Softonic

Analysverktyg för e-posthuvuden

Klistra in ett rått e-posthuvud eller öppna en EML-, TXT- eller HEADERS-fil för att omvandla svårlästa transportmetadata till en tydlig rapport. Analysverktyget vecklar ut fortsättningsrader, behåller dubbletter i ursprunglig ordning, bygger en Received-tidslinje från ursprunget och sammanfattar rapporterad SPF-, DKIM-, DMARC- och ARC-information. Bearbetningen stannar i den aktuella webbläsarfliken och meddelandetexten ignoreras. Rapporten ger underlag för teknisk undersökning, men bevisar inte att avsändaren är äkta eller att meddelandet är säkert.

Så fungerar det

  1. 1

    Hämta det råa huvudet

    Använd ”Visa original” eller ”Visa källa” i e-postprogrammet och klistra in hela huvudblocket, eller ladda upp den sparade filen.

  2. 2

    Välj rapportdelar

    Behåll rutt, autentisering och tekniska observationer, eller dölj delar som inte är relevanta för undersökningen.

  3. 3

    Granska och exportera

    Läs tidslinjen från ursprunget och rapporterade autentiseringsmetadata, kopiera sedan en sammanfattning eller exportera en sanerad CSV- eller JSON-rapport.

Vad ett e-posthuvud kan – och inte kan – visa

Internetbaserad e-post använder namngivna huvudfält följda av en tom rad och meddelandetexten. RFC 5322 definierar formatet, inklusive fältvikning: en rad som börjar med blanksteg fortsätter föregående fält. Analysverktyget vecklar ut dessa fortsättningar innan informationen tolkas. Det stannar vid den första tomma raden, så meddelandetext och bilagor analyseras inte.

Mail transfer agents lägger normalt till ett Received-fält först när meddelandet passerar en server. Fälten visas därför nyast först i råkällan. Rapporten vänder dem till en tidslinje som börjar vid ursprunget. En tidsskillnad visas bara om båda intilliggande tidsstämplarna kan tolkas. En negativ skillnad rapporteras som möjlig klockavvikelse och förhindrar beräkning av total transporttid; den ändras aldrig tyst till noll.

Rapportdel Vad som hämtas Viktig begränsning
Meddelandeöversikt From, Reply-To, Return-Path, To, Subject, Date och Message-ID En visad adress kan vara förfalskad
Rutt Ordnade Received-fält, tidsstämplar och fördröjningar mellan hopp Den tidigaste raden är inte automatiskt ett betrott ursprung
Autentisering Metoder och egenskaper i Authentication-Results, Received-SPF och DKIM-taggar Befintliga resultat läses, men verifieras inte oberoende
ARC-struktur ARC-Seal, ARC-Message-Signature och ARC-Authentication-Results grupperade efter instans Strukturell fullständighet validerar inte en signatur
Observationer Saknade eller dubbla fält, rapporterade fel, domänskillnader och klockavvikelse De är inga bedrägeri- eller säkerhetsomdömen

Så läser du autentiseringsdelen

RFC 8601 definierar Authentication-Results, ett fält som mottagarsystemet lägger till för att registrera resultat som spf=pass, dkim=pass eller dmarc=fail. Analysverktyget behåller dubbla Authentication-Results-fält eftersom ett meddelande kan passera flera administrativa domäner. Tillhörande egenskaper som smtp.mailfrom, header.d och header.from behålls såsom de rapporterats.

En DKIM-Signature innehåller metadata som signerande domän (d=), selektor (s=), algoritm (a=), identitet (i=) och långa kryptografiska värden (b= och bh=). Rapporten registrerar användbara taggar och om signaturvärden finns, men utesluter avsiktligt signaturblock från JSON-exporter. Inga DNS-uppslagningar eller kryptografiska verifieringar görs.

RFC 8617 definierar Authenticated Received Chain (ARC). En ARC-instans är strukturellt fullständig när den innehåller ARC-Seal, ARC-Message-Signature och ARC-Authentication-Results med samma i=-värde. ”Fullständig” beskriver bara dessa tre delar; kedjan är inte därmed giltig eller tillförlitlig.

