Analisi delle intestazioni di posta elettronica
Incollando le intestazioni grezze di un messaggio ricevuto — Received, Authentication-Results e le altre — lo strumento analizza il percorso di recapito passaggio per passaggio ed elenca anche gli esiti dell'autenticazione SPF, DKIM e DMARC. L'analisi avviene interamente nel navigatore.
Il significato delle clausole dell'intestazione Received
| Clausola | Significato |
|---|---|
| from | Nome host e indirizzo IP del servente che ha consegnato il messaggio, così come li ha registrati il servente ricevente che ha scritto questa riga. Il mittente può aggiungere quante righe Received false desidera, perciò le righe più antiche sono proprio le più facili da contraffare. Per stabilire il vero indirizzo di origine, usate il from della riga più antica scritta da un servente ricevente sotto il vostro controllo (nell'elenco di questo strumento, il primo passaggio in cui il vostro servente compare in «by»). |
| by | Nome host del servente che ha ricevuto il messaggio in questo passaggio, per esempio il vostro servente di posta. |
| with | Protocollo di recapito impiegato, per esempio ESMTP, ESMTPS o SMTP. ESMTPS indica un recapito cifrato con TLS. |
| for | Indirizzo del destinatario. Nelle liste di distribuzione o in presenza di più destinatari viene spesso omesso. |
| timestamp | Data e ora in cui il messaggio è giunto in questo passaggio. Ora e fuso orario li registra il servente ricevente che ha scritto questa riga (RFC 5321 §4.4). La differenza fra i passaggi dà la misura del ritardo di recapito. |
Il significato dei campi dell'intestazione Authentication-Results
| Campo | Significato |
|---|---|
| SPF | Esito dell'autenticazione SPF, il quadro delle politiche del mittente: verifica che l'indirizzo IP di origine compaia nell'elenco di quelli autorizzati nel sistema dei nomi dal dominio mittente. |
| DKIM | Esito dell'autenticazione DKIM, la posta identificata con chiavi di dominio: indica se la firma elettronica apposta al corpo e alle intestazioni principali sia stata verificata con la chiave pubblica del dominio mittente. |
| DMARC | Esito dell'autenticazione DMARC, l'autenticazione dei messaggi basata sul dominio: giudizio complessivo che confronta gli esiti di SPF e DKIM con il dominio dell'intestazione From, verificandone la coerenza, cioè l'allineamento. |
Ripercorrere il tragitto di un messaggio dalle sue intestazioni
Incollate le intestazioni grezze di un messaggio che avete ricevuto e questo strumento scompone le righe Received: salto per salto per dispiegarne il tragitto, ed elenca i verdetti di SPF, DKIM e DMARC registrati in Authentication-Results:. L'intera analisi avviene dentro il browser, sicché nulla di ciò che incollate lascia il vostro apparecchio.
La prima cosa da afferrare nel leggerle è che le righe Received: vanno lette dal basso verso l'alto. Ogni server, nel ricevere il messaggio, aggiunge la propria riga in cima, sicché la tratta più antica sta in fondo e il server che l'ha ricevuto per ultimo sta in cima. Più importante ancora: chiunque può falsificare queste intestazioni. Un mittente può fabbricare quante righe Received: gli aggradi e porle in testa. Ciò a cui si può credere è la riga scritta da un server sotto il vostro controllo, e tutto quanto le sta sopra; quanto vi sta sotto non significa altro che qualcuno l'ha affermato. Altrettanto vale per Authentication-Results:, poiché se non si guarda quale server abbia emesso il verdetto, il verdetto stesso può essere falso.
Come si usa
- Incollate le intestazioni grezze Si ottengono da «mostra originale» o «visualizza sorgente» nel vostro programma di posta.
- Leggete le righe Received dal basso in su In fondo sta il primo mittente; in cima il server che l'ha ricevuto per ultimo.
- Controllate gli esiti dell'autenticazione I verdetti di SPF, DKIM e DMARC sono esposti insieme.
- Stabilite dove cominci la fiducia Tutto quanto sta sotto la riga scritta da un server sotto il vostro controllo può essere stato falsificato.
Consigli per sfruttarlo al meglio
- In Gmail le intestazioni grezze si ottengono aprendo il messaggio, scegliendo il menu con i tre punti in alto a destra e poi «Mostra originale». In Outlook si trovano in «File», «Proprietà», «Intestazioni Internet».
- Le intestazioni Received vengono aggiunte al messaggio dalla più recente alla più antica, con quella del destinatario in cima: lo strumento le riordina cronologicamente, dal mittente al destinatario.
