Decodifica delle intestazioni e-mail
Il nome del mittente nel tuo programma di posta è quello che il mittente ha avuto voglia di scrivere. Le intestazioni sottostanti registrano cosa è successo davvero. Incollale qui e il tuo browser le decodifica riga per riga.
Un messaggio, quattro campi mittente
Una lettera di carta ha un nome firmato in fondo, un indirizzo del mittente sulla busta e un timbro aggiunto dall’ufficio postale. Niente obbliga i tre a coincidere. L’e-mail funziona allo stesso modo, con un campo in più.
| Campo | Impostato da | A cosa serve |
|---|---|---|
| Nome visualizzato | Il mittente, liberamente | L’unica parte che la maggior parte dei telefoni mostra. Può dire qualsiasi cosa, anche «PayPal» o un intero indirizzo falso. |
Indirizzo From | Il mittente | L’indirizzo che il tuo programma di posta visualizza, quello che DMARC protegge. |
Return-Path | Il server di invio | Dove vanno i bounce. SPF controlla questo indirizzo, che spesso è su un dominio diverso da quello di From. |
Reply-To | Il mittente | Dove va la tua risposta se premi Rispondi. |
Il riquadro «Chi lo invia davvero» mette i quattro uno accanto all’altro e mostra in grassetto il dominio registrabile dell’indirizzo From. Così paypal.com.account-review.help si legge per quello che è, un nome sotto account-review.help.
Il verdetto scritto dal tuo provider
Quando arriva un messaggio, il servizio che lo riceve (Gmail, Outlook, il server della tua azienda) lo verifica e scrive l’esito in un’intestazione Authentication-Results in cima. Questo strumento non rifà quelle verifiche. Legge quell’intestazione, perché è l’unica riga che il mittente non aveva modo di scrivere.
spf=pass- Il server che si è collegato è nell’elenco pubblicato dal dominio del
Return-Path. dkim=pass- Una firma crittografica copre il messaggio ed è ancora valida, quindi il contenuto non è stato alterato. Il valore
d=indica il dominio che ha firmato. dmarc=pass- Almeno uno dei due è passato e il suo dominio corrisponde a quello del
From.
Se ci sono più intestazioni Authentication-Results, conta solo quella più in alto. Le altre sono state aggiunte prima lungo il percorso e potrebbero essere false. Quando non ce n’è nessuna, lo strumento ripiega sulla ARC-Authentication-Results più recente, poi su Received-SPF.
Un pass dimostra che il messaggio viene dal dominio che indica. Non dimostra che quel dominio sia l’azienda a cui stai pensando. Chiunque può registrare paypal-billing-alerts.help e configurarlo alla perfezione, e il messaggio di esempio di questa pagina supera tutte e tre le verifiche.
I segnali che il decodificatore cerca
I segnali sono divisi in tre livelli. Ne basta uno rosso per il giudizio complessivo «Forti segnali di allarme», mentre il giallo dà «Fai attenzione».
- Nome visualizzato contro indirizzo. Un nome che contiene un altro indirizzo e-mail, o che cita un marchio della nostra lista mentre l’indirizzo sta su un altro dominio. È rosso quando quell’indirizzo è una casella gratuita come gmail.com.
- Dominio del mittente. Alfabeti mischiati, caratteri invisibili o una grafia che differisce di una o due lettere da un marchio noto. Sono gli stessi test che esegue il rilevatore di caratteri sosia.
- Reply-To su una casella gratuita mentre il messaggio dice di venire dal dominio di un’organizzazione. È lo schema dietro le false fatture e la «richiesta urgente del direttore».
- Verifiche fallite.
dmarc=failè rosso. SPFfailosoftfaile una firma DKIM non valida sono gialli, perché li causano anche inoltri onesti e mailing list. - Marchi dei filtri. Un livello di confidenza spam (SCL) di Microsoft pari a 5 o più, una categoria come
PHSHoSPOOF,compauth=fail, o unX-Spam-Flag: YES.
