exim.ro

Cum citiți antetele unui e-mail: traseu, întârzieri, SPF

Cum citiți antetele unui mesaj: traseul din Received și întârzierile, Authentication-Results pentru SPF, DKIM și DMARC, ARC și câmpurile antispam.

Actualizat la 4 minute de citit7 secțiuni

Deschide Analiză antete

Fiecare mesaj are o secțiune de antete care notează pe unde a trecut și ce au concluzionat despre el serverele care l-au primit. Analiza antetelor o transformă într-un tabel; ghidul explică ce citește și cum se interpretează.

Cum obțineți antetele complete

Programele de mail ascund majoritatea antetelor. Căutați „Afișează originalul”, „Vezi sursa”, „Sursa mesajului” sau „Detalii mesaj”. Copiați tot, de sus până la prima linie goală; unealta elimină tot ce urmează după acea linie, adică corpul mesajului.

Received: traseul

Fiecare server care acceptă mesajul adaugă un câmp Received deasupra antetelor (RFC 5321, secțiunea 4.4). Citite de jos în sus, ele dau traseul de la expeditor la destinatar:

Received: from mx.expeditor.example (mx.expeditor.example [192.0.2.10])
        by mx.destinatar.example (Postfix) with ESMTPS id 4F1A2;
        Tue, 23 Sep 2026 10:15:07 +0000 (UTC)
  • from este numele cu care s-a prezentat partea care a trimis, urmat în paranteze de ce a găsit serverul care a primit: de obicei numele din DNS-ul invers și adresa IP între paranteze drepte.
  • by este serverul care a scris linia.
  • with este protocolul. ESMTPS și ESMTPSA înseamnă că legătura a folosit TLS; A de la final înseamnă că expeditorul s-a autentificat (RFC 3848). Multe servere notează și versiunea TLS și cifrul.
  • După ultimul ; vine ora la care serverul a primit mesajul.

Sunt de încredere doar liniile adăugate de servere în care aveți încredere: tot ce este sub primul server din afara controlului dumneavoastră a fost scris de altcineva și poate fi inventat.

Întârzieri

Unealta scade ora fiecărui pas din ora pasului anterior. Câteva secunde pe pas sunt normale. Pauzele mai lungi vin de obicei din:

  • o coadă pe serverul care trimite sau o reîncercare după ce destinatarul a răspuns cu o eroare temporară;
  • greylisting, care amână intenționat prima încercare de livrare de la un expeditor necunoscut;
  • o listă de discuții care ține mesajul pentru moderare;
  • scanarea conținutului pe un filtru încărcat.

O întârziere negativă înseamnă că două servere nu sunt de acord asupra orei: un ceas este greșit. Primul pas se compară cu câmpul Date, care vine de pe dispozitivul expeditorului și este cel mai puțin sigur ceas dintre toate.

Authentication-Results: ce a concluzionat serverul

Serverele care primesc mail își notează verificările în Authentication-Results (RFC 8601):

Authentication-Results: mx.destinatar.example;
       spf=pass smtp.mailfrom=expeditor.example;
       dkim=pass header.d=expeditor.example header.s=s1;
       dmarc=pass header.from=expeditor.example

Primul cuvânt este numele serverului care a făcut verificările. Fiecare metodă are un rezultat: pass, fail, softfail, neutral, none, temperror sau permerror. Unealta ia fiecare metodă din câmpul cel mai de sus care o raportează, pentru că acela este serverul cel mai apropiat de destinatar; câmpurile mai de jos au fost adăugate mai devreme, iar un expeditor poate scrie unele false.

Două situații frecvente:

  • SPF pică, DKIM și DMARC trec. Mesajul a fost redirecționat, de exemplu de o listă de discuții. Adresa forwarderului nu este în înregistrarea SPF a expeditorului original, dar semnătura DKIM a rămas validă, iar DMARC are nevoie doar ca una dintre cele două să treacă și să fie aliniată.
  • DKIM pică după o listă de discuții. Listele adaugă des un subsol sau modifică subiectul, ceea ce strică semnătura originală. ARC există pentru acest caz.

ARC

Când un server redirecționează mail, poate sigila rezultatele pe care le-a văzut, în câmpurile ARC-Seal, ARC-Message-Signature și ARC-Authentication-Results, numerotate i=1, i=2 și așa mai departe (RFC 8617). Un server ulterior poate hotărî apoi să creadă rezultatele anterioare, chiar dacă redirecționarea a stricat SPF sau DKIM. cv= din fiecare sigiliu notează ce a găsit sigilantul verificând sigiliile anterioare: none pentru primul, apoi pass sau fail.

Câmpurile antispam

Filtrele își adaugă adesea verdictul:

  • SpamAssassin: X-Spam-Status: No, score=-2.1 required=5.0 tests=... sau, cu Exim, X-Spam_report: (-2.1 / 5.0 requ) .... Mesajul este spam când scorul atinge valoarea cerută.
  • Rspamd: X-Spamd-Result: default: False [-4.51 / 50.00]; SIMBOL(scor)..., cu scorul, pragul și regulile declanșate.
  • Microsoft 365: X-Forefront-Antispam-Report, cu SFV (verdictul filtrării antispam), CAT (categoria politicii aplicate), SCL și altele, și X-Microsoft-Antispam, cu BCL, nivelul de reclamații pentru mail în masă. Microsoft precizează că în căsuțele cloud SCL nu mai decide verdictul; îl decid SFV și CAT.

Scorurile se compară doar cu pragul aceluiași filtru.

Surse