- Se l'orologio di un servente intermedio è sfasato, il ritardo rispetto al passaggio precedente può risultare negativo. Un valore negativo non indica necessariamente un'anomalia: molto probabilmente si tratta soltanto di un difetto di sincronizzazione dell'orario.
- Anche quando SPF, DKIM e DMARC risultano tutti superati, non c'è alcuna garanzia che il messaggio non sia contraffatto. L'autenticazione verifica la legittimità del dominio mittente e non può rilevare i casi in cui sia il dominio stesso a essere stato registrato da un malintenzionato.
- Se fra due passaggi Received il ritardo cresce bruscamente, in quel tratto è possibile che si sia verificato un rallentamento del servente di posta o un fermo imposto dal filtro antispam.
Quando torna utile
Nell'indagare da dove provenisse della posta spazzatura
Il vero indirizzo d'origine compare nella più bassa riga Received: di cui possiate fidarvi.
Nello smascherare un'usurpazione
Un nome visualizzato e una riga From si falsificano senza fatica: giudicate dunque dagli esiti dell'autenticazione.
Nel ripercorrere un ritardo nel recapito
Leggere le ore di ciascun salto vi mostra dove il messaggio sia rimasto fermo.
Nell'accertare che la vostra posta superi l'autenticazione
Mandatevi un messaggio di prova e vedete se SPF, DKIM e DMARC passino tutti.
Termini delle intestazioni di posta
- Received
- L'intestazione cui ogni server ricevente aggiunge la propria riga in cima. Il tragitto si legge dal basso verso l'alto.
- Authentication-Results
- L'intestazione che registra i verdetti di SPF, DKIM e DMARC raggiunti dal lato ricevente. Ciò che conta è quale server l'abbia scritta.
- Return-Path
- Dove torna un recapito fallito. L'SPF viene controllato contro questo dominio.
- From
- Il mittente così come viene mostrato. Vi si può scrivere qualsiasi cosa, sicché nulla prova su chi abbia inviato il messaggio.
- Message-ID
- La stringa che identifica un messaggio in modo univoco, usata per distinguere i doppioni dello stesso.
- Salto
- Un singolo server attraverso cui il messaggio è passato. Ogni salto lascia dietro di sé una riga
Received:.
Domande frequenti
A proposito — le intestazioni di posta come collezione di timbri postali digitali
Come il timbro impresso su una lettera registra l'ufficio postale d'impostazione e la data, le intestazioni Received di un messaggio di posta elettronica sono i «timbri digitali» che ogni servente attraversato imprime con la propria marca temporale. Il protocollo SMTP, nella norma RFC 5321, impone a ogni servente che inoltra un messaggio di aggiungere in testa alle intestazioni le proprie informazioni: così, per ciascun messaggio, si accumula naturalmente la registrazione completa del percorso di recapito.
Nella pratica questo meccanismo è utilissimo soprattutto per risalire all'origine della posta indesiderata. Bisogna però fare attenzione: le intestazioni Received: si possono contraffare con la stessa libertà dell'intestazione From. Il mittente può aggiungere quante righe Received: false vuole prima di spedire il messaggio, quindi le righe più antiche (quelle più in basso) sono proprio quelle con più probabilità di essere false. Le sole righe davvero affidabili sono quelle scritte dai serventi riceventi sotto il vostro controllo. La più antica di esse è stata registrata quando il vostro servente ha accettato la connessione dall'esterno, e l'indirizzo IP di provenienza riportato nel suo from è un dato che il mittente non può falsificare. È proprio questa «prima connessione registrata dal proprio servente» che gli esperti di contrasto allo spam controllano per prima.
Le tre tecniche di autenticazione — SPF, DKIM e DMARC — sono state aggiunte in seguito, come difesa contro le contraffazioni che i soli «timbri» non riuscivano a fermare. SPF verifica che l'indirizzo IP di origine figuri nell'elenco autorizzato dal dominio, DKIM controlla con una firma elettronica che il contenuto non sia stato alterato, DMARC giudica complessivamente entrambi insieme alla coerenza con l'intestazione From. Da quando, nel 2024, Google e Yahoo hanno di fatto reso obbligatoria l'adozione di DMARC per i grandi mittenti, l'intestazione Authentication-Results è diventata una presenza abituale anche nei messaggi ordinari.
Di solito non ci badiamo, ma aprendo per una volta le intestazioni di un messaggio ci si accorge che vi è annotato con precisione quali serventi del pianeta esso abbia attraversato e in quanti secondi: un viaggio invisibile attraverso Internet, registrato in ogni sua tappa.