邮件头分析器

关于邮件头分析器

每封电子邮件都带有一组隐藏的行，称为邮件头。它们会告诉你谁发了这封邮件、经过了哪些服务器、每台服务器何时收到，以及发件人是否通过了安全检查。

大多数邮件程序会隐藏它们。粘贴邮件头，或打开 .eml 文件，你就会得到一个清晰的页面：摘要、SPF、DKIM 和 DMARC 结果、每一步带延迟的路径，以及发件人的 IP 地址。

功能

• 摘要 — 发件人、收件人、主题、日期、Message-ID、Return-Path 和 Reply-To，域名不一致时会给出警告
• SPF、DKIM、DMARC — 每项都有通过、失败或中立的标记，并附上服务器写下的原因
• 路径 — 每一行 Received，按邮件经过的顺序排列，带时间和延迟条
• 延迟 — 会处理时区，缓慢或时间倒退的步骤会被标出
• 发件人 IP — 路径中的第一个公网 IP；内网地址会被跳过
• 解码文本 — 写成 =?UTF-8?B?…?= 或 =?UTF-8?Q?…?= 的姓名和主题会显示为正常文字
• X 头 — X-Mailer、X-Spam、List-Unsubscribe 等集中在一个表格中
• 复制或下载 — 把报告带走

使用方法

• 获取邮件的邮件头（见下面的步骤）
• 粘贴到框中，或点击打开 .eml 文件
• 阅读摘要，查看警告框
• 查看 SPF、DKIM 和 DMARC 标记
• 从第一台服务器一路看到最后一台，跟随邮件路径
• 点击复制报告保存结果

如何获取邮件头

你可以粘贴整封邮件。工具读到第一个空行就会停止，那里是正文开始的地方。

如何阅读路径

每台处理邮件的服务器，都会在最上面添加一行 Received。所以原始邮件头是最新的在前。这个工具把顺序倒过来：第 1 步是邮件的起点，最后一步是你自己的服务器。

每一步你都能看到哪台服务器发出（来自）、哪台服务器接收（接收）、协议（协议）、IP 和时间。延迟是这一步与上一步之间的时间差。

• 几秒钟是正常的
• 超过一分钟会被标为缓慢。原因可能是服务器繁忙、病毒扫描或灰名单
• 延迟为负，表示两台服务器的时钟不同。这并不表示邮件回到了过去

SPF、DKIM 和 DMARC 是什么意思

结果由你的邮件服务器写在 Authentication-Results 头中。这个工具只是把它显示出来，不会重新运行检查，因为那需要实时查询 DNS 记录。pass 是好迹象。fail 是需要小心的理由，但单独一项并不能证明什么。

常见问题

如何追踪一封邮件来自哪里？

查看发件人 IP 框和路径。路径中的第一个公网 IP 是邮件起点的最佳线索。它通常是发件人邮件服务商的 IP，而不是本人的 IP。

能找到发件人的真实位置吗？

很少能。大多数邮件通过 Gmail 这样的服务商或公司服务器发出，所以 IP 显示的是该服务商。有些网页邮箱还会添加 X-Originating-IP 头，但它可能有误。

SPF 失败但邮件看起来是真的，怎么办？

通过转发服务或邮件列表发送的邮件，常常会让 SPF 失败。如果 DKIM 仍然通过，邮件通常没问题。也请看一下 DMARC 这一行。

为什么发件人（From）域名与 Return-Path 不同？

群发邮件和网店工具会用它们自己的 Return-Path 替你发邮件。这是正常的。但伪造的邮件也长这样。请确认 DKIM 对发件人（From）域名是通过的。

邮件头可以伪造吗？

可以。发件人可以在自己添加的行里写任何文字。只有你信任的服务器添加的、靠近顶部的行才可靠。

这个工具会把我的邮件头发送到别处吗？

不会。所有内容都在你的浏览器中读取。没有查询，也没有上传。

小贴士

• 这不是垃圾邮件或诈骗的判定。用它来了解发生了什么，然后自己决定
• 邮件头可能包含 IP 地址和姓名等隐私数据。分享报告前请先删除
• 时间以 UTC 显示
• 很长的 .eml 文件也可以；只读取前 1 MB

相关工具

• 提取邮箱和网址 — 从任何文本中提取地址和链接
• 我的 IP 是什么 — 查看你自己的 IP 地址
• 文本对比 — 比较两组邮件头
• 时间戳转换器 — 把日期转成 Unix 时间，或反过来
• Base64 编码与解码 — 手动解码 Base64 部分