メールヘッダー解析
メールソフトに表示される送信者名は、送信者が好きに入力したものです。その下にあるヘッダーには、実際に起きたことが記録されています。ここに貼り付けると、ブラウザーが1行ずつ解読します。
1通のメールに4つの送信者欄
紙の手紙には、末尾に署名された名前、封筒の差出人住所、郵便局が押す消印があります。この3つが一致している保証はどこにもありません。メールも同じ仕組みで、欄がもう1つ多いだけです。
| 欄 | 設定する人 | 用途 |
|---|---|---|
| 表示名 | 送信者（自由に設定可） | ほとんどのスマートフォンで表示されるのはこの部分だけです。「PayPal」でも、偽のアドレスまるごとでも、何でも書けます。 |
Fromアドレス | 送信者 | メールソフトに表示されるアドレスで、DMARCが守る対象です。 |
Return-Path | 送信サーバー | エラーメールの戻り先です。SPFはこのアドレスをチェックします。Fromとは別のドメインであることもよくあります。 |
Reply-To | 送信者 | 「返信」を押したときに返事が届く先です。 |
「本当の送信者」の欄では4つを並べて表示し、Fromアドレスの登録可能ドメインを太字にします。こうすると、paypal.com.account-review.helpが実際にはaccount-review.helpの下の名前にすぎないことがわかります。
自分のメール事業者が書いた判定
メールが届くと、受信側のサービス（Gmail、Outlook、会社のサーバー）がメールをテストし、その結果を一番上のAuthentication-Resultsヘッダーに書き込みます。このツールはテストをやり直しません。そのヘッダーを読みます。送信者が書き込みようのない唯一の行だからです。
spf=pass- 接続してきたサーバーが、
Return-Pathのドメインが公開しているリストに載っています。 dkim=pass- メールに暗号署名がついていて、今も検証に通ります。つまり内容は改ざんされていません。
d=の値が署名したドメインです。 dmarc=pass- 上の2つの少なくとも1つが成功し、かつそのドメインが
Fromのドメインと一致しています。
Authentication-Resultsヘッダーが複数ある場合、意味があるのは一番上のものだけです。ほかは経路の途中で追加されたもので、偽造されている可能性があります。1つもない場合は、最も新しいARC-Authentication-Results、次にReceived-SPFを使います。
passは、メールが名乗っているドメインから来たことの証明です。そのドメインがあなたの思っている会社のものだという証明にはなりません。paypal-billing-alerts.helpは誰でも登録して完璧に設定できます。このページのサンプルメールも、3つのチェックすべてに通っています。
解析ツールが探すサイン
サインは3段階に分けています。赤が1つでもあれば総合判定は「強い警告サイン」、黄色があれば「注意してください」になります。
- 表示名とアドレスの食い違い。表示名に別のメールアドレスが入っている、または当サイトのリストにあるブランド名を名乗っているのに、アドレスが別のドメインにある場合です。そのアドレスがgmail.comなどのフリーメールなら赤になります。
- 送信者のドメイン。文字体系の混在、見えない文字、有名ブランドと1〜2文字違いのつづり。紛らわしい文字チェッカーと同じテストです。
- フリーメールのReply-To。メールは組織のドメインから来たと名乗っているのに、返信先がフリーメールになっている場合です。偽の請求書や「社長からの急ぎの依頼」に典型的なパターンです。
- チェックの失敗。
dmarc=failは赤です。SPFのfailやsoftfail、無効なDKIM署名は黄色です。正当な転送やメーリングリストでも起きるからです。 - フィルターの判定。MicrosoftのSCL（スパム信頼レベル）が5以上、
PHSHやSPOOFなどのカテゴリー、compauth=fail、X-Spam-Flag: YES。
メール全体を貼り付けるか、.emlファイルをドロップすると、本文も解析します。本文は表示せず、本文から何も読み込みません。リンクは、Microsoft Safe Links、Proofpoint、Googleのリダイレクトをはがしたうえで、本当の行き先ドメインごとにまとめます。表示テキストがあるサイトを名乗っているのに、アドレスが別のサイトに向かうリンクは赤です。添付ファイルは拡張子で判断します：プログラムやスクリプト、invoice.pdf.exeのような二重拡張子、HTMLページ、マクロつきのOfficeファイルです。
経路の読み方
メールを扱ったサーバーはすべて、既存の行の上にReceived行を追加します。解析ツールはこれを時系列順に並べ直し、中継ごとに、どのマシンからどのマシンへ渡されたか、TLSで暗号化されていたか、何秒かかったかを表示します。1時間を超える遅れは強調表示します。
「送信元サーバー」は経路上の最初のパブリックIPアドレスですが、多少疑ってかかるべきです。最初のほうの中継は送信者自身のマシンが書くので、でっち上げられます。信頼できるのは、自分のメール事業者が追加した最後のほうの中継です。ウェブメールから送られたメールでは、送信元はそのサービスのサーバーで、書いた人の自宅の回線ではありません。
ヘッダーからは、本物のアカウントが乗っ取られたかどうかはわかりません。乗っ取られた同僚のメールボックスから送られたメールは、ここでのチェックにすべて通ります。ですから、お金、パスワード、振込先の変更を求めるメールが来たら、すでに信頼している別の手段で確認してください。たとえば、そのメールが届く前から知っていた電話番号です。
よくある質問
メールのヘッダー全体を見るにはどうすればいいですか？
Gmailでは、メールを開いて3点メニューから「メッセージのソースを表示」を選びます。ウェブ版Outlookでは「…」から「表示」›「メッセージの詳細を表示」です。Apple Mailでは「表示」›「メッセージ」›「すべてのヘッダ」です。このページの結果の上にあるボックスに、ソフトごとの手順を載せています。
ヘッダーから送信者の居場所やIPアドレスはわかりますか？
送信サーバーのIPアドレスはわかることがありますが、本人のIPアドレスがわかることはまれです。Gmail、Outlook.com、ほとんどのウェブメールは、書いた人自身のアドレスを残しません。それに、IPアドレスでわかるのはネットワークで、住所ではありません。
SPF、DKIM、DMARCに通ったメールなら安全ですか？
それが意味するのは、メールがFromアドレスに表示されたドメインから送られ、改ざんされていないということです。次に、そのドメインが本当にその組織のものか、1文字ずつ確認してください。詐欺師が自分で持っているドメインも、ほかと同じように簡単に認証に通ります。
正当に見えるメールでSPFが失敗するのはなぜですか？
たいていは転送が原因です。メールボックスが別のメールボックスへ自動転送すると、転送サーバーは元のドメインのSPFリストに載っていません。DKIMが通っていればDMARCも通るので、メールに問題はありません。
Outlookのヘッダーにある SCL、BCL、compauth の意味は？
Microsoftのフィルターの結果です。SCLはスパム信頼レベルで、-1（信頼済み）から9までの値をとり、5以上は迷惑メールフォルダーに入ります。BCLは大量送信者を0から9で評価します。compauthは、SPF、DKIM、DMARC、送信者の評判をまとめたMicrosoftの総合判定です。
個人的なメールをここに貼り付けても大丈夫ですか？
テキストを処理するのはブラウザー内のスクリプトで、当サーバーには送信されません。メール内のリンクを開くことも、画像を読み込むこともないので、あなたが調べたことは送信者にはわかりません。