เครื่องมือวิเคราะห์ส่วนหัวอีเมล

ส่วนหัวอีเมลบอกอะไรได้และบอกอะไรไม่ได้

อีเมลอินเทอร์เน็ตประกอบด้วยฟิลด์ส่วนหัวที่มีชื่อ ตามด้วยบรรทัดว่างและเนื้อหาข้อความ RFC 5322 กำหนดรูปแบบข้อความ รวมถึงการพับฟิลด์ ซึ่งบรรทัดที่ขึ้นต้นด้วยช่องว่างจะต่อจากฟิลด์ก่อนหน้า เครื่องมือนี้จะคลี่บรรทัดดังกล่าวก่อนตีความข้อมูล และหยุดที่บรรทัดว่างแรก จึงไม่วิเคราะห์เนื้อหาหรือไฟล์แนบ

เซิร์ฟเวอร์ส่งต่ออีเมลมักเพิ่มฟิลด์ Received ไว้ด้านบนทุกครั้งที่ข้อความผ่านเซิร์ฟเวอร์ ดังนั้นซอร์สดิบจึงเรียงจากใหม่ไปเก่า รายงานจะกลับลำดับเป็นไทม์ไลน์จากต้นทาง จะแสดงผลต่างของเวลาเมื่ออ่านเวลาที่อยู่ติดกันได้ทั้งคู่เท่านั้น ผลต่างติดลบจะถูกรายงานว่าอาจเกิดจากนาฬิกาคลาดเคลื่อนและทำให้ไม่คำนวณเวลาขนส่งรวม โดยจะไม่เปลี่ยนเป็นศูนย์โดยไม่แจ้ง

วิธีอ่านส่วนการยืนยันตัวตน

RFC 8601 กำหนดฟิลด์ Authentication-Results ซึ่งระบบรับเพิ่มเพื่อบันทึกผล เช่น spf=pass, dkim=pass หรือ dmarc=fail เครื่องมือเก็บ Authentication-Results ที่ซ้ำเพราะข้อความอาจผ่านหลายโดเมนการดูแล และเก็บคุณสมบัติอย่าง smtp.mailfrom, header.d และ header.from ตามที่รายงาน

DKIM-Signature มีข้อมูล เช่น โดเมนที่ลงนาม (d=), ตัวเลือก (s=), อัลกอริทึม (a=), ข้อมูลประจำตัว (i=) และค่าการเข้ารหัสขนาดใหญ่ (b= และ bh=) รายงานบันทึกแท็กที่เป็นประโยชน์และการมีอยู่ของค่าลายเซ็น แต่จงใจไม่รวมเนื้อลายเซ็นใน JSON ไม่มีการค้นหา DNS หรือการตรวจสอบเชิงวิทยาการเข้ารหัส

RFC 8617 กำหนด Authenticated Received Chain (ARC) อินสแตนซ์ ARC ครบเชิงโครงสร้างเมื่อมี ARC-Seal, ARC-Message-Signature และ ARC-Authentication-Results ที่ใช้ค่า i= เดียวกัน คำว่า “ครบ” หมายถึงมีสมาชิกทั้งสามเท่านั้น ไม่ได้หมายความว่าเชนถูกต้องหรือน่าเชื่อถือ

ตัวอย่างเส้นทาง

สมมติว่าซอร์สดิบมี Received สองฟิลด์ ฟิลด์ล่างระบุว่าต้นทางส่งข้อความให้รีเลย์เวลา 10:00:03 +0000 และฟิลด์บนระบุว่ารีเลย์ถึงผู้รับเวลา 10:00:10 +0000 รายงานจะแสดงเหตุการณ์ต้นทางก่อนและคำนวณช่วงเวลาที่สังเกตได้ 7 วินาที เขตเวลาถูกนำมาคิดด้วย: 10:00:03 +0000 ตามด้วย 12:00:06 +0200 ห่างกัน 3 วินาที ไม่ใช่สองชั่วโมง หากเวลาที่สองหลังปรับมาตรฐานเร็วกว่าอยู่ห้าวินาที รายงานจะเตือนนาฬิกาคลาดเคลื่อนและไม่แสดงเวลารวม

ขอบเขตความเชื่อถือและข้อผิดพลาดที่พบบ่อย

RFC 5321 อธิบายการขนส่ง SMTP และข้อมูลติดตามที่เซิร์ฟเวอร์เพิ่ม ส่วนหัวจากภายนอกระบบอีเมลที่เชื่อถืออาจถูกแต่งขึ้นได้ ให้เริ่มความเชื่อถือจากระบบรับที่คุณควบคุม แล้วไล่ลงไปเท่าที่บันทึกและนโยบายของระบบนั้นรองรับ โดเมน From ที่มองเห็นต่างจาก Return-Path พบได้ทั่วไปในรายชื่ออีเมล บริการส่งต่อ และแพลตฟอร์มอีเมลธุรกรรม นี่เป็นเพียงข้อสังเกต ไม่ใช่หลักฐานการสวมรอย

หัวเรื่องและชื่อที่เข้ารหัสอาจใช้ encoded-word ตาม RFC 2047 เครื่องมือถอดรูปแบบ Base64 หรือ quoted-printable ทั่วไปของ UTF-8, ISO-8859-1 และ Windows-1252 ส่วนรูปแบบที่ไม่รองรับจะคงไว้พร้อมคำเตือน จำนวนฟิลด์และฮ็อปที่มากเกินไปจะถูกจำกัดเพื่อให้เบราว์เซอร์ตอบสนองได้ สำหรับการรับมือเหตุการณ์ ให้เก็บข้อความต้นฉบับแยกไว้ เพราะไฟล์ส่งออกเป็นรายงานย่อและจงใจไม่รวมข้อมูลดิบ เนื้อหา ไฟล์แนบ หรือเนื้อลายเซ็น DKIM

ความเป็นส่วนตัวและการส่งออก

การแยกข้อมูล การเลือก การคัดลอก และการสร้างไฟล์ส่งออกเกิดขึ้นในแท็บปัจจุบัน ขั้นตอน funnel ใช้ที่เก็บข้อมูลเซสชันของแท็บแทน URL ดังนั้นส่วนหัวดิบจึงไม่ถูกส่งผ่าน Livewire หรือเผยในพารามิเตอร์การนำทาง จำกัดข้อมูลเข้า 512 KiB CSV ของไทม์ไลน์ใช้ UTF-8 พร้อม byte-order mark และแถว CRLF โดยจะทำให้เซลล์ที่ขึ้นต้นด้วยอักขระสูตรสเปรดชีตไม่ทำงาน JSON มีข้อสังเกตที่วิเคราะห์แล้วและคำเตือนของรายงานแทนส่วนหัวต้นฉบับ