Разбирайте файл .eml: заголовки, цепочка Received, ссылки, хеши вложений, несоответствия отправителя.
Новый
Анализатор заголовков письма
Работает локально
Сам инструмент доступен на английском языке; на этой странице приведено его описание на вашем языке.
Используйте Анализатор заголовков письма
Для чего это нужно
Вставьте исходные заголовки подозрительного сообщения, чтобы увидеть поля «От», «Кому», «Дата» и «Тема», результаты проверки SPF, DKIM и DMARC, записанные принимающим сервером, все промежуточные серверы в поле «Received» (в порядке убывания по дате) и таблицу всех заголовков, включая «Reply-To» и «Return-Path».
Приложение работает полностью в браузере: никакие введенные вами данные не передаются на сервер.
Как использовать Анализатор заголовков письма
- Скопируйте заголовки. Откройте исходный код письма (в Gmail — Show original, в Outlook — View message source, в Thunderbird — View source) и скопируйте строки заголовков до первой пустой строки.
- Вставьте и разберите. Вставьте их в поле «Raw email headers» и нажмите «Parse». Если вы вставите также текст письма, парсер остановится на первой пустой строке и сообщит, сколько строк он не прочитал.
- Прочитайте верхние поля. Сначала показываются From, To и Date, затем Subject, если он есть. Значения выводятся точно так, как записаны, без декодирования.
- Прочитать результаты аутентификации. SPF, DKIM и DMARC отображают результаты, которые принимающий сервер указал в самом верхнем заголовке «Authentication-Results» вместе с именем сервера. Здесь они повторно не проверяются.
- Следуйте за хмелем. Полученные переходы перечислены в порядке убывания даты, как и в EML Analyzer: переход 1 находится ближе всего к отправителю, а последний переход был добавлен сервером, доставившим вам сообщение.
- Просмотреть всю таблицу. В списке «Все заголовки» перечислены все заголовки, включая «Reply-To» и «Return-Path». Функция «Отправить» передает результат разбора, например, в программу EML Analyzer.
Пример
Поддельное уведомление от банка
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>В верхних полях отображаются отображаемое имя и адрес отправителя, затем результаты аутентификации, записанные принимающим сервером (spf=pass, dkim=none, dmarc=fail), а также два промежуточных сервера (Received), расположенные в порядке от старого к новому, как в EML Analyzer: в узле 1 mail.example.net принимает сообщение от 198.51.100.10, в узле 2 mx.example.com принимает его от mail.example.net. В таблице всех 10 заголовков поле «Reply-To» указывает на другой домен; в сочетании с dmarc=fail это два признака поддельного отправителя.
Что проверяется
| Сигнал | Что это означает |
|---|---|
| From | Сравните отображаемое имя с адресом в угловых скобках. Название бренда рядом с посторонним доменом — частый признак подделки. |
| To | Если вашего адреса там нет, вы, вероятно, были в Bcc или в списке рассылки. Массовый фишинг часто использует Bcc. |
| Date | Записывается программой отправителя, поэтому может быть подделана. Сравните её со временем в узлах Received. |
| Subject | Показывается в исходном виде. Значение вроде =?UTF-8?B?...?= — это закодированный текст, который этот парсер не декодирует. |
| SPF, DKIM, DMARC | Результаты проверки принимающего сервера. Значение dmarc=fail для домена бренда является явным признаком подделки; отсутствие сообщения означает, что сервер не выдал результата по данной проверке. |
| Полученный хмель | Каждый прыжок сокращается до 200 символов. Доверять можно только тем прыжкам, которые находятся в конце списка и были добавлены вашим провайдером; более ранние прыжки могут быть подделаны. |
| Ответить на | Если адрес для ответа находится в другом домене, чем адрес отправителя, ваш ответ будет отправлен не туда, куда нужно. |
| Return-Path | Адрес, с которого отправляется письмо, и который проверяется SPF. Для почтовых сервисов нормально, когда этот домен отличается от домена, указанного в поле «От кого», но об этом стоит упомянуть. |
| Message-ID | Часть после @ часто указывает на систему, которая создала письмо. Сравните её с доменом From. |
Еще примеры
Закодированные имя отправителя и тема
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000Поля «От», «Кому», «Дата» и «Тема» заполнены, но имя и тема остаются в виде =?UTF-8?B?...?=, поскольку данные не декодируются (в них указано «Payroll Team» и «Salary update»). В списке «Полученные промежуточные узлы» сжатые промежуточные узлы отображаются в одной строке, а в списке «Все заголовки» перечислены все заголовки.
Тело письма вставлено вместе с заголовками
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.В качестве заголовков считаются только строки, расположенные перед первой пустой строкой. В примечании под таблицей указано, что последующие строки — текст сообщения — не были признаны заголовками.
Свёрнутая строка Subject
From: Example Shop <orders@example.com>
Subject: Your order
has shippedFrom показывает Example Shop с адресом orders@example.com, To и Date — прочерк, а Subject — «Your order has shipped» в одну строку. Received hops (0) и All headers (2).
Часто задаваемые вопросы
Как читать узлы Received?
Прыжки нумеруются в порядке убывания возраста, как и в EML Analyzer: прыжок 1 — это нижний заголовок «Received», добавленный первым сервером, обработавшим сообщение, а последний прыжок — самый верхний, добавленный сервером, доставившим сообщение вам. Доверять можно только прыжкам, добавленным вашим собственным почтовым провайдером, поскольку отправитель может подделать любые строки «Received», расположенные ниже них.
Проверяет ли он SPF, DKIM или DMARC?
Нет. Он отображает результаты SPF, DKIM и DMARC из самого верхнего заголовка «Authentication-Results» и перечисляет поля «Received-SPF» и «DKIM-Signature» в том виде, в каком их записал принимающий сервер, без какой-либо проверки, декодируя =?UTF-8?B?...?= и не читая тело сообщения (остановка происходит на первой пустой строке), а также сокращает длинные значения (переходы — до 200 символов, ячейки таблицы — до 300). Для просмотра полного файла .eml используйте EML Analyzer.
Загружаются ли заголовки куда-нибудь?
Нет. Разбор выполняется в вашем браузере, и ничего никуда не отправляется. Заголовки могут содержать личные адреса и внутренние IP-адреса, поэтому удалите их, прежде чем кому-то показывать заголовки.
Можно ли вставить всё письмо вместе с телом?
Да, но считывается только блок заголовка: анализ останавливается на первой пустой строке, как это определено в RFC 5322, и на странице указывается, сколько строк основного текста было пропущено. EML Analyzer считывает сообщения полностью, включая вложения.
Что происходит со свёрнутыми строками заголовков?
Строка, которая начинается с пробела или табуляции, присоединяется к заголовку над ней через один пробел, поэтому длинный заголовок Received или Subject выводится одним значением.
Какой заголовок Authentication-Results используется?
Самый верхний, который последним добавил сервер, доставивший вам сообщение. Более низкие заголовки «Authentication-Results» могут поступать от предыдущих серверов или быть подделаны отправителем.