邮件标头取证与认证分析工具
纯客户端本地运行的邮件标头取证与路由检查工具。在浏览器中解析 MTA Received 中继跳步、SPF/DKIM/DMARC/ARC 认证记录、域名对齐状态、异常结构特征，并在分享前进行隐私信息脱敏。
关于邮件标头取证与认证分析工具
Solasu 邮件标头取证与认证分析工具是一款免费且注重隐私安全的网络取证工具，专用于在浏览器本地直接解析原始邮件标头（Raw Headers）和 .eml 邮件文件，无需向任何远程服务器上传敏感通信元数据。
本工具不仅提供简单的通过/未通过判断，而是严格遵循 RFC 5322、RFC 7208 (SPF)、RFC 6376 (DKIM)、RFC 8601 (Authentication-Results)、RFC 8617 (ARC) 以及现行 DMARC 核心标准（RFC 9989、RFC 9990、RFC 9991）。它能按时间线重构 Received 投递跳步、计算中继延迟、检测时钟偏差与负延迟异常，并详细评估 From、Return-Path、Reply-To 与认证域名之间的对齐矩阵。
所有取证线索均附带精确的标头原始行号引用和客观技术解释。在向支持团队或公开工单提交前，您可一键脱敏邮件地址、IP 地址与 Message-ID，并导出 JSON、CSV、Markdown 或多页 A4 格式的取证 PDF 报告。
100% 纯客户端本地计算，零服务器数据上传
邮件标头包含发送者与接收者真实邮箱、内部局域网 IP 地址、企业邮件服务器主机名及通信时间戳等敏感信息。
Solasu 所有的解析、解码与分析均在您本地浏览器的 JavaScript 内存（Web Worker）中完成。绝不上传任何文件，不调用外部 API，也不执行可能泄露隐私的实时外部 DNS 查询。
Received 投递跳步追踪与时钟逆转异常检测
系统将所有 Received 追踪标头按时间顺序重构，清晰展现邮件从发信代理（MSA）经由各中继服务器到达目标邮箱网关的全程链路。
自动计算跳步之间的传输延迟，检测瓶颈节点，并发现因服务器时钟偏差导致的负延迟异常或未来时间戳异常。
基于最新 RFC 标准的邮件认证与身份对齐矩阵
结构化提取上游邮件系统记录的 RFC 8601 Authentication-Results，客观呈现 SPF、DKIM、DMARC 与 ARC 的验证结果与属性。
依据现行 DMARC 规范（RFC 9989），严格比对用户可见的 From 标头域名与信封反弹域名及密码学签名域名之间的对齐关系。
一键隐私信息脱敏与多格式取证报告导出
在工单或公开技术论坛中共享标头前，可使用多层脱敏引擎一键掩码敏感邮箱、公网/私有 IP 地址以及唯一 Message-ID 标识符。
支持将分析证据导出为结构化 JSON 审计记录、防公式注入的 CSV 传输跳步表、应急响应 Markdown 摘要以及带数字指纹的 A4 PDF 报告。
常见问题解答 (FAQ)
什么是邮件标头（Email Header）？
邮件标头是位于邮件正文之前的结构化元数据块，记录了发件人、收件人、主题、时间戳、中继路由服务器跳步（Received 标头）以及防伪认证结果（SPF、DKIM、DMARC）等重要信息。
什么是 Received 标头？
Received 标头是邮件在网络中每经过一台邮件传输代理（MTA）时由该服务器在最顶端添加的追踪字段。因此最下方的 Received 记录通常代表原始发件服务器，最上方记录代表最终接收服务器。
如何在 Gmail 中查看邮件标头？
在桌面浏览器中打开 Gmail 邮件，点击回复按钮旁边的三点图标（更多选项），选择“显示原始邮件”。在新打开的页面中即可查看完整的原始标头内容。
如何在 Outlook 中查看邮件标头？
在桌面版 Outlook 中双击打开邮件独立窗口，点击“文件”>“属性”，在底部的“Internet 标头”框中查看。在网页版 Outlook 中，点击邮件右上角的“...”菜单，选择“查看”>“查看邮件详细信息”。
什么是 Return-Path（信封发件人）？
Return-Path 代表信封发件人（MAIL FROM）地址，用于接收投递失败或退信通知（Bounce）。当使用第三方邮件发送服务（ESP）时，该地址经常与可见的 From 标头地址不同，这属于常见正常机制。
什么是 Reply-To（回复地址）？
