メールヘッダー解析

メールヘッダー解析について

すべてのメールには、ヘッダーと呼ばれる非表示の行がついています。誰が送ったか、どのサーバーを経由したか、各サーバーがいつ受け取ったか、送信者が安全性チェックに合格したかが分かります。

多くのメールソフトは、ヘッダーを隠しています。ヘッダーを貼り付けるか.emlファイルを開くと、見やすいページで確認できます。概要、SPF・DKIM・DMARCの結果、各中継の遅延つきの配送経路、送信元のIPアドレスです。

特長

概要 — From、To、件名、日時、Message-ID、Return-Path、Reply-To。ドメインが一致しない場合は警告を表示
SPF・DKIM・DMARC — それぞれ合格・不合格・中立のバッジと、サーバーが書いた理由を表示
配送経路 — Received行をすべて、メールが通った順に、時刻と遅延バーつきで表示
遅延 — タイムゾーンを考慮し、遅い区間や時間が逆戻りした区間に印をつけます
送信元IP — 経路で最初に見つかった公開IP。プライベートアドレスはとばします
デコード表示 — =?UTF-8?B?…?= や =?UTF-8?Q?…?= で書かれた名前や件名を、普通の文字で表示
Xヘッダー — X-Mailer、X-Spam、List-Unsubscribeなどを1つの表にまとめて表示
コピーまたはダウンロード — レポートを持ち帰れます

使い方

メールのヘッダーを取得（下の手順を参照）
ボックスに貼り付けるか、.emlファイルを開くを押す
概要を読み、警告ボックスを確認
SPF・DKIM・DMARCのバッジを確認
最初のサーバーから最後のサーバーまで、経路をたどる
レポートをコピーを押して、結果を保存

ヘッダーの取得方法

ソフト	手順
Gmail	メールを開き、3つの点をクリック。メッセージのソースを表示を選び、クリップボードにコピーを押します。
Outlook（Windows）	メールをダブルクリック。ファイル、プロパティの順に選び、インターネットヘッダー欄をコピーします。
Outlook（Web）	メールを開き、3つの点をクリック。表示、メッセージの詳細を表示の順に選びます。
Apple Mail	メールを開き、表示、メッセージ、すべてのヘッダーの順に選びます。またはロー・ソースを選びます。
Thunderbird	メールを開き、Ctrl+U（Macは Cmd+U）を押すとソースが表示されます。

メール全文を貼り付けても大丈夫です。本文が始まる最初の空行で、読み取りを止めます。

配送経路の読み方

メールを処理した各サーバーは、Received行を一番上に1行追加します。そのため、生のヘッダーは新しい順に並んでいます。このツールは順番を入れ替えて、ステップ1がメールの出発点、最後のステップがお使いのサーバーになるようにします。

各ステップで、どのサーバーが送ったか（送信元）、どのサーバーが受け取ったか（受信側）、プロトコル（方式）、IP、時刻が分かります。遅延は、前のステップとの時間差です。

数秒なら正常です
1分以上は「遅い」と表示されます。原因は、サーバーの混雑、ウイルススキャン、グレーリスティングなどです
マイナスの遅延は、2台のサーバーの時計がずれているということです。メールが過去に戻ったわけではありません

SPF・DKIM・DMARCの意味

チェック	確認する内容
SPF	このサーバーは、Return-Pathのドメインのメールを送信する許可を持っているか？
DKIM	署名が一致しているか？つまり、途中でメールが改ざんされていないか？
DMARC	SPFまたはDKIMがFromのドメインと一致しているか？

結果は、あなたのメールサーバーが、Authentication-Resultsヘッダーに書き込みます。このツールはそれを表示するだけです。DNSレコードをリアルタイムで調べる必要があるため、チェックを再実行することはしません。passは良い兆候です。failは注意が必要という意味ですが、それだけでは何の証拠にもなりません。

よくある質問

メールの送信元はどうやって調べますか？

送信元IPのボックスと配送経路を見てください。経路で最初に見つかった公開IPが、メールの出発点を知る一番の手がかりです。多くの場合、それは本人ではなく、送信者のメールプロバイダーのIPです。

送信者の本当の場所は分かりますか？

めったに分かりません。ほとんどのメールはGmailや会社のサーバーなどのプロバイダー経由で送られるため、IPはそのプロバイダーのものになります。一部のWebメールはX-Originating-IPヘッダーも追加しますが、誤っている場合があります。

SPFがfailでも、メールが本物に見えるときは？

転送サービスやメーリングリストを通ったメールは、SPFが失敗することがよくあります。DKIMがpassなら、たいていは問題ありません。DMARCの行も確認してください。

FromのドメインとReturn-Pathが違うのはなぜですか？

メルマガやネットショップのツールは、独自のReturn-Pathでメールを代理送信します。これは正常です。ただし、偽造メールも同じ状態になります。Fromのドメインに対してDKIMがpassしているか確認してください。

ヘッダーは偽造できますか？

はい。送信者は、自分が追加する行には何でも書けます。信頼できるのは、知っているサーバーが追加した、上のほうの行だけです。

このツールはヘッダーをどこかに送信しますか？

いいえ。すべてブラウザ内で読み込まれます。照会もアップロードもありません。

知っておくと便利なこと

これは迷惑メールや詐欺かどうかの判定ではありません。何が起きたかを知るために使い、判断はご自身でしてください
ヘッダーには、IPアドレスや名前などの個人情報が含まれることがあります。レポートを共有する前に消してください
時刻はUTCで表示されます
非常に長い.emlファイルも大丈夫です。読み込まれるのは最初の1 MBだけです