Analizează un fișier .eml: antete, lanțul „Received”, linkuri, hash-uri ale atașamentelor, neconcordanțe privind expeditorul.
Nou
Analizator de antete de e-mail
Rulează local
Instrumentul în sine este în limba engleză; această pagină îl explică în limba ta.
Folosește Analizator de antete de e-mail
Ce face
Lipiți anteturile brute ale unui mesaj suspect pentru a vedea câmpurile „De la”, „Către”, „Data” și „Subiect”, rezultatele SPF, DKIM și DMARC generate de serverul destinatar, toate etapele „Received” în ordine cronologică descrescătoare, precum și un tabel cu toate anteturile, inclusiv „Reply-To” și „Return-Path”.
Aplicația funcționează în întregime în browserul tău: nimic din ce introduci nu este încărcat pe server.
Cum se utilizează Analizator de antete de e-mail
- Copiați anteturile. Deschideți sursa mesajului (în Gmail: „Afișați originalul”, în Outlook: „Vizualizați sursa mesajului”, în Thunderbird: „Vizualizați sursa”) și copiați rândurile din antet până la primul rând gol.
- Lipiți și analizați. Lipiți-le în câmpul „Raw email headers” și apăsați butonul „Parse”. Dacă lipiți și textul corpului mesajului, programul de analiză se oprește la prima linie goală și indică numărul de linii pe care nu le-a citit.
- Citiți câmpurile principale. Mai întâi apar câmpurile „De la”, „Către” și „Data”, urmate de „Subiect”, dacă acesta există. Valorile sunt afișate exact așa cum au fost scrise, fără a fi decodificate.
- Citește rezultatele autentificării. SPF, DKIM și DMARC afișează rezultatele pe care serverul destinatar le-a înregistrat în antetul „Authentication-Results” de la începutul mesajului, împreună cu numele serverului. Acestea nu sunt verificate din nou aici.
- Urmați trăsătura. Salturile primite sunt listate în ordine cronologică inversă, la fel ca în EML Analyzer: Saltul 1 este cel mai apropiat de expeditor, iar ultimul salt a fost adăugat de serverul care ți-a livrat mesajul.
- Scanează întregul tabel. Opțiunea „All headers” afișează toate anteturile, inclusiv „Reply-To” și „Return-Path”. Opțiunea „Send to” transmite rezultatul analizat mai departe, de exemplu către EML Analyzer.
Exemplu
Notificare bancară falsificată
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>Câmpurile din partea de sus afișează numele și adresa expeditorului, apoi rezultatele autentificării înregistrate de serverul destinatar (spf=pass, dkim=none, dmarc=fail) și două etape „Received”, ordonate de la cea mai veche la cea mai recentă, așa cum se vede în EML Analyzer: în Hop 1, mail.example.net acceptă mesajul de la 198.51.100.10, iar în Hop 2, mx.example.com îl acceptă de la mail.example.net. Tabelul cu toate cele 10 antete arată un câmp „Reply-To” pe un alt domeniu; împreună cu „dmarc=fail”, acestea sunt două indicii ale unui expeditor falsificat.
