I-parse ang isang .eml file: mga header, kadena ng Received, mga link, mga hash ng kalakip, hindi pagtutugma ng nagpadala.
Bago
Tagapag-parse ng Ulo ng Email
Tumatakbo nang lokal
Ang kasangkapan mismo ay nasa Ingles; ipinaliwanag ito ng pahinang ito sa iyong wika.
Gamitin angTagapag-parse ng Ulo ng Email
Ano ang ginagawa nito
I-paste ang hilaw na mga header ng isang kahina-hinalang mensahe upang makita ang From, To, Date, at Subject, ang mga resulta ng SPF, DKIM, at DMARC na isinulat ng tumatanggap na server, ang bawat Received hop na pinakamatanda muna, at isang talahanayan ng lahat ng mga header kabilang ang Reply-To at Return-Path.
Ganap itong tumatakbo sa iyong browser: walang anumang ipinasok mo ang ina-upload.
Paano gamitin ang Tagapag-parse ng Ulo ng Email
- Kopyahin ang mga header. Buksan ang pinagmulan ng mensahe (Gmail: Ipakita ang orihinal; Outlook: Tingnan ang pinagmulan ng mensahe; Thunderbird: Tingnan ang pinagmulan) at kopyahin ang mga linya ng header hanggang sa unang bakanteng linya.
- I-paste at i-parse. I-paste ang mga ito sa hilaw na header ng email at pindutin ang Parse. Kung i-paste mo rin ang katawan, hihinto ang parser sa unang bakanteng linya at sasabihin kung ilang linya ang hindi nabasa.
- Basahin ang mga pangunahing patlang. Ang Mula, Papunta at Petsa ang unang lumalabas, pagkatapos ang Paksa kapag nariyan. Ipinapakita ang mga halaga nang eksakto kung paano nakasulat, nang hindi ina-decode.
- Basahin ang mga resulta ng pagpapatunay. Ipinapakita ng SPF, DKIM, at DMARC ang mga resulta na isinulat ng tumatanggap na server sa pinakamataas na Authentication-Results header, kasama ang pangalan ng server. Hindi na ito muling sinusuri dito.
- Sundin ang hops. Ang mga natanggap na hop ay nakalista nang pinakamatanda muna, gaya sa EML Analyzer: Ang Hop 1 ang pinakamalapit sa nagpadala, at ang huling hop ay idinagdag ng server na naghatid ng mensahe sa iyo.
- I-scan ang buong talahanayan. Ang lahat ng header ay naglilista ng bawat header, kabilang ang Reply-To at Return-Path. Ang Send to ay nagpapasa ng na-parse na resulta, halimbawa sa EML Analyzer.
Halimbawa
Pekeng paunawa ng bangko
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>Ipinapakita ng mga itaas na patlang ang pangalan at address ng nagpadala, pagkatapos ang Authentication-Results na isinulat ng tumatanggap na server (spf=pass, dkim=none, dmarc=fail) at dalawang Received hops, pinakamatanda muna, gaya sa EML Analyzer: sa Hop 1 tinatanggap ng mail.example.net ang mensahe mula sa 198.51.100.10, sa Hop 2 tinatanggap naman ito ng mx.example.com mula sa mail.example.net. Ang talahanayan ng lahat ng 10 header ay nagpapakita ng Reply-To sa ibang domain; dahil sa dmarc=fail, dalawang palatandaan iyon ng pekeng nagpadala.