Se incolli il messaggio intero, o trascini il file .eml, viene analizzato anche il corpo, senza mostrarlo e senza caricare nulla da esso. I link sono raggruppati per vero dominio di destinazione, dopo aver sciolto i reindirizzamenti di Microsoft Safe Links, Proofpoint e Google. Un link il cui testo visibile nomina un sito mentre l’indirizzo porta a un altro è rosso. Gli allegati sono giudicati dall’estensione: programmi e script, doppie estensioni come invoice.pdf.exe, pagine HTML, file Office con macro.
Leggere il percorso
Ogni server che gestisce un messaggio aggiunge una riga Received sopra quelle già presenti. Il decodificatore le rimette in ordine cronologico e mostra, per ogni passaggio, quale macchina ha consegnato il messaggio a quale, se il collegamento era cifrato con TLS e quanto è durato il passaggio. Ogni ritardo superiore a un’ora viene evidenziato.
Il «server di origine» è il primo indirizzo IP pubblico del percorso e merita un po’ di sospetto. I primi passaggi li scrivono le macchine del mittente, quindi possono essere inventati. Gli ultimi, aggiunti dal tuo provider, sono quelli di cui ti puoi fidare. Per la posta inviata da un servizio di webmail, l’origine è il server di quel servizio, non la connessione di casa di chi scrive.
Le intestazioni non possono dirti se un account vero è stato rubato. Un messaggio inviato dalla casella violata di un collega supera qui ogni verifica. Perciò, quando un messaggio chiede soldi, una password o un cambio di coordinate bancarie, conferma tramite un canale di cui già ti fidi, come un numero di telefono che avevi prima che arrivasse il messaggio.
Domande frequenti
Come vedo le intestazioni complete di un’e-mail?
In Gmail, apri il messaggio, clicca sul menu con i tre puntini e scegli «Mostra originale». In Outlook sul web, è «…» poi Visualizza › Visualizza dettagli messaggio. In Apple Mail, Vista › Messaggio › Tutte le intestazioni. Il riquadro sopra i risultati di questa pagina elenca i passaggi per ogni programma.
Posso trovare la posizione o l’indirizzo IP del mittente dalle intestazioni?
A volte ottieni l’indirizzo IP del server di invio, raramente quello della persona. Gmail, Outlook.com e la maggior parte dei servizi di webmail non includono l’indirizzo di chi scrive. E un indirizzo IP identifica una rete, non una via.
Il messaggio ha superato SPF, DKIM e DMARC. È sicuro?
Significa che il messaggio è stato inviato dal dominio mostrato nell’indirizzo From e non è stato modificato. Ora controlla che quel dominio sia davvero quello dell’organizzazione, lettera per lettera. Il dominio di un truffatore supera l’autenticazione con la stessa facilità di qualsiasi altro.
Perché SPF è fallito su un messaggio che sembra legittimo?
Di solito per colpa di un inoltro. Quando una casella inoltra automaticamente a un’altra, il server che inoltra non è nella lista SPF del dominio originale. Se DKIM passa ancora, passa anche DMARC e il messaggio va bene.
Cosa significano SCL, BCL e compauth nelle intestazioni di Outlook?
Sono risultati dei filtri di Microsoft. SCL è il livello di confidenza spam, da -1 (attendibile) a 9, e da 5 in su il messaggio va in Posta indesiderata. BCL valuta i mittenti di invii massivi da 0 a 9. compauth è il giudizio combinato di Microsoft su SPF, DKIM, DMARC e reputazione del mittente.
È sicuro incollare qui un’e-mail privata?
Il testo viene elaborato da uno script nel tuo browser e non viene inviato al nostro server. Nessun link del messaggio viene aperto e nessuna immagine viene richiesta, quindi il mittente non può sapere che l’hai esaminato.