Криминалистический анализ заголовков email и аутентификация

Заголовок письма — это блок структурированных метаданных перед телом сообщения, фиксирующий сведения об отправителе, получателе, теме, дате отправки, промежуточных узлах ретрансляции (Received) и результатах проверки подлинности (SPF, DKIM, DMARC).

Заголовок Received — это служебная запись трассировки, добавляемая в самое начало каждым почтовым сервером (MTA), обрабатывающим письмо. Таким образом, нижняя запись соответствует серверу отправки, а верхняя — шлюзу получателя.

Откройте письмо в веб-версии Gmail на компьютере, нажмите кнопку меню из трех точек рядом с кнопкой «Ответить» и выберите пункт «Показать оригинал». Полные исходные заголовки откроются в новой вкладке.

В десктопной версии Outlook откройте сообщение в отдельном окне, перейдите в «Файл» > «Свойства» и найдите блок «Служебные заголовки Интернета». В веб-версии нажмите меню «...» у сообщения и выберите «Вид» > «Сведения о сообщении».

Return-Path обозначает адрес отправителя на уровне конверта (MAIL FROM), на который высылаются отчеты о недоставке (Bounce). Этот адрес часто не совпадает с видимым заголовком From при использовании платформ рассылок.

Reply-To задает адрес, который автоматически подставляется почтовым клиентом при нажатии кнопки «Ответить». Если домен Reply-To отличается от From, ответ уйдет в другую систему, что типично для техподдержки, но может использоваться и злоумышленниками.

Message-ID — это глобально уникальный идентификатор конкретного сообщения, генерируемый отправляющей системой, обычно имеющий формат «<уникальная-строка@хост-отправителя>».

SPF (RFC 7208) позволяет владельцу домена публиковать в DNS список авторизованных IP-адресов серверов, имеющих право отправлять почту от имени домена конверта.

DKIM (RFC 6376) добавляет цифровую криптографическую подпись к заголовкам письма. Принимающий сервер использует открытый ключ из DNS для проверки подлинности источника и контроля целостности содержимого.

DMARC сопоставляет видимый домен отправителя (From) с результатами проверок SPF и DKIM, задавая правила обработки при сбоях (none, quarantine, reject). В 2026 году стандарт определен документами RFC 9989, RFC 9990 и RFC 9991 (RFC 7489 устарел).

ARC (RFC 8617) сохраняет исходные результаты аутентификации при прохождении через промежуточные почтовые службы (списки рассылки, автопересылка), которые модифицируют письмо и нарушают прямую валидацию SPF или DKIM.

Authentication-Results (RFC 8601) — структурированный заголовок, создаваемый принимающим почтовым шлюзом, в котором фиксируются локальные вердикты проверок SPF, DKIM, DMARC и цепочек ARC.

SPF PASS означает, что IP-адрес подключившегося сервера явно разрешен в официальной DNS-записи SPF домена конверта (Return-Path).

DKIM PASS подтверждает, что цифровая подпись сообщения успешно проверена с помощью открытого ключа домена-подписанта, а заголовки и тело письма не подвергались изменениям.

DMARC PASS означает, что домен в заголовке From совпадает (выровнен) с доменом, успешно прошедшим SPF или DKIM, и базовая проверка завершилась без ошибок.

Выравнивание домена — базовое требование DMARC, согласно которому домен, видимый пользователю в заголовке From, должен строго или в пределах организационного домена совпадать с доменом SPF или тегом d= подписи DKIM.

Заголовки Received читаются в хронологическом порядке снизу вверх. Нижняя запись обозначает отправную точку, где отправитель сдал письмо на сервер, а каждая последующая строка выше — следующий этап маршрута.

Письмо на пути к адресату проходит цепочку узлов (компьютер пользователя, локальный релей, облачный спам-фильтр, пограничный шлюз, почтовый сервер ящика). Каждый узел фиксирует адрес предыдущего передавшего сервера.

Нет. Технический анализ заголовков предоставляет объективные факты маршрутизации и валидации подписей. Он не анализирует психологические методы социальной инженерии в теле письма, что требует комплексного экспертного решения.

Нет. Solasu работает полностью на клиенте в среде JavaScript вашего браузера. Никакие фрагменты писем или сетевые адреса не передаются на серверы и не сохраняются в постоянных хранилищах.

Нет. В целях сохранения абсолютной конфиденциальности инструмент исследует исключительно данные, зафиксированные внутри переданного заголовка, не совершая внешних сетевых запросов.

Функция маскирования заменяет персональные данные (email-адреса, IP, идентификаторы Message-ID) на маскированный вид (например, «u***r@example.com»), что позволяет безопасно прикреплять заголовки к публичным отчетам.