Расшифровка заголовков письма
Имя отправителя в вашей почтовой программе это то, что отправитель захотел туда вписать. Заголовки под ним фиксируют, что произошло на самом деле. Вставьте их сюда, и ваш браузер расшифрует их строка за строкой.
Одно письмо, четыре поля отправителя
На бумажном письме есть подпись внизу, обратный адрес на конверте и почтовый штемпель, который ставит почта. Ничто не заставляет эти три вещи совпадать. Электронная почта устроена так же, только полей на одно больше.
| Поле | Кто задаёт | Зачем нужно |
|---|---|---|
| Отображаемое имя | Отправитель, как угодно | Единственное, что показывает большинство телефонов. Там может быть что угодно, в том числе «PayPal» или целый поддельный адрес. |
Адрес From | Отправитель | Адрес, который показывает ваша почтовая программа, и именно его защищает DMARC. |
Return-Path | Отправляющий сервер | Куда приходят возвраты. SPF проверяет этот адрес, и он часто находится на другом домене, чем From. |
Reply-To | Отправитель | Куда уйдёт ваш ответ, если нажать «Ответить». |
Блок «Кто на самом деле отправляет» ставит все четыре рядом и выделяет жирным регистрируемый домен адреса From. Так paypal.com.account-review.help читается тем, чем он является: именем внутри account-review.help.
Вердикт, который написал ваш собственный провайдер
Когда письмо приходит, принимающий сервис (Gmail, Outlook, сервер вашей компании) проверяет его и записывает итог в заголовок Authentication-Results наверху. Этот инструмент не повторяет эти проверки. Он читает этот заголовок, потому что это единственная строка, которую отправитель никак не мог написать сам.
spf=pass- Подключившийся сервер есть в списке, который опубликовал домен из
Return-Path. dkim=pass- Письмо покрыто криптографической подписью, и она по-прежнему сходится, значит, содержимое не меняли. Значение
d=называет домен, который подписал письмо. dmarc=pass- Хотя бы одна из двух проверок прошла, и её домен совпадает с доменом в
From.
Если заголовков Authentication-Results несколько, в счёт идёт только самый верхний. Остальные добавлены раньше на маршруте и могли быть подделаны. Если их нет совсем, инструмент берёт самый свежий ARC-Authentication-Results, а затем Received-SPF.
Успешная проверка доказывает, что письмо пришло с того домена, который в нём указан. Она не доказывает, что этот домен принадлежит той компании, о которой вы думаете. Любой может зарегистрировать paypal-billing-alerts.help и настроить его идеально, и пример письма на этой странице проходит все три проверки.
Какие сигналы ищет расшифровщик
Сигналы делятся на три уровня. Одного красного достаточно для общего вывода «Серьёзные признаки опасности», а жёлтый даёт «Будьте осторожны».
- Отображаемое имя против адреса. Имя, в котором стоит другой адрес электронной почты, или которое называет бренд из нашего списка, тогда как адрес находится на другом домене. Сигнал красный, если этот адрес на бесплатном почтовом сервисе вроде gmail.com.
- Домен отправителя. Смешанные алфавиты, невидимые символы или написание, отличающееся от известного бренда на одну-две буквы. Это те же проверки, что выполняет детектор похожих символов.
- Reply-To на бесплатном почтовом ящике, тогда как письмо якобы пришло с домена организации. Это схема поддельных счетов и «срочной просьбы от директора».
- Проваленные проверки.
dmarc=failкрасный. SPFfailилиsoftfailи неверная подпись DKIM жёлтые, потому что их вызывают и честная пересылка, и списки рассылки. - Отметки фильтров. Уровень уверенности в спаме Microsoft (SCL) 5 и выше, категория вроде
PHSHилиSPOOF,compauth=failилиX-Spam-Flag: YES.
Если вставить письмо целиком или перетащить файл .eml, тело тоже разбирается, но не показывается, и из него ничего не загружается. Ссылки группируются по настоящему домену назначения после того, как развёрнуты редиректы Microsoft Safe Links, Proofpoint и Google. Ссылка, видимый текст которой называет один сайт, а адрес ведёт на другой, красная. Вложения оцениваются по расширению: программы и скрипты, двойные расширения вроде invoice.pdf.exe, HTML-страницы, файлы Office с макросами.
Как читать маршрут
Каждый сервер, через который проходит письмо, добавляет строку Received над уже имеющимися. Расшифровщик переворачивает их в хронологическом порядке и показывает для каждого перехода, какая машина передала письмо какой, было ли соединение зашифровано TLS и сколько занял переход. Любая задержка больше часа выделяется.
«Исходный сервер» это первый публичный IP-адрес на маршруте, и к нему стоит отнестись с подозрением. Самые ранние переходы записывают машины самого отправителя, поэтому их можно выдумать. Последние переходы, добавленные вашим провайдером, это те, на которые можно положиться. Для письма из веб-почты исходным будет сервер этого сервиса, а не домашнее подключение автора.
Заголовки не скажут, был ли взломан настоящий аккаунт. Письмо, отправленное со взломанного ящика коллеги, проходит здесь все проверки. Поэтому, когда письмо просит денег, пароль или смену банковских реквизитов, подтвердите это по каналу, которому вы уже доверяете, например по номеру телефона, который был у вас до прихода письма.
Частые вопросы
Как посмотреть полные заголовки письма?
В Gmail откройте письмо, нажмите меню из трёх точек и выберите «Показать оригинал». В Outlook в браузере это «…», затем «Вид › Просмотреть сведения о сообщении». В Apple Mail: «Вид › Сообщение › Все заголовки». В блоке над результатами на этой странице есть шаги для каждой программы.
Можно ли по заголовкам узнать местоположение или IP-адрес отправителя?
Иногда вы получите IP-адрес отправляющего сервера, редко адрес самого человека. Gmail, Outlook.com и большинство сервисов веб-почты не записывают собственный адрес автора. К тому же IP-адрес указывает на сеть, а не на улицу.
Письмо прошло SPF, DKIM и DMARC. Оно безопасно?
Это значит, что письмо отправлено с домена, указанного в адресе From, и не было изменено. Теперь проверьте буква за буквой, что этот домен действительно принадлежит организации. Собственный домен мошенника проходит аутентификацию так же легко, как любой другой.
Почему SPF провалился у письма, которое выглядит настоящим?
Обычно из-за пересылки. Когда ящик автоматически пересылает письма в другой, пересылающего сервера нет в списке SPF исходного домена. Если DKIM при этом проходит, DMARC тоже проходит, и с письмом всё в порядке.
Что означают SCL, BCL и compauth в заголовках Outlook?
Это результаты фильтров Microsoft. SCL это уровень уверенности в спаме, от -1 (доверенное) до 9, и при 5 и выше письмо уходит в «Нежелательную почту». BCL оценивает массовых отправителей от 0 до 9. compauth это общая оценка Microsoft по SPF, DKIM, DMARC и репутации отправителя.
Безопасно ли вставлять сюда личное письмо?
Текст обрабатывает скрипт в вашем браузере, и на наш сервер он не отправляется. Ни одна ссылка из письма не открывается и ни одно изображение не запрашивается, поэтому отправитель не узнает, что вы его изучали.