensagem a você.
- Analise a tabela completa. A opção “Todos os cabeçalhos” lista todos os cabeçalhos, incluindo “Reply-To” e “Return-Path”. A opção “Enviar para” encaminha o resultado analisado, por exemplo, para o EML Analyzer.
Exemplo
Aviso bancário falsificado
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>Os campos superiores mostram o nome de exibição e o endereço do remetente, seguidos dos resultados de autenticação gerados pelo servidor receptor (spf=pass, dkim=none, dmarc=fail) e dois saltos “Received”, ordenados do mais antigo para o mais recente, conforme no EML Analyzer: no salto 1, mail.example.net aceita a mensagem proveniente de 198.51.100.10; no salto 2, mx.example.com a aceita proveniente de mail.example.net. A tabela com todos os 10 cabeçalhos mostra um “Reply-To” em outro domínio; com dmarc=fail, esses são dois indícios de um remetente falsificado.
O que ele verifica
| Sinal | O que isso significa |
|---|---|
| From | Compare o nome de exibição com o endereço entre os sinais de menor e maior. Um nome de marca ao lado de um domínio sem relação é um sinal comum de falsificação. |
| To | Se o seu próprio endereço não aparece, você provavelmente estava em Cco (Bcc) ou em uma lista de e-mail. Phishing em massa costuma usar Cco. |
| Date | Escrito pelo software do remetente, então pode ser falsificado. Compare-o com os horários dos saltos Received. |
| Subject | Exibido bruto. Um valor como =?UTF-8?B?...?= é texto codificado, que este analisador não decodifica. |
| SPF, DKIM, DMARC | Os resultados do servidor receptor. O valor “dmarc=fail” para o domínio de uma marca é um forte indício de falsificação; a indicação “not reported” significa que o servidor não registrou nenhum resultado para essa verificação. |
| Lúpulo recebido | Cada salto é limitado a 200 caracteres. Somente os saltos no final da lista, adicionados pelo seu próprio provedor, são confiáveis; os anteriores podem ser falsificados. |
| Responder para | Um endereço de resposta em um domínio diferente do campo “De” significa que sua resposta seria enviada para outro lugar. |
| Return-Path | O endereço de retorno que o SPF verifica. É normal que esse domínio seja diferente do campo “De” nos serviços de e-mail, mas vale a pena mencionar. |
| Message-ID | A parte depois do @ costuma indicar o sistema que criou a mensagem. Compare-a com o domínio do From. |
Mais exemplos
Nome do remetente e assunto codificados
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000Os campos De, Para, Data e Assunto estão preenchidos, mas o nome e o assunto permanecem como =?UTF-8?B?...?=, pois nada foi decodificado (eles exibem “Equipe de Folha de Pagamento” e “Atualização salarial”). A lista de saltos recebidos exibe os saltos agrupados em uma única linha, e a lista de todos os cabeçalhos exibe cada cabeçalho.
Corpo colado junto com os cabeçalhos
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.Apenas as linhas anteriores à primeira linha em branco são interpretadas como cabeçalhos. Uma nota abaixo da tabela indica que as linhas seguintes, ou seja, o corpo da mensagem, não foram interpretadas como cabeçalhos.
Uma linha Subject dobrada
From: Example Shop <orders@example.com>
Subject: Your order
has shippedFrom mostra Example Shop com o endereço orders@example.com, To e Date mostram um traço, e Subject mostra "Your order has shipped" em uma só linha. Received hops (0) e All headers (2).
Perguntas frequentes
Como leio os saltos Received?
Os saltos são numerados do mais antigo para o mais recente, assim como no EML Analyzer: o salto 1 é o cabeçalho “Received” mais abaixo, adicionado pelo primeiro servidor que processou a mensagem, e o último salto é o mais acima, adicionado pelo servidor que a entregou a você. Somente os “hops” adicionados pelo seu próprio provedor de e-mail são confiáveis, pois um remetente pode falsificar quaisquer linhas “Received” abaixo deles.
Ele verifica SPF, DKIM ou DMARC?
Não. Ele exibe os resultados de SPF, DKIM e DMARC do cabeçalho “Authentication-Results” mais alto e lista “Received-SPF” e “DKIM-Signature” exatamente como o servidor receptor os registrou, sem verificar nada, decodificando =?UTF-8?B?...?= assuntos ou ler o corpo da mensagem (ele para na primeira linha em branco), e encurta valores longos (salta para 200 caracteres, células da tabela para 300). Para um arquivo .eml completo, use o EML Analyzer.
Os cabeçalhos são enviados?
Não. A análise acontece no seu navegador e nada é enviado a lugar nenhum. Os cabeçalhos podem conter endereços pessoais e IPs internos, então remova-os antes de compartilhar.
Posso colar a mensagem inteira, com o corpo?
Sim, mas apenas o bloco de cabeçalho é lido: a análise é interrompida na primeira linha em branco, conforme define a RFC 5322, e a página informa quantas linhas do corpo foram ignoradas. O EML Analyzer lê mensagens completas, incluindo anexos.
O que acontece com as linhas de cabeçalho dobradas?
Uma linha que começa com espaço ou tabulação é unida ao cabeçalho de cima com um único espaço, então um cabeçalho Received ou Subject longo aparece como um único valor.
Qual cabeçalho “Authentication-Results” é utilizado?
O que está no topo, que foi adicionado por último pelo servidor que lhe enviou a mensagem. Os cabeçalhos “Authentication-Results” que aparecem mais abaixo podem ter sido enviados por servidores anteriores ou falsificados pelo remetente.