Exempel på en leveransrutt

Anta att råkällan innehåller två Received-fält. Det undre säger att ursprunget lämnade meddelandet till ett relay klockan 10:00:03 +0000; det övre att relayservern nådde mottagaren klockan 10:00:10 +0000. Rapporten visar ursprungshändelsen först och beräknar ett observerat intervall på 7 sekunder. Tidszoner respekteras: 10:00:03 +0000 följt av 12:00:06 +0200 ger 3 sekunder, inte två timmar. Om den andra normaliserade tidsstämpeln ligger fem sekunder tidigare flaggas klockavvikelse och totalen lämnas otillgänglig.

Förtroendegränser och vanliga fallgropar

RFC 5321 beskriver SMTP-transport och spårningsinformationen som servrar lägger till. Huvuden från utanför ett betrott e-postsystem kan vara påhittade. Börja förtroendet vid en mottagare du kontrollerar och arbeta bakåt bara så långt mottagarens loggar och policyer motiverar. Skillnader mellan domänerna i synliga From och Return-Path är vanliga för e-postlistor, vidarebefordringstjänster och transaktionsplattformar; det är en observation, inte bevis på identitetsförfalskning.

Kodade ämnesrader och visningsnamn kan använda RFC 2047-kodade ord. Analysverktyget avkodar vanliga Base64- och quoted-printable-former i UTF-8, ISO-8859-1 och Windows-1252; format som inte stöds förblir synliga med en varning. Mycket stora fält- och hoppsamlingar begränsas för att hålla webbläsaren responsiv. Vid incidenthantering bör du spara originalmeddelandet separat: exporterna är kortfattade rapporter och innehåller avsiktligt inte rådata, meddelandetext, bilagor eller DKIM-signaturblock.

Integritet och exporter

Tolkning, urval, kopiering och export sker lokalt i den aktuella fliken. Trattstegen använder flikbunden sessionslagring, inte en webbadress, så råa huvuddata skickas inte via servern eller exponeras i navigeringsparametrar. Indatagränsen är 512 KiB. Tidslinjens CSV använder UTF-8 med byte-order mark och CRLF-rader; celler som börjar med tecken för kalkylbladsformler neutraliseras. JSON innehåller tolkade observationer och rapportens förbehåll, inte originalhuvudet.

Vanliga frågor

Nej. Analysverktyget visar resultat som redan finns i huvudet. Det verifierar inte DNS-poster, kryptografiska signaturer, avsändaridentitet, innehållssäkerhet eller om det rapporterande fältet är tillförlitligt.

Varje mottagande server lägger normalt sitt eget Received-fält först, så råhuvuden är nyast först. Rapporten vänder listan och presenterar den observerade rutten från ursprunget.

Ett hopp kan sakna en tolkbar tidsstämpel, eller normaliserade tidsstämplar kan gå bakåt eftersom klockor inte stämmer eller ett fält är opålitligt. Analysverktyget döljer inte osäkerheten genom att ersätta ett negativt intervall med noll.

De ignoreras. Tolkningen slutar vid den första tomma raden efter huvudblocket. Verktyget är avsett för transportmetadata, inte analys av innehåll eller bilagor.

Nej. Analys och exporter skapas i din webbläsare. I trattläget lagras rådata bara i den aktuella flikens session och placeras inte i webbadressen eller skickas till våra servrar.

Relaterade verktyg

Domänålderskontroll

Kontrollera när ett domännamn först registrerades samt dess ålder i år, månader och dagar med hjälp av WHOIS-data från registret.

DMARC-postkontrollverktyg

Fråga DMARC TXT-posten för varje domän och analysera policy, justeringsmetod, rapportadresser samt genomförandeprocent i lättläst form.

Domän till IP-adress

Omvandla varje domännamn till dess IPv4-adresser (A) och IPv6-adresser (AAAA) och kopiera dem till valfritt nätverksverktyg.

E-postkontroll för dataintrång

Kontrollera om en e-postadress har förekommit i ett känt dataintrång, se i vilka läckor den exponerades och ta reda på vad du bör byta först.

CIDR-kalkylator

Beräkna nätverksadress, broadcastadresser, värdomfånget, användbara IP-adresser och subnätmask för varje IPv4-CIDR-block.

Detektor för webbläsarinformation

Se vad din webbläsare rapporterar: user agent, engine, version, OS, enhetstyp, skärmupplösning, tidszon, språk och publik IP.

Verktyget finns på andra språk