Analyseur d'en-têtes d'e-mail (メールヘッダー解析ツール)
Collez les en-têtes brutes d'un e-mail reçu (Received:, Authentication-Results:, etc.) pour voir le chemin de livraison décomposé saut par saut, ainsi que les résultats SPF/DKIM/DMARC. L'analyse s'effectue à 100 % dans votre navigateur.
Signification de chaque clause Received:
| Clause | Signification |
|---|---|
| from | Le nom d'hôte/adresse IP du serveur qui a transmis ce message, tel que l'a enregistré le serveur destinataire qui a écrit cette ligne. L'expéditeur peut ajouter autant de fausses lignes Received qu'il le souhaite : ce sont donc les lignes les plus anciennes qui sont les plus faciles à falsifier. Pour connaître l'IP d'origine réelle, utilisez le from de la plus ancienne ligne écrite par un serveur destinataire que vous contrôlez (dans la liste de cet outil, le premier saut dont le « by » est votre propre serveur). |
| by | Le nom d'hôte du serveur qui a reçu le message à ce saut (par exemple votre propre serveur de messagerie). |
| with | Le protocole de livraison utilisé (par exemple ESMTP, ESMTPS, SMTP). ESMTPS indique que la connexion était chiffrée avec TLS. |
| for | L'adresse du destinataire pour laquelle le message a été livré. Souvent omise pour les listes de diffusion ou les messages à plusieurs destinataires. |
| timestamp | La date et l'heure auxquelles ce saut a reçu le message. L'heure et le fuseau horaire sont enregistrés par le serveur destinataire qui a écrit cette ligne (RFC 5321 §4.4). L'écart entre les sauts donne une mesure approximative du délai de livraison. |
Signification de chaque champ Authentication-Results:
| Champ | Signification |
|---|---|
| SPF | Résultat SPF (Sender Policy Framework) : indique si l'IP émettrice figure parmi les adresses autorisées par l'enregistrement DNS du domaine. |
| DKIM | Résultat DKIM (DomainKeys Identified Mail) : indique si la signature cryptographique du corps du message et des en-têtes principales a pu être vérifiée avec la clé publique du domaine émetteur. |
| DMARC | Résultat DMARC (Domain-based Message Authentication, Reporting & Conformance) : un verdict global vérifiant l'alignement de SPF/DKIM avec le domaine de l'en-tête From. |
Retracer le chemin d'un message d'après ses en-têtes
Collez les en-têtes bruts d'un message que vous avez reçu : cet outil décompose les lignes Received: saut par saut pour déployer le chemin, et énumère les verdicts SPF, DKIM et DMARC consignés dans Authentication-Results:. Toute l'analyse se déroule dans le navigateur, si bien que rien de ce que vous collez ne quitte votre appareil.
La première chose à comprendre en les lisant, c'est que les lignes Received: se lisent de bas en haut. Chaque serveur, à la réception, ajoute sa propre ligne tout en haut, de sorte que l'étape la plus ancienne est en bas et le serveur qui a reçu en dernier tout en haut. Plus important encore : n'importe qui peut falsifier ces en-têtes. Un expéditeur peut fabriquer autant de lignes Received: qu'il lui plaît et les placer en tête. Ce à quoi l'on peut se fier, c'est la ligne écrite par un serveur sous votre propre autorité, et tout ce qui se trouve au-dessus ; ce qui est en dessous ne signifie rien de plus que quelqu'un l'a prétendu. Il en va de même d'Authentication-Results:, car si l'on ne regarde pas quel serveur a rendu le verdict, le verdict lui-même peut être un faux.
Comment s'en servir
- Collez les en-têtes bruts Ils s'obtiennent depuis « afficher l'original » ou « voir la source » de votre logiciel de courrier.
- Lisez les lignes Received de bas en haut Le bas est le premier expéditeur ; le haut, le serveur qui a reçu en dernier.
- Contrôlez les résultats d'authentification Les verdicts SPF, DKIM et DMARC sont présentés ensemble.
- Déterminez où commence la confiance Tout ce qui se trouve sous la ligne écrite par un serveur sous votre autorité peut avoir été falsifié.
Astuces pour en tirer le meilleur parti
- Dans Gmail, ouvrez le message, cliquez sur le menu à trois points en haut à droite et choisissez "Afficher l'original" pour obtenir les en-têtes brutes. Dans Outlook, utilisez Fichier > Propriétés > En-têtes Internet.
- Les en-têtes Received: sont ajoutées au message dans l'ordre du plus récent au plus ancien (le côté destinataire apparaît en premier) ; cet outil les réordonne chronologiquement de l'expéditeur au destinataire pour vous.
