Phân tích tệp .eml: tiêu đề, chuỗi “Received”, các liên kết, mã băm tệp đính kèm, sự không khớp thông tin người gửi.
Mới
Trình phân tích tiêu đề email
Chạy cục bộ
Công cụ này được hiển thị bằng tiếng Anh; trang này giải thích về công cụ đó bằng ngôn ngữ của bạn.
Sử dụng Trình phân tích tiêu đề email
Chức năng của nó là gì?
Dán các tiêu đề thô của một tin nhắn đáng ngờ để xem các trường “From”, “To”, “Date” và “Subject”, kết quả SPF, DKIM và DMARC do máy chủ nhận ghi lại, danh sách các bước trung gian “Received” theo thứ tự từ cũ nhất đến mới nhất, cùng với bảng liệt kê tất cả các tiêu đề bao gồm cả “Reply-To” và “Return-Path”.
Ứng dụng này hoạt động hoàn toàn trên trình duyệt của bạn: mọi thông tin bạn nhập vào đều không được tải lên.
Cách sử dụng Trình phân tích tiêu đề email
- Sao chép các tiêu đề. Mở nguồn tin nhắn (Gmail: “Hiển thị bản gốc”, Outlook: “Xem nguồn tin nhắn”, Thunderbird: “Xem nguồn”) và sao chép các dòng tiêu đề xuống đến dòng trống đầu tiên.
- Dán và phân tích cú pháp. Dán chúng vào phần tiêu đề email dạng thô (Raw) và nhấn nút “Parse”. Nếu bạn dán cả phần nội dung email vào, trình phân tích sẽ dừng lại ở dòng trống đầu tiên và hiển thị số dòng mà nó chưa đọc được.
- Đọc các trường hàng đầu. Các trường “Từ”, “Đến” và “Ngày” xuất hiện trước tiên, sau đó là trường “Chủ đề” (nếu có). Các giá trị được hiển thị chính xác như đã nhập, không qua giải mã.
- Xem kết quả xác thực. SPF, DKIM và DMARC hiển thị kết quả mà máy chủ nhận đã ghi trong tiêu đề Authentication-Results ở vị trí đầu tiên, kèm theo tên của máy chủ đó. Các thông tin này sẽ không được kiểm tra lại tại đây.
- Hãy theo dấu những bông hoa bia. Các bước nhảy nhận được được liệt kê theo thứ tự từ cũ nhất đến mới nhất, giống như trong EML Analyzer: Bước nhảy 1 là bước nhảy gần người gửi nhất, còn bước nhảy cuối cùng là bước nhảy được thêm vào bởi máy chủ đã chuyển tin nhắn đến cho bạn.
- Quét toàn bộ bảng. Tất cả các tiêu đề liệt kê mọi tiêu đề, bao gồm cả Reply-To và Return-Path. Chức năng “Gửi đến” sẽ chuyển tiếp kết quả đã phân tích, ví dụ như đến EML Analyzer.
Ví dụ
Thông báo giả mạo của ngân hàng
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>Các trường trên cùng hiển thị tên hiển thị và địa chỉ của người gửi, tiếp theo là kết quả xác thực mà máy chủ nhận đã ghi lại (spf=pass, dkim=none, dmarc=fail) và hai bước trung gian “Received”, được sắp xếp theo thứ tự từ cũ nhất đến mới nhất như trong EML Analyzer: ở bước trung gian 1, mail.example.net nhận tin nhắn từ 198.51.100.10; ở bước trung gian 2, mx.example.com nhận tin nhắn từ mail.example.net. Bảng liệt kê tất cả 10 tiêu đề cho thấy trường "Reply-To" thuộc một tên miền khác; kết hợp với dmarc=fail, đây là hai dấu hiệu cho thấy người gửi đã bị giả mạo.
