Розберіть файл .eml: заголовки, ланцюжок Received, посилання, хеші вкладень, невідповідності відправника.
Новий
Аналізатор заголовків листа
Працює локально
Сам інструмент доступний англійською мовою; на цій сторінці наведено пояснення вашою мовою.
Використовуйте Аналізатор заголовків листа
Як це працює
Вставте необроблені заголовки підозрілого повідомлення, щоб переглянути поля «Від», «Кому», «Дата» та «Тема», результати перевірки SPF, DKIM і DMARC, записані сервером-одержувачем, усі проміжні сервери з поля «Received» (у порядку від найстарішого до найновішого), а також таблицю всіх заголовків, включаючи «Reply-To» та «Return-Path».
Програма працює повністю у вашому браузері: жодні введені вами дані не завантажуються.
Як користуватися Аналізатор заголовків листа
- Скопіюйте заголовки. Відкрийте вихідний код листа (у Gmail — Show original, в Outlook — View message source, у Thunderbird — View source) і скопіюйте рядки заголовків до першого порожнього рядка.
- Вставте й розберіть. Вставте їх у поле «Raw email headers» і натисніть «Parse». Якщо ви вставите також текст листа, парсер зупиниться на першому порожньому рядку і покаже, скільки рядків він не прочитав.
- Прочитайте верхні поля. Спершу з'являються From, To і Date, потім Subject, якщо він є. Значення показано точно так, як їх записано, без декодування.
- Ознайомтеся з результатами автентифікації. SPF, DKIM та DMARC відображають результати, які приймаючий сервер вказав у найвищому заголовку «Authentication-Results» разом із назвою сервера. Тут вони не перевіряються повторно.
- Слідуйте за хмелем. Отримані переходи перелічені у порядку від найстарішого до найновішого, як і в EML Analyzer: перехід 1 знаходиться найближче до відправника, а останній перехід був доданий сервером, який доставив вам повідомлення.
- Переглянути повну таблицю. У розділі «Усі заголовки» перелічено всі заголовки, включаючи Reply-To та Return-Path. Функція «Надіслати» передає результат аналізу, наприклад, до EML Analyzer.
Приклад
Підроблене повідомлення від банку
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>У верхніх полях відображаються ім’я та адреса відправника, потім результати автентифікації, записані сервером-одержувачем (spf=pass, dkim=none, dmarc=fail), а також два етапи маршруту «Received», розташовані в порядку від найстарішого до найновішого, як у EML Analyzer: у вузлі 1 mail.example.net приймає повідомлення від 198.51.100.10, у вузлі 2 mx.example.com приймає його від mail.example.net. У таблиці всіх 10 заголовків показано поле «Reply-To» на іншому домені; разом із dmarc=fail це є двома ознаками підробки відправника.
Що перевіряється
| Сигнал | Що це означає |
|---|---|
| From | Порівняйте відображуване ім'я з адресою в кутових дужках. Назва бренду поруч із доменом, що не має до нього стосунку, — поширена ознака підробки. |
| To | Якщо вашої адреси немає, ймовірно, ви були в Bcc або в списку розсилки. Масовий фішинг часто використовує Bcc. |
| Date | Записується програмою відправника, тож її можна підробити. Порівняйте її з часом у хопах Received. |
| Subject | Показано в сирому вигляді. Значення на кшталт =?UTF-8?B?...?= — це закодований текст, який цей аналізатор не декодує. |
| SPF, DKIM, DMARC | Результати перевірки приймаючого сервера. Значення dmarc=fail для домену бренду є явною ознакою підробки; відсутність повідомлення означає, що сервер не надав результатів цієї перевірки. |
| Отриманий хміль | Кожен перехід обмежується 200 символами. Довіряти можна лише тим переходам, що знаходяться в кінці списку та додані вашим провайдером; попередні переходи можуть бути підроблені. |
| Адреса для відповіді | Якщо адреса для відповіді вказана в іншому домені, ніж адреса відправника, це означає, що ваша відповідь надійде кудись інде. |
| Return-Path | Адреса відправлення, яку перевіряє SPF. Для поштових сервісів цілком нормально, що цей домен відрізняється від домену, вказаного у полі «Від», але на це варто звернути увагу. |
| Message-ID | Частина після @ часто називає систему, що створила лист. Порівняйте її з доменом From. |
Ще кілька прикладів
Закодовані ім'я відправника й тема
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000Поля «Від», «Кому», «Дата» та «Тема» заповнені, але ім’я та тема залишаються у вигляді =?UTF-8?B?...?=, оскільки дані не декодуються (вони відображаються як «Команда з розрахунку заробітної плати» та «Оновлення зарплати»). У списку «Отримані переходи» згорнуті переходи вказані в одному рядку, а у списку «Усі заголовки» перелічені всі заголовки.
Тіло листа, вставлене разом із заголовками
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.Як заголовки зчитуються лише рядки, що йдуть перед першим порожнім рядком. У примітці під таблицею зазначено, що рядки, які йдуть після нього (тобто основний текст повідомлення), не були зчитані як заголовки.
Перенесений рядок Subject
From: Example Shop <orders@example.com>
Subject: Your order
has shippedFrom показує Example Shop з адресою orders@example.com, To і Date показують прочерк, а Subject одним рядком: "Your order has shipped". Received hops (0) і All headers (2).
Часті запитання
Як читати хопи Received?
Передачі нумеруються від найстарішої до найновішої, як і в EML Analyzer: передача 1 — це нижній заголовок «Received», доданий першим сервером, який обробляв повідомлення, а остання передача — це найвищий заголовок, доданий сервером, який доставив повідомлення вам. Довіряти можна лише переходам, доданим вашим власним поштовим провайдером, оскільки відправник може підробити будь-які рядки «Received», розташовані нижче них.
Чи перевіряє він SPF, DKIM або DMARC?
Ні. Він відображає результати SPF, DKIM та DMARC із найвищого заголовка «Authentication-Results» і перелічує поля «Received-SPF» та «DKIM-Signature» у тому вигляді, в якому їх записав сервер-одержувач, без будь-якої перевірки, декодуючи =?UTF-8?B?...?= підписів або читання тіла повідомлення (програма зупиняється на першому порожньому рядку), а також скорочує довгі значення (переходи до 200 символів, комірки таблиці — до 300). Для перегляду повного файлу .eml скористайтеся програмою EML Analyzer.
Чи вивантажуються заголовки?
Ні. Розбір відбувається у вашому браузері, і нічого нікуди не надсилається. Заголовки можуть містити особисті адреси та внутрішні IP-адреси, тож видаліть їх, перш ніж кимось ділитися.
Чи можна вставити весь лист разом із тілом?
Так, але зчитується лише блок заголовка: аналіз зупиняється на першому порожньому рядку, як це визначено в RFC 5322, і на сторінці вказується, скільки рядків основної частини було пропущено. EML Analyzer зчитує повідомлення повністю, включаючи вкладення.
Що відбувається з перенесеними рядками заголовків?
Рядок, що починається з пробілу або табуляції, приєднується до заголовка над ним через один пробіл, тож довгий заголовок Received або Subject показується як одне значення.
Який заголовок Authentication-Results використовується?
Найвищий у списку, який останнім додав сервер, що доставив вам це повідомлення. Нижчі заголовки «Authentication-Results» можуть надходити від попередніх серверів або бути підробленими відправником.