邮件头分析器

Gmail 里打开邮件，点右上角三个点，选「显示原始邮件」。Outlook 网页版在三个点菜单里选「查看邮件源」；桌面版依次是「文件」「属性」，看「Internet 邮件头」那一栏。Apple Mail 在「显示」「邮件」里开启「全部标题」。把整段复制过来即可，整封原始邮件也行，第一个空行之后的内容会被忽略。

每台经手的服务器都会把 Received 头加在最前面，并记下自己收到邮件的时间，所以这份清单是倒着的。倒过来才是真实顺序，相邻两个时间戳之间的间隔，就是邮件等待被下一台服务器接收的时长。某一跳超过一分钟，延迟就在那里。不过要先看时钟：如果某台服务器时间设错了，它前后的耗时都没有意义——所以一旦某跳的时间早于上一跳，工具会直接报成时钟不同步，而不是给出一个负数。

发件方自己写的字段都可以伪造，包括 From、Reply-To、Date，以及为了把路径显得更长而编造的 Received 头。邮件离开发件方控制后新增的头也只有在信任边界内才有证据价值：先看最上面的普通 Authentication-Results，再核对它的 authserv-id 是否属于你信任的邮件系统。更早的记录只是更早的断言，不是独立证据；如果链路起点就是恶意服务器，记录也可能不可信。

它记录了接收服务器跑完 SPF、DKIM、DMARC 之后的结论。spf=pass 表示发送服务器获得了信封域名的授权；dkim=pass 表示某条签名验证通过，被签名的部分原样抵达；dmarc=pass 表示上述之一为一个与收件人所见 From 一致的域名通过了验证——正是这一步把认证和它声称的身份绑在一起。本工具会把每个结论连同它的实际含义一起展示，转述接收方的判断，而不是重新验证一遍。

因为 DMARC 还要求对齐。SPF 校验的是 Return-Path 里的信封发件人，而经第三方服务发信时，那通常是对方自有域名下的一个退信地址。于是 SPF 为服务商通过了，From 显示的却是你的域名，两者对不上，DMARC 照样失败。用自有域名做 DKIM 签名是更稳妥的一半，因为 DKIM 的对齐能挺过转发，SPF 不能。

它给正文规定了一个长度，签名只覆盖开头的 l 个字节。之后追加的内容照样验签通过，也就是说别人可以往一封已签名的邮件里续写内容。这个标签的初衷是让签名扛得住邮件列表在末尾追加的页脚，而这也正是工具要标出它的原因：一条只覆盖了正文中不确定比例的签名，说服力弱于覆盖全文的签名。

那是 RFC 2047 编码。邮件头字段只允许 ASCII，其他文字要用 base64 或 quoted-printable 编码，并在前面写明字符集。客户端会在显示前解码，所以编码形式只会出现在日志、工单或复制出来的邮件头里。本工具会把它还原，也支持老系统仍在使用的旧字符集：Shift_JIS、GB2312、Big5 以及 ISO-8859 系列。

有时候可以。最下面那条 Received 记录了第一台接收服务器看到的地址，如果邮件是从邮件客户端发出的，那往往就是发件方所在的网络。但如果邮件来自网页版邮箱，这个地址属于服务商；而自建服务器的发件方可以随意编造更早的 Received 头。只有你信任的服务器所添加的那几跳才算证据，而其中的地址又常常是私有地址段，出了那个网络就什么也标识不了。

不会。解析全部在浏览器里完成，任何内容都不会发出去。这一点在这里比在多数工具上都更要紧，因为一段邮件头里通常有收件人地址、内网主机名、队列 ID 和私有地址段。工具另外提供脱敏开关，复制或下载时会隐去邮箱名和地址末段，方便把结果放进共用工单。

转发会破坏认证：转发方不在原域名的授权列表里，SPF 就会失败；邮件列表还常常改写主题或追加页脚，把 DKIM 也一起破坏掉。ARC 让中转方把「改动之前我看到的结果」记下来并封存，最终接收方可以自行决定是否采信。出现多个 ARC 组，只是说明邮件经过了多个这样的中转方——凡是从邮件列表过来的邮件，本来就是这个样子。

意思是地址前面那个名字本身包含了一个邮箱地址，而它并不是邮件的真实发件地址。由于大多数客户端只显示这个名字，一封邮件可以看起来来自某家银行，实际却发自一个毫不相干的邮箱。这是成本最低的一种伪造，不需要攻破任何基础设施，而且不去看原始 From 头就发现不了。

两者站在同一个问题的两端。检测工具读的是域名在 DNS 里发布了什么——SPF 链、DMARC 策略、DKIM 密钥，评判的是配置。本工具读的是一封已经送达的邮件，还原它实际经历了什么。配置域名时用前者，某封邮件出了问题时用后者。签名卡片上有跳转，在这里发现的签名域名，可以一键拿去那边核对。