- Si les serveurs de messagerie du chemin ont des horloges légèrement désynchronisées, le "délai depuis le saut précédent" peut afficher un nombre négatif. Une petite valeur négative reflète généralement un simple décalage d'horloge, pas un vrai problème de livraison.
- Même si SPF, DKIM et DMARC réussissent tous, cela ne garantit pas que le message n'est pas une arnaque. L'authentification vérifie seulement que la configuration du propriétaire du domaine a été correctement suivie ; elle ne peut pas détecter un attaquant possédant légitimement un domaine similaire.
- Si le délai augmente brusquement entre deux sauts précis, ce tronçon du chemin correspond probablement à un goulot d'étranglement de livraison ou à une retenue par un filtre anti-spam.
Dans quels cas s'en servir
Pour chercher d'où venait un courrier indésirable
La véritable adresse d'origine paraît dans la plus basse ligne Received: à laquelle vous puissiez vous fier.
Pour percer une usurpation
Un nom affiché et une ligne From se falsifient sans peine : jugez donc d'après les résultats d'authentification.
Pour retracer un retard de remise
Lire les heures de chaque saut vous montre où le message est resté immobile.
Pour confirmer que votre courrier passe l'authentification
Envoyez-vous un message d'essai et voyez si SPF, DKIM et DMARC passent tous.
Vocabulaire des en-têtes
- Received
- L'en-tête auquel chaque serveur récepteur ajoute sa ligne tout en haut. Le chemin se lit de bas en haut.
- Authentication-Results
- L'en-tête consignant les verdicts SPF, DKIM et DMARC rendus par le côté récepteur. Ce qui compte est de savoir quel serveur l'a écrit.
- Return-Path
- Où revient une remise ayant échoué. C'est contre ce domaine que SPF est contrôlé.
- From
- L'expéditeur tel qu'il s'affiche. On peut y écrire n'importe quoi : cela ne prouve rien quant à l'auteur de l'envoi.
- Message-ID
- La chaîne identifiant un message de façon unique, utilisée pour distinguer les doublons d'un même message.
- Saut
- Un seul serveur par lequel le message est passé. Chaque saut laisse derrière lui une ligne
Received:.
Foire aux questions
Anecdote — Les en-têtes d'e-mail forment une pile de tampons postaux numériques
Tout comme le tampon de la poste sur une lettre indique quel bureau l'a traitée et quand, les en-têtes Received: d'un e-mail forment une pile de « tampons postaux numériques » : chaque serveur ayant relayé le message y appose son propre horodatage. Le protocole SMTP (RFC 5321) exige que chaque serveur relais ajoute ses propres informations en tête du bloc d'en-têtes, de sorte qu'un enregistrement complet du chemin de livraison s'accumule naturellement à chaque message.
Cela se révèle particulièrement utile pour retracer l'origine d'un spam. Le piège, c'est que les en-têtes Received: peuvent être falsifiés aussi librement que l'en-tête From : l'expéditeur peut ajouter autant de fausses lignes Received: qu'il veut avant d'envoyer le message, si bien que les lignes les plus anciennes (tout en bas) sont les plus susceptibles d'être fausses. Les seules lignes vraiment fiables sont celles écrites par des serveurs destinataires que vous contrôlez. La plus ancienne d'entre elles a été enregistrée lorsque votre serveur a accepté la connexion venue de l'extérieur, et l'adresse IP de connexion figurant dans son from est une information que l'expéditeur ne peut pas falsifier. C'est précisément cette « première connexion enregistrée par votre propre serveur » que les spécialistes de l'antispam examinent en premier.
SPF, DKIM et DMARC ont été ajoutés plus tard pour contrer l'usurpation que les tampons seuls ne peuvent empêcher. SPF vérifie si l'IP émettrice figure sur la liste autorisée du domaine, DKIM vérifie une signature cryptographique pour confirmer que le contenu n'a pas été altéré, et DMARC combine ces deux vérifications avec le domaine de l'en-tête From pour rendre un verdict global. Depuis que Google et Yahoo ont rendu DMARC de facto obligatoire pour les expéditeurs en masse en 2024, les en-têtes Authentication-Results sont devenues monnaie courante dans les boîtes de réception quotidiennes.
Les en-têtes d'e-mail sont quelque chose que presque personne n'ouvre jamais, mais dès qu'on le fait, on découvre un journal de voyage précis et invisible : par quels serveurs à travers le monde un seul message est passé, et combien de secondes chaque étape a pris.