Ano ang sinusuri nito
| Sinyales | Ano ang ibig sabihin nito |
|---|---|
| Mula sa | Ihambing ang pangalang ipinapakita sa address na nasa panaklong. Ang pangalan ng tatak sa tabi ng isang hindi kaugnay na domain ay karaniwang palatandaan ng panlilinlang. |
| Para sa | Kung nawawala ang sarili mong address, malamang na kasama ka sa Bcc o nasa mailing list. Madalas gumagamit ng Bcc ang bulk phishing. |
| Petsa | Isinulat ito ng software ng nagpadala, kaya maaari itong pekehin. Ihambing ito sa mga oras sa Received hops. |
| Paksa | Ipinapakita nang hilaw. Ang halagang tulad ng =?UTF-8?B?...?= ay naka-encode na teksto na hindi dinidecode ng parser na ito. |
| SPF, DKIM, DMARC | Ang mga hatol ng tumatanggap na server. Ang dmarc=fail para sa domain ng isang tatak ay malakas na palatandaan ng panlilinlang; ang hindi naiulat ay nangangahulugang walang naitalang resulta ang server para sa pagsusuring iyon. |
| Natanggap na mga hop | Bawat hop ay pinutol sa 200 na karakter. Tanging ang mga hop sa dulo ng listahan, na idinagdag ng iyong sariling provider, ang mapagkakatiwalaan; ang mga nauna ay maaaring peke. |
| Tugon-Para sa | Ang isang address ng tugon sa ibang domain kaysa sa From ay nangangahulugang mapupunta ang iyong sagot sa ibang lugar. |
| Daan pabalik | Ang bounce address na sinusuri ng SPF. Karaniwan para sa mga serbisyo sa pag-mail na iba ang domain nito kaysa sa From, ngunit mahalagang pansinin ito. |
| ID ng Mensahe | Ang bahagi pagkatapos ng @ ay kadalasang nagbibigay ng pangalan sa sistemang lumikha ng mensahe. Ihambing ito sa larangan ng From. |
Karagdagang mga halimbawa
Nakodigong pangalan ng nagpadala at paksa
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000Ang From, To, Date, at Subject ay napunan, ngunit ang name at subject ay nananatiling =?UTF-8?B?...?= dahil wala pang na-decode (nababasa nila bilang Payroll Team at Salary update). Ang Received hops ay naglilista ng folded hop sa isang linya, at ang All headers ay naglilista ng bawat header.
Katawan na nakadikit ang mga header
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.Ang mga linya lamang bago ang unang bakanteng linya ang binabasa bilang mga header. Sinasabi sa isang tala sa ilalim ng talahanayan na ang mga linya pagkatapos nito, ang katawan ng mensahe, ay hindi binasa bilang mga header.
Isang nakatiklop na linya ng paksa
From: Example Shop <orders@example.com>
Subject: Your order
has shippedMula sa mga palabas ng Example Shop na may address na orders@example.com, ang To at Date ay nagpapakita ng gitling, at ang Subject ay nakasulat na "Naipadala na ang iyong order" sa isang linya. Natanggap na hops (0) at lahat ng mga header (2).
Madalas na tanong
Paano ko babasahin ang natanggap na hops?
Ang mga hop ay binibilang mula sa pinakamatanda, gaya sa EML Analyzer: Ang Hop 1 ay ang pinakailalim na Received header na idinagdag ng unang server na humawak ng mensahe, at ang huling hop ang pinakataas na idinagdag ng server na naghatid nito sa iyo. Maaasahan lamang ang mga hop na idinagdag ng iyong sariling mail provider, dahil maaaring palsipikahin ng nagpadala ang anumang linyang Received sa ibaba nito.
Sinusuri ba nito ang SPF, DKIM, o DMARC?
Hindi. Ipinapakita nito ang mga resulta ng SPF, DKIM, at DMARC mula sa pinakamataas na Authentication-Results header at inililista ang Received-SPF at DKIM-Signature ayon sa pagkakasulat ng mga ito ng tumatanggap na server, nang hindi nagpapatunay ng anumang bagay, decoding =?UTF-8?B?...?= mga paksa o pagbabasa ng katawan (tumitigil ito sa unang bakanteng linya), at pinapaikli nito ang mahahabang halaga (tumatalon sa 200 karakter, sa 300 para sa mga selda ng talahanayan). Para sa buong .eml file, gamitin ang EML Analyzer.
Na-upload na ba ang mga header?
Hindi. Nangyayari ang pag-parse sa iyong browser at wala itong ipinapadala kahit saan. Maaaring maglaman ang mga header ng personal na address at panloob na IP, kaya alisin muna ang mga ito bago mo ito ibahagi.
Maaari ko bang i-paste ang buong mensahe, kasama ang katawan?
Oo, ngunit tanging ang header block ang binabasa: humihinto ang pag-parse sa unang blankong linya, ayon sa itinakda ng RFC 5322, at sinasabi ng pahina kung ilang linya ng katawan ang nilaktawan. Binabasa ng EML Analyzer ang buong mensahe, kasama ang mga kalakip.
Ano ang nangyayari sa mga nakatiklop na linya ng header?
Ang linyang nagsisimula ng puwang o tab ay pinagdugtong sa header sa itaas nito gamit ang isang puwang, kaya ang mahabang Received o Subject header ay lumalabas bilang isang halaga.
Alin sa mga header na Authentication-Results ang ginagamit?
Ang pinakamataas, na huling idinagdag ng server na naghatid ng mensahe sa iyo. Ang mga mas mababang header ng Authentication-Results ay maaaring magmula sa mga naunang server o maaaring pekein ng nagpadala.