メールヘッダー解析

Gmail ではメールを開き、右上のその他メニューから「メッセージのソースを表示」を選びます。Outlook on the web は同じくその他メニューの「メッセージ ソースの表示」、デスクトップ版は「ファイル」から「プロパティ」を開き「インターネット ヘッダー」の欄です。Apple Mail は「表示」「メッセージ」から「すべてのヘッダ」を有効にします。全体をコピーして貼り付ければ十分で、メール全体でも構いません。最初の空行より後は無視されます。

分かります。メールを扱った各サーバーは、受け取った時刻を記した Received ヘッダーを先頭に追加するため、一覧は逆順になっています。並べ直すと実際の順序になり、隣り合う時刻の差が、次のサーバーに受け取られるまで待っていた時間です。1 分を超えるホップがあれば、遅延はそこです。ただし時計を先に確認してください。1 台でも時刻がずれていると前後の値は無意味になるため、直前より古い時刻のホップは負の数を出さず、時計のずれとして報告します。

送信者が書く部分は偽装できます。From、Reply-To、Date に加え、経路を長く見せるために捏造した Received も含まれます。送信者の管理を離れた後に追加されたヘッダーにも、信頼の境界内でしか証拠価値はありません。最上部の通常の Authentication-Results から見て、その authserv-id が信頼できるメールシステムのものかを確認してください。下の記録はより早い時点の主張であって独立した証拠ではなく、起点が悪意あるサーバーなら記録も信用できません。

受信サーバーが SPF・DKIM・DMARC を実行して出した結論が記録されています。spf=pass は送信サーバーがエンベロープドメインの送信を許可されていたこと、dkim=pass は署名が検証でき署名対象が改変なく届いたこと、dmarc=pass はそのいずれかが受信者の見る From と一致するドメインについて通過したことを意味します。最後の一つが、認証と名乗られた差出人を結び付ける部分です。本ツールは各判定に実際の意味を添えて表示し、検査をやり直すのではなく受信側の結論を伝えます。

DMARC はアライメントも要求するからです。SPF が見るのは Return-Path のエンベロープ送信者で、配信サービス経由の場合それは相手のドメインの返送先であることがほとんどです。結果としてサービス側のドメインでは SPF が通る一方、From には自社ドメインが表示され、両者が揃わないため DMARC は失敗します。自社ドメインでの DKIM 署名の方が堅実なのは、DKIM のアライメントが転送を越えて残るのに対し SPF は残らないためです。

本文の長さを指定するタグで、署名は先頭の l バイトだけを対象にします。それより後に追記された内容は以前と変わらず検証を通るため、署名済みのメールに第三者が内容を足せることになります。もともとはメーリングリストが末尾に付ける署名文に耐えるための仕組みですが、本ツールがこれを指摘するのはそのためです。本文のどこまでを保証しているか分からない署名は、全体を覆う署名より弱いといえます。

RFC 2047 のエンコードです。ヘッダー項目は ASCII しか許されないため、それ以外の文字は base64 か quoted-printable で符号化し、文字コード名を前置します。メールソフトは表示前に復号するので、符号化された形が見えるのはログや問い合わせ票、コピーしたヘッダーの中だけです。本ツールはこれを復号し、旧システムがいまも使う Shift_JIS・GB2312・Big5・ISO-8859 系にも対応します。

分かる場合もあります。最下部の Received には最初の受信サーバーが見たアドレスが記録され、メールソフトから送られたメールならそれは送信者のネットワークであることが多いです。ただしウェブメールから送られた場合そのアドレスは事業者のものですし、自前のサーバーを持つ送信者はより早い段階の Received を好きに書けます。証拠になるのは信頼できるサーバーが追加したホップだけで、そこに記録されたアドレスもプライベート範囲であることが多く、そのネットワークの外では何も特定できません。

しません。解析はブラウザー内で行われ、内容がどこかへ送られることはありません。ヘッダーには受信者のアドレス、内部ホスト名、キュー ID、プライベートアドレスが日常的に含まれるため、この点は多くのツール以上に重要です。共有のチケットに結果を載せる場合のために、コピーやダウンロード時にアカウント名とアドレスの末尾を伏字にする切り替えも用意しています。

転送は認証を壊します。転送元は元ドメインの許可一覧にないため SPF が失敗し、メーリングリストは件名の書き換えや署名文の追加で DKIM も壊しがちです。ARC は、中継がそうした変更を加える前に見た結果を記録して封をする仕組みで、最終的な受信側がそれを信用するかどうかを判断できます。ARC セットが複数あるのは、そうした中継を複数経由したという意味に過ぎず、メーリングリスト経由のメールでは通常の姿です。

アドレスの前に表示される名前の中に別のメールアドレスが含まれており、それが実際の差出人ではないという意味です。多くのメールソフトは表示名しか見せないため、まったく無関係のメールボックスから送られたメールが銀行からのものに見えます。基盤を乗っ取る必要のない最も安価な偽装で、生の From ヘッダーを見ない限り気付けません。

同じ問題の両端を見ています。チェックの方はドメインが DNS に公開している内容、つまり SPF のチェーン、DMARC のポリシー、DKIM の鍵を読み、設定の良し悪しを判断します。本ツールは配送済みのメール 1 通を読み、実際に何が起きたかを報告します。ドメインを設定するときは前者、特定のメールで問題が起きたときは後者です。署名カードにはリンクがあり、ここで見つけた署名ドメインをそのまま向こうで確認できます。