Analisi intestazioni email: SPF, DKIM, DMARC

Come funziona

Lo strumento legge il blocco delle intestazioni come fa un server di posta: unisce le righe spezzate, decodifica oggetti e nomi codificati ed elenca le intestazioni Received come percorso di consegna, con il ritardo a ogni passaggio.

Per l’autenticazione considera affidabile solo l’intestazione Authentication-Results più in alto, quella aggiunta dal suo provider di posta. Riporta gli esiti SPF, DKIM e DMARC, verifica se la firma DKIM e l’indirizzo per i rimbalzi appartengono al dominio From e cerca i trucchi di impersonificazione più comuni: un indirizzo diverso nascosto nel nome visualizzato, il nome di un marchio noto, risposte dirottate verso un altro dominio, date mancanti o anomale.

Come leggere il risultato

DMARC è il controllo che protegge l’indirizzo From che lei vede. Un esito positivo significa che l’SPF o il DKIM del titolare del dominio lo ha confermato; un esito negativo significa che l’indirizzo è molto probabilmente falsificato. SPF e DKIM, da soli, possono essere superati per qualsiasi dominio controllato dal mittente.

Tutto ciò che si trova sotto le righe aggiunte dal suo provider può essere scritto dal mittente: consideri i passaggi precedenti come dichiarazioni, non come fatti.

Domande frequenti

Dove trovo le intestazioni complete?

Gmail: apra il messaggio, scelga Altro (⋮) e Mostra originale. Outlook sul web: Altre azioni, Visualizza, Visualizza origine messaggio. Outlook per Windows: File, Proprietà, Intestazioni Internet. Apple Mail: Vista, Messaggio, Tutte le intestazioni. Thunderbird: Visualizza, Sorgente messaggio.

Le mie intestazioni vengono inviate da qualche parte?

No. Le intestazioni vengono analizzate nel suo browser e nulla viene caricato. Contengono il suo indirizzo email e dettagli di rete, quindi ci pensi bene prima di incollarle in servizi online.

Perché un’email di phishing può superare SPF e DKIM?

SPF e DKIM confermano il dominio che ha inviato o firmato il messaggio, che può essere il dominio dell’attaccante. Solo DMARC collega questi esiti all’indirizzo From che lei vede.

Cosa devo fare se il risultato mostra segni di falsificazione?

Non faccia clic sui link, non apra gli allegati e non risponda. Segnali il messaggio come phishing nel suo programma di posta e informi il team IT o di sicurezza.