Decodificador de cabeçalhos de e-mail
O nome do remetente no seu programa de e-mail é o que o remetente teve vontade de digitar. Os cabeçalhos por baixo registram o que realmente aconteceu. Cole-os aqui e o seu navegador os decodifica linha por linha.
Uma mensagem, quatro campos de remetente
Uma carta em papel tem um nome assinado no fim, um endereço de remetente no envelope e um carimbo posto pelos correios. Nada obriga os três a coincidir. O e-mail funciona do mesmo jeito, com um campo a mais.
| Campo | Definido por | Para que serve |
|---|---|---|
| Nome de exibição | O remetente, livremente | A única parte que a maioria dos celulares mostra. Pode dizer qualquer coisa, inclusive “PayPal” ou um endereço falso inteiro. |
Endereço From | O remetente | O endereço que o seu programa de e-mail exibe, e o que o DMARC protege. |
Return-Path | O servidor de envio | Para onde vão as devoluções. O SPF verifica este endereço, e muitas vezes ele está num domínio diferente do From. |
Reply-To | O remetente | Para onde vai a sua resposta se você clicar em Responder. |
O bloco “Quem realmente envia” coloca os quatro lado a lado e mostra em negrito o domínio registrável do endereço From. Assim paypal.com.account-review.help aparece como o que é: um nome sob account-review.help.
O veredito escrito pelo seu próprio provedor
Quando uma mensagem chega, o serviço que a recebe (Gmail, Outlook, o servidor da sua empresa) a testa e escreve o resultado num cabeçalho Authentication-Results no topo. Esta ferramenta não refaz esses testes. Ela lê esse cabeçalho, porque é a única linha que o remetente não tinha como escrever.
spf=pass- O servidor que se conectou está na lista publicada pelo domínio do
Return-Path. dkim=pass- Uma assinatura criptográfica cobre a mensagem e ainda confere, então o conteúdo não foi alterado. O valor
d=indica o domínio que assinou. dmarc=pass- Pelo menos um dos dois passou e o domínio dele corresponde ao do
From.
Se houver vários cabeçalhos Authentication-Results, só o de cima conta. Os outros foram acrescentados antes no trajeto e podem ter sido forjados. Quando não há nenhum, a ferramenta recorre ao ARC-Authentication-Results mais recente, depois ao Received-SPF.
Uma aprovação prova que a mensagem vem do domínio que ela indica. Não prova que esse domínio é a empresa que você tem em mente. Qualquer um pode registrar paypal-billing-alerts.help e configurá-lo perfeitamente, e a mensagem de exemplo desta página passa nas três verificações.
Os sinais que o decodificador procura
Os sinais são classificados em três níveis. Um único vermelho basta para o resultado geral “Sinais de alerta fortes”, e o amarelo dá “Tenha cuidado”.
- Nome de exibição contra endereço. Um nome que contém outro endereço de e-mail, ou que cita uma marca da nossa lista enquanto o endereço está em outro domínio. Fica vermelho quando esse endereço é de um e-mail gratuito como gmail.com.
- Domínio do remetente. Alfabetos misturados, caracteres invisíveis, ou uma grafia a uma ou duas letras de uma marca conhecida. São os mesmos testes que o detector de caracteres enganosos faz.
- Reply-To num e-mail gratuito enquanto a mensagem diz vir do domínio de uma organização. É o padrão por trás das faturas falsas e do “pedido urgente do diretor”.
- Verificações reprovadas.
dmarc=failé vermelho. SPFfailousoftfaile uma assinatura DKIM inválida são amarelos, porque encaminhamentos legítimos e listas de discussão também os causam. - Marcas de filtro. Nível de confiança de spam da Microsoft (SCL) igual a 5 ou mais, uma categoria como
PHSHouSPOOF,compauth=fail, ou umX-Spam-Flag: YES.
Se você colar a mensagem inteira, ou soltar o arquivo .eml, o corpo também é analisado, sem ser exibido e sem que nada seja carregado a partir dele. Os links são agrupados pelo domínio de destino real, depois de desembrulhados os redirecionamentos do Microsoft Safe Links, do Proofpoint e do Google. Um link cujo texto visível cita um site enquanto o endereço leva a outro é vermelho. Os anexos são avaliados pela extensão: programas e scripts, extensões duplas como invoice.pdf.exe, páginas HTML, arquivos do Office com macros.
Lendo o trajeto
Cada servidor que lida com uma mensagem acrescenta uma linha Received acima das que já estão lá. O decodificador as coloca em ordem cronológica e mostra, para cada salto, qual máquina passou a mensagem para qual, se a ligação foi criptografada com TLS e quanto tempo o salto levou. Qualquer atraso acima de uma hora é destacado.
O “servidor de origem” é o primeiro endereço IP público do trajeto, e merece alguma desconfiança. Os primeiros saltos são escritos pelas próprias máquinas do remetente, então podem ser inventados. Os últimos saltos, acrescentados pelo seu provedor, são os confiáveis. Para e-mails enviados de um webmail, a origem é o servidor desse serviço, não a conexão de casa de quem escreveu.
Os cabeçalhos não dizem se uma conta real foi invadida. Uma mensagem enviada da caixa invadida de um colega passa em todas as verificações aqui. Então, quando uma mensagem pede dinheiro, uma senha ou uma mudança de dados bancários, confirme por um canal em que você já confia, como um número de telefone que você tinha antes de a mensagem chegar.
Perguntas frequentes
Como vejo os cabeçalhos completos de um e-mail?
No Gmail, abra a mensagem, clique no menu de três pontos e escolha “Mostrar original”. No Outlook na web, é “…” e depois Exibir › Exibir detalhes da mensagem. No Apple Mail, Visualizar › Mensagem › Todos os Cabeçalhos. A caixa acima dos resultados nesta página lista os passos para cada programa.
Dá para descobrir a localização ou o endereço IP do remetente pelos cabeçalhos?
Às vezes você obtém o endereço IP do servidor de envio, raramente o da pessoa. Gmail, Outlook.com e a maioria dos webmails deixam de fora o endereço de quem escreveu. E um endereço IP identifica uma rede, não uma rua.
A mensagem passou no SPF, DKIM e DMARC. Ela é segura?
Significa que a mensagem foi enviada pelo domínio que aparece no endereço From e não foi modificada. Agora confira se esse domínio é mesmo o da organização, letra por letra. O domínio próprio de um golpista passa na autenticação tão facilmente quanto o de qualquer um.
Por que o SPF falhou numa mensagem que parece legítima?
Geralmente por causa de encaminhamento. Quando uma caixa encaminha automaticamente para outra, o servidor que encaminha não está na lista SPF do domínio original. Se o DKIM ainda passa, o DMARC passa também e a mensagem está ok.
O que significam SCL, BCL e compauth nos cabeçalhos do Outlook?
São resultados dos filtros da Microsoft. SCL é o nível de confiança de spam, de -1 (confiável) a 9, e 5 ou mais vai para Lixo Eletrônico. BCL classifica remetentes em massa de 0 a 9. compauth é o julgamento combinado da Microsoft sobre SPF, DKIM, DMARC e reputação do remetente.
É seguro colar aqui um e-mail particular?
Um script no seu navegador processa o texto, e ele não é enviado ao nosso servidor. Nenhum link da mensagem é aberto e nenhuma imagem é carregada, então o remetente não tem como saber que você a examinou.