Plak hierboven headers, of laad het voorbeeld.
Privé: alles wordt in je browser gelezen. Er wordt niets verstuurd of opgezocht. Geen spamoordeel: de controles tonen wat de servers hebben genoteerd, en headers kunnen vervalst zijn.
Over de e-mailheader-analyzer
Elke e-mail bevat een blok verborgen regels, de headers. Ze vertellen wie de mail verstuurde, welke servers hem doorgaven, wanneer elke server hem kreeg en of de afzender de veiligheidscontroles doorstond.
De meeste mailprogramma's verbergen ze. Plak de headers, of open een .eml-bestand, en je krijgt een duidelijke pagina: een samenvatting, de SPF-, DKIM- en DMARC-uitslag, de route met de vertraging bij elke stap en het IP-adres van de afzender.
Functies
- Samenvatting — Van, Aan, Onderwerp, Datum, Message-ID, Return-Path en Reply-To, met een waarschuwing als de domeinen niet overeenkomen
- SPF, DKIM, DMARC — een pass-, fail- of neutral-badge voor elk, met de reden die de server schreef
- Route — elke Received-regel, in de volgorde waarin de mail reisde, met de tijd en een vertragingsbalk
- Vertragingen — tijdzones worden verwerkt, en trage of achterwaartse stappen worden gemarkeerd
- IP van de afzender — het eerste openbare IP in de route; privéadressen worden overgeslagen
- Gedecodeerde tekst — namen en onderwerpen als =?UTF-8?B?…?= of =?UTF-8?Q?…?= worden als gewone tekst getoond
- X-headers — X-Mailer, X-Spam, List-Unsubscribe en meer in één tabel
- Kopiëren of downloaden — neem het rapport mee
Zo gebruik je het
- Haal de headers van de mail op (zie de stappen hieronder)
- Plak ze in het vak, of druk op .eml-bestand openen
- Lees de samenvatting en bekijk de waarschuwingsvakken
- Kijk naar de SPF-, DKIM- en DMARC-badges
- Volg de route van de eerste server naar beneden tot de laatste
- Druk op Rapport kopiëren om de uitslag te bewaren
Zo haal je de headers op
| Programma | Stappen |
|---|---|
| Gmail | Open de mail. Klik op de drie puntjes. Kies Origineel weergeven en dan Kopiëren naar klembord. |
| Outlook (Windows) | Dubbelklik op de mail. Kies Bestand en dan Eigenschappen. Kopieer het vak Internetheaders. |
| Outlook (web) | Open de mail. Klik op de drie puntjes. Kies Weergave en dan Berichtdetails weergeven. |
| Apple Mail | Open de mail. Kies Weergave, dan Bericht, dan Alle headers. Of kies Onbewerkte bron. |
| Thunderbird | Open de mail. Druk op Ctrl+U (Cmd+U op een Mac) om de bron te zien. |
Je kunt het hele bericht plakken. De tool stopt met lezen bij de eerste lege regel, waar de berichttekst begint.
Zo lees je de route
Elke server die de mail behandelt, voegt één Received-regel bovenaan toe. De ruwe headers lezen dus van nieuw naar oud. Deze tool draait ze om: stap 1 is waar de mail begon en de laatste stap is je eigen server.
Bij elke stap zie je welke server hem verstuurde (van), welke server hem aannam (door), het protocol (met), het IP en de tijd. De vertraging is de tijd tussen een stap en de stap ervoor.
- Een paar seconden is normaal
- Meer dan een minuut wordt als traag gemarkeerd. Mogelijke redenen: een drukke server, een viruscontrole of greylisting
- Een negatieve vertraging betekent dat twee servers een andere klokstand hebben. Het betekent niet dat de mail terug in de tijd ging
Wat SPF, DKIM en DMARC betekenen
| Controle | Wat het vraagt |
|---|---|
| SPF | Mag deze server mail versturen voor het Return-Path-domein? |
| DKIM | Klopt de handtekening, zodat het bericht onderweg niet is veranderd? |
| DMARC | Komt SPF of DKIM overeen met het From-domein? |
De uitslag wordt geschreven door jouw mailserver, in de Authentication-Results-header. Deze tool toont hem. Hij voert de controles niet opnieuw uit, want daarvoor moeten DNS-records live worden opgezocht. Een pass is een goed teken. Een fail is een reden om voorzichtig te zijn, maar op zichzelf is het geen bewijs van iets.
Veelgestelde vragen
Hoe achterhaal ik waar een e-mail vandaan kwam?
Kijk naar het vak met het IP van de afzender en naar de route. Het eerste openbare IP in de route is de beste aanwijzing voor waar de mail begon. Vaak is dat het IP van de mailprovider van de afzender, niet van de persoon.
Kan ik de echte locatie van de afzender vinden?
Zelden. De meeste mail gaat via een provider zoals Gmail of een bedrijfsserver, dus het IP toont die provider. Sommige webmaildiensten voegen ook een X-Originating-IP-header toe, maar die kan onjuist zijn.
Wat als SPF faalt maar de mail er echt uitziet?
Mail die via een doorstuurdienst of een mailinglijst gaat, breekt vaak SPF. Slaagt DKIM nog wel, dan is de mail meestal in orde. Kijk ook naar de DMARC-regel.
Waarom verschilt het From-domein van het Return-Path?
Nieuwsbrief- en webshoptools versturen mail voor je met hun eigen Return-Path. Dat is normaal. Maar vervalste mail ziet er ook zo uit. Controleer of DKIM slaagt voor het From-domein.
Kunnen headers vervalst worden?
Ja. Een afzender kan elke tekst schrijven in de regels die de afzender zelf toevoegt. Alleen de regels die zijn toegevoegd door servers die je vertrouwt, dicht bij de bovenkant, zijn betrouwbaar.
Stuurt deze tool mijn headers ergens naartoe?
Nee. Alles wordt in je browser gelezen. Er is geen opzoeking en geen upload.
Goed om te weten
- Dit is geen oordeel over spam of oplichting. Gebruik het om te leren wat er gebeurde, en besluit dan
- Headers kunnen privégegevens bevatten zoals IP-adressen en namen. Verwijder ze voordat je een rapport deelt
- Tijden worden in UTC getoond
- Zeer lange .eml-bestanden zijn prima; alleen de eerste 1 MB wordt gelezen
Verwante tools
- E-mails en URL's uitpakken — haal adressen en links uit elke tekst
- Wat is mijn IP — bekijk je eigen IP-adres
- Tekstvergelijker — vergelijk twee sets headers
- Timestamp-converter — zet een datum om in Unix-tijd en terug
- Base64 coderen en decoderen — decodeer een Base64-deel met de hand