Reply-To 指定了收件人在邮件客户端中点击“回复”时默认送达的地址。如果 Reply-To 与 From 域名不同，回复将被发送至其他信箱，这常见于客服工单系统，但也可能被用于欺诈回信。
什么是 Message-ID？
Message-ID 是发信系统为每一封邮件分配的全局唯一标识符，格式通常为“<随机字符串@发送主机名>”。
什么是 SPF（发件人策略框架）？
SPF（RFC 7208）允许域名所有者在 DNS 记录中公布授权发信的 IP 地址列表。接收服务器通过检查发送方连接 IP 是否在该列表内来验证发件人身份。
什么是 DKIM（域名密钥识别邮件）？
DKIM（RFC 6376）通过在邮件标头附加数字签名来确保邮件真实性。接收服务器获取发信域名在 DNS 中发布的公钥来校验签名，确认邮件标头与正文在传输过程中未经篡改。
什么是 DMARC？当前适用的 RFC 规范是什么？
DMARC 用于验证发件人可见域名（From）与 SPF 或 DKIM 认证身份之间的对齐关系，并定义认证失败时的处理策略（none/quarantine/reject）。2026 年现行规范为 RFC 9989（核心规范）、RFC 9990（汇总报告）与 RFC 9991（失败报告），旧版 RFC 7489 已废弃拆分。
什么是 ARC（经过验证的接收链）？
ARC（RFC 8617）专为应对邮件列表转发或中继处理修改内容导致原始 SPF 或 DKIM 签名失效而设计，它在每个中继节点链式记录并签署原始的认证评估状态。
什么是 Authentication-Results 标头？
Authentication-Results（RFC 8601）是接收端边缘 MTA 或邮件安全网关在接收邮件时生成的结构化标头，详细记录其对 SPF、DKIM、DMARC 及 ARC 的具体检测判定。
SPF PASS 代表什么含义？
SPF PASS 表示直接连接投递邮件的服务器 IP 地址已被列在信封发件人（Return-Path）域名的官方 DNS SPF 授权列表之中。
DKIM PASS 代表什么含义？
DKIM PASS 表示接收服务器使用签名域名的公钥成功验证了 DKIM-Signature 标头中的密码学签名，证明签名覆盖的标头和正文未被篡改。
DMARC PASS 代表什么含义？
DMARC PASS 表示邮件发件人标头（From）的域名与通过验证的 SPF 或 DKIM 域名实现了对齐（完全相同或符合子域名规则），并且基础认证检查均已通过。
什么是域名对齐（Domain Alignment）？
域名对齐是 DMARC 的核心概念，要求用户界面中显示的 From 标头域名必须与 SPF 验证的信封域名或 DKIM 验证的签名域名（d= 标签）保持一致（严格匹配或组织域名匹配）。
应该如何阅读 Received 投递跳步？
Received 标头应当从下往上按时间顺序阅读。最底部的记录代表发信人提交邮件的初始跳步，随后的每一层记录代表后续中继服务器，直至最顶层到达收件方邮箱网关。
为什么邮件标头中会出现多个不同的 IP 地址？
一封邮件在网络传输中通常会经过多个不同系统（发信客户端设备、内部中继、云安全扫描网关、边缘防火墙、最终邮箱服务器），每个接手中继的节点都会记录前一节点的 IP 地址。
仅靠标头分析能否 100% 确认钓鱼邮件？
不能。邮件标头取证提供的是关于路由节点、认证报告与域名对齐的客观技术证据。无法单凭标头完全判定邮件正文内容是否包含具有欺骗意图的社会工程学话术，仍需结合多维度综合评估。
我的邮件标头数据会被上传或保存在服务器上吗？
绝不会。Solasu 100% 在您的浏览器本地环境（JavaScript / Web Worker）中运行，不会将任何标头内容、邮箱或 IP 地址传输至服务器，也不会写入持久 Cookie 或本地数据库。
该工具会向外部发送实时 DNS 查询吗？
不会。为保障彻底的隐私隔离并避免任何网络泄露痕迹，本工具仅解析邮件标头中已记录的现成数据，绝不发起外部实时 DNS 查询。
什么是隐私脱敏（Redaction）功能？
隐私脱敏功能可在将标头内容提交到公共工单或共享给第三方排查问题前，自动且不可逆地将敏感邮箱、IP 地址以及唯一 Message-ID 转换为遮罩格式（例如将 user@example.com 转换为 u***r@example.com）。