1001Ferramentas
📧 Segurança

Analisador de Cabeçalho de E-mail

Analisa o cabeçalho bruto de um e-mail: cadeia de servidores Received, atraso por salto, resultados de SPF, DKIM e DMARC e sinais de spoofing.

Tudo roda no seu navegador; o cabeçalho não é enviado a lugar nenhum.

Como ler a cadeia de saltos

Cada servidor que toca na mensagem acrescenta a própria linha Received no topo do cabeçalho, então o texto bruto vem do mais novo para o mais antigo. Esta página inverte a ordem: o salto 1 é a máquina que aceitou a mensagem primeiro e o último é a sua caixa postal. A coluna de atraso mostra quantos segundos cada servidor segurou a mensagem — um único salto com horas de atraso costuma ser a causa do e-mail que chegou tarde.

As linhas abaixo da contagem de saltos são o que realmente prova identidade. O SPF diz que o IP remetente estava autorizado pelo domínio, o DKIM confere uma assinatura sobre o conteúdo e o DMARC exige que um dos dois esteja alinhado com o From visível. Uma mensagem pode marcar spf=pass e ainda assim ser fraude, quando o domínio do From é diferente do domínio de envelope que passou — é exatamente isso que a lista de alertas procura.

Como ler o cabeçalho bruto de um e-mail

O texto que o Gmail mostra em Mostrar original parece ruído, mas guarda o trajeto completo da mensagem. Cole esse bloco aqui e a página separa os campos principais, monta a cadeia de servidores por onde o e-mail passou e calcula quanto tempo cada um segurou a entrega. É o caminho mais rápido para descobrir se aquele aviso de fatura veio mesmo do banco ou de um servidor de disparo alugado.

Cada servidor carimba a própria linha Received no topo do cabeçalho, então o texto bruto vem do mais recente para o mais antigo. Aqui a ordem é invertida: o salto 1 é a máquina que aceitou a mensagem primeiro e o último é a sua caixa postal. Ao lado de cada salto aparece o atraso em segundos, com uma barra proporcional que destaca o servidor responsável pelo maior tempo parado.

Os selos de SPF, DKIM e DMARC vêm do campo Authentication-Results, escrito pelo servidor que recebeu a mensagem. Vale um detalhe pouco conhecido: spf=pass sozinho não prova nada sobre o remetente que você vê na tela, porque o SPF valida o domínio do envelope, não o do campo From. Por isso a lista de alertas compara os dois, olha o Reply-To e avisa quando o nome de exibição carrega um endereço diferente do real.

Perguntas frequentes

O cabeçalho que eu colar vai para algum servidor?
Não. Toda a análise acontece em JavaScript dentro da sua aba, sem requisição de rede e sem armazenamento. Você pode conferir desligando a internet antes de colar: a página continua funcionando. Isso importa porque cabeçalhos costumam trazer endereços internos, IPs de origem e identificadores que não deveriam circular fora da empresa.
Onde encontro esse cabeçalho no meu e-mail?
No Gmail, abra a mensagem, clique nos três pontos e escolha Mostrar original. No Outlook para desktop, use Arquivo e depois Propriedades, no campo de cabeçalhos da Internet. No Apple Mail, ative Visualização, E-mail, Todos os cabeçalhos. Em todos os casos, copie o bloco inteiro, da primeira linha até a linha em branco que separa o corpo.
SPF passou mas o alerta continua vermelho. Por quê?
Porque um golpista pode registrar um domínio próprio, publicar SPF correto para ele e ainda assim escrever qualquer coisa no campo From exibido. A ferramenta marca esse descompasso comparando o domínio do From com o do Return-Path e com o domínio autenticado. DMARC existe justamente para exigir esse alinhamento, e é ele que costuma falhar nesses casos.

Ferramentas Relacionadas