Ce verifică
| Semnal | Ce înseamnă asta |
|---|---|
| De la | Comparați numele afișat cu adresa dintre paranteze unghiulare. Prezența unui nume de marcă lângă un domeniu fără nicio legătură cu acesta este un semn frecvent de falsificare. |
| Către | Dacă adresa ta nu apare pe listă, probabil că ai fost inclus în câmpul „Bcc” sau te aflai pe o listă de distribuție. În cazul atacurilor de phishing în masă se folosește adesea câmpul „Bcc”. |
| Data | Este generat de software-ul expeditorului, așa că poate fi falsificat. Compară-l cu orele din salturile din câmpul „Received”. |
| Subiect | Afișat în format brut. O valoare de tipul =?UTF-8?B?...?= reprezintă text codificat pe care acest analizor nu îl decodifică. |
| SPF, DKIM, DMARC | Rezultatele serverului destinatar. Valoarea „dmarc=fail” pentru domeniul unei mărci reprezintă un indiciu clar de falsificare; mențiunea „not reported” înseamnă că serverul nu a generat niciun rezultat pentru acea verificare. |
| Hamei primit | Fiecare salt este limitat la 200 de caractere. Doar salturile de la sfârșitul listei, adăugate de propriul tău furnizor, sunt de încredere; cele anterioare pot fi falsificate. |
| Răspunde la | O adresă de răspuns pe un domeniu diferit de cel al câmpului „De la” înseamnă că răspunsul tău ar fi trimis în altă parte. |
| Cale de returnare | Adresa de returnare verificată de SPF. Este normal ca, în cazul serviciilor de e-mail, aceasta să fie un domeniu diferit de cel al câmpului „De la”, dar merită menționat acest lucru. |
| ID-ul mesajului | Partea care urmează după simbolul @ indică de obicei sistemul care a creat mesajul. Comparați-o cu domeniul din câmpul „De la”. |
Alte exemple
Numele expeditorului și subiectul mesajului codificate
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000Câmpurile „De la”, „Către”, „Data” și „Subiect” sunt completate, dar numele și subiectul rămân sub forma „=?UTF-8?B?...?=”, deoarece nu s-a decodat nimic (se afișează „Echipa de salarizare” și „Actualizare salariu”). Secțiunea „Hopuri primite” afișează hopul comprimat pe o singură linie, iar secțiunea „Toate anteturile” listează fiecare antet.
Textul principal, cu anteturile inserate
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.Doar rândurile de înaintea primului rând gol sunt interpretate ca anteturi. O notă de sub tabel precizează că rândurile de după acesta, adică corpul mesajului, nu au fost interpretate ca anteturi.
Un câmp „Subiect” pliat
From: Example Shop <orders@example.com>
Subject: Your order
has shippedDin mesajele primite de la Example Shop, cu adresa orders@example.com, câmpurile „Către” și „Data” conțin o liniuță, iar subiectul este „Comanda dvs. a fost expediată”, totul pe o singură linie. Numărul de salturi primite este (0), iar numărul total de antete este (2).
Întrebări frecvente
Cum pot interpreta numărul de salturi primite?
Hopurile sunt numerotate începând cu cel mai vechi, la fel ca în EML Analyzer: Hopul 1 este antetul „Received” din partea de jos, adăugat de primul server care a procesat mesajul, iar ultimul hop este cel din partea de sus, adăugat de serverul care ți l-a livrat. Doar hopurile adăugate de propriul furnizor de e-mail sunt de încredere, deoarece un expeditor poate falsifica orice rânduri „Received” situate sub acestea.
Verifică SPF, DKIM sau DMARC?
Nu. Afișează rezultatele SPF, DKIM și DMARC din antetul „Authentication-Results” situat cel mai sus și listează câmpurile „Received-SPF” și „DKIM-Signature” așa cum au fost scrise de serverul de destinație, fără a verifica nimic, decodând =?UTF-8?B?...?= subiecte sau citirea corpului mesajului (se oprește la prima linie goală) și scurtează valorile lungi (salturi la 200 de caractere, celule de tabel la 300). Pentru un fișier .eml complet, utilizați EML Analyzer.
Au fost încărcate anteturile?
Nu. Analiza se efectuează în browserul tău și nu se trimite nimic nicăieri. Anteturile pot conține adrese personale și adrese IP interne, așa că elimină-le înainte de a le partaja.
Pot să lipesc întregul mesaj, inclusiv textul propriu-zis?
Da, dar se citește doar blocul de antet: analizarea se oprește la prima linie goală, așa cum prevede RFC 5322, iar pagina indică câte linii din corpul mesajului au fost omise. EML Analyzer citește mesajele în întregime, inclusiv atașamentele.
Ce se întâmplă cu rândurile de antet pliate?
O linie care începe cu un spațiu sau cu o tabulație este aliniată la antetul de deasupra ei cu un singur spațiu, astfel încât un antet „Received” sau „Subject” lung apare ca o singură valoare.
Care antet „Authentication-Results” este utilizat?
Cel de sus, care a fost adăugat ultimul de către serverul care ți-a transmis mesajul. Anteturile „Authentication-Results” situate mai jos pot proveni de la servere anterioare sau pot fi falsificate de către expeditor.