Nó kiểm tra những gì
| Tín hiệu | Ý nghĩa của điều đó là gì |
|---|---|
| Từ | Hãy so sánh tên hiển thị với địa chỉ được đặt trong dấu ngoặc nhọn. Tên thương hiệu xuất hiện bên cạnh một tên miền không liên quan là một dấu hiệu phổ biến của hành vi giả mạo. |
| Để | Nếu địa chỉ email của bạn không có trong danh sách, có thể bạn đã được thêm vào trường “Bcc” hoặc nằm trong danh sách gửi thư. Các vụ lừa đảo hàng loạt thường sử dụng trường “Bcc”. |
| Ngày | Được tạo bởi phần mềm của người gửi, do đó có thể bị làm giả. Hãy so sánh thông tin này với các mốc thời gian trong các bước trung gian của trường “Received”. |
| Chủ đề | Được hiển thị dưới dạng thô. Một giá trị như =?UTF-8?B?...?= là văn bản đã được mã hóa mà trình phân tích cú pháp này không giải mã. |
| SPF, DKIM, DMARC | Kết quả kiểm tra từ máy chủ nhận. Giá trị `dmarc=fail` đối với tên miền của một thương hiệu là dấu hiệu rõ ràng cho thấy hành vi giả mạo; nếu không có báo cáo nghĩa là máy chủ không ghi lại kết quả nào cho lần kiểm tra đó. |
| Đã nhận được hoa bia | Mỗi bước nhảy được cắt ngắn xuống còn 200 ký tự. Chỉ những bước nhảy ở cuối danh sách, do chính nhà cung cấp của bạn thêm vào, mới đáng tin cậy; những bước nhảy trước đó có thể bị làm giả. |
| Trả lời tới | Địa chỉ trả lời nằm trên một miền khác với miền của người gửi có nghĩa là câu trả lời của bạn sẽ được gửi đến một nơi khác. |
| Đường dẫn trả về | Địa chỉ phản hồi mà SPF kiểm tra. Việc tên miền này khác với tên miền “From” là điều bình thường đối với các dịch vụ gửi thư điện tử, nhưng vẫn đáng lưu ý. |
| ID tin nhắn | Phần nằm sau ký hiệu @ thường chỉ tên hệ thống đã tạo ra tin nhắn. Hãy so sánh phần này với miền “From”. |
Các ví dụ khác
Tên người gửi và tiêu đề đã được mã hóa
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000Các trường Từ, Đến, Ngày và Chủ đề đã được điền, nhưng tên và chủ đề vẫn hiển thị dưới dạng =?UTF-8?B?...?= vì không có thông tin nào được giải mã (nội dung hiển thị là “Payroll Team” và “Salary update”). Danh sách các bước trung gian đã nhận liệt kê các bước trung gian được gộp lại trên một dòng, còn danh sách Tất cả tiêu đề liệt kê từng tiêu đề riêng lẻ.
Nội dung được chèn kèm các tiêu đề
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.Chỉ các dòng trước dòng trống đầu tiên mới được coi là tiêu đề. Một chú thích dưới bảng cho biết các dòng sau đó, tức là phần nội dung tin nhắn, không được coi là tiêu đề.
Dòng chủ đề bị gấp lại
From: Example Shop <orders@example.com>
Subject: Your order
has shippedTừ các bản ghi, ví dụ như Example Shop có địa chỉ orders@example.com, các trường “To” và “Date” hiển thị dấu gạch ngang, còn trường “Subject” hiển thị nội dung “Your order has shipped” trên cùng một dòng. Số lần nhảy nhận được (0) và tổng số tiêu đề (2).
Câu hỏi thường gặp
Làm thế nào để đọc số bước nhảy đã nhận?
Các bước trung gian (hops) được đánh số theo thứ tự từ cũ nhất đến mới nhất, giống như trong EML Analyzer: Bước trung gian 1 là dòng tiêu đề “Received” ở dưới cùng, được thêm vào bởi máy chủ đầu tiên xử lý tin nhắn, và bước trung gian cuối cùng là dòng ở trên cùng, được thêm vào bởi máy chủ đã chuyển tin nhắn đến cho bạn. Chỉ các hop được thêm vào bởi nhà cung cấp dịch vụ email của chính bạn mới đáng tin cậy, vì người gửi có thể làm giả bất kỳ dòng "Received" nào nằm dưới các hop đó.
Nó có kiểm tra SPF, DKIM hay DMARC không?
Không. Nó hiển thị kết quả SPF, DKIM và DMARC từ tiêu đề Authentication-Results ở trên cùng và liệt kê các trường Received-SPF và DKIM-Signature đúng như cách máy chủ nhận đã ghi lại, mà không xác minh bất kỳ thông tin nào, giải mã các chuỗi dạng =?UTF-8?B?...?= các tiêu đề hoặc đọc nội dung (nó dừng lại ở dòng trống đầu tiên), và nó rút gọn các giá trị dài (số bước nhảy xuống còn 200 ký tự, các ô bảng xuống còn 300). Để xem tệp .eml đầy đủ, hãy sử dụng EML Analyzer.
Các tiêu đề đã được tải lên chưa?
Không. Quá trình phân tích cú pháp diễn ra ngay trong trình duyệt của bạn và không có dữ liệu nào được gửi đi đâu cả. Các tiêu đề có thể chứa địa chỉ cá nhân và địa chỉ IP nội bộ, vì vậy hãy xóa những thông tin đó trước khi chia sẻ.
Tôi có thể dán toàn bộ tin nhắn, bao gồm cả nội dung chính không?
Đúng vậy, nhưng chỉ có khối tiêu đề mới được đọc: quá trình phân tích cú pháp dừng lại ở dòng trống đầu tiên, theo định nghĩa trong RFC 5322, và trang này cho biết đã bỏ qua bao nhiêu dòng nội dung. EML Analyzer đọc toàn bộ thư, bao gồm cả tệp đính kèm.
Các dòng tiêu đề đã gấp lại sẽ ra sao?
Một dòng bắt đầu bằng khoảng trắng hoặc tab sẽ được nối với tiêu đề phía trên nó bằng một khoảng trắng duy nhất, do đó, các tiêu đề “Received” hoặc “Subject” dài sẽ hiển thị dưới dạng một giá trị duy nhất.
Đầu đề Authentication-Results nào được sử dụng?
Tiêu đề ở trên cùng, là tiêu đề được máy chủ đã gửi tin nhắn cho bạn thêm vào sau cùng. Các tiêu đề Authentication-Results ở phía dưới có thể đến từ các máy chủ trước đó hoặc bị người gửi làm giả.