Analyse van e-mailheaders
Plak de ruwe headers van een verdachte e-mail. De analyse laat zien wie het bericht echt heeft verstuurd, of de afzender de authenticatie heeft doorstaan en hoe het bericht bij u terecht is gekomen.
De headers worden in uw browser verwerkt en nergens naartoe gestuurd.
Zo werkt het
De analyse leest het headerblok zoals een mailserver dat doet: gevouwen regels worden samengevoegd, gecodeerde onderwerpen en namen worden gedecodeerd, en de Received-headers worden weergegeven als afleverroute, met de vertraging bij elke stap.
Voor de authenticatie vertrouwt de analyse alleen de bovenste Authentication-Results-header, die uw eigen e-mailprovider heeft toegevoegd. Ze toont de resultaten van SPF, DKIM en DMARC, controleert of de DKIM-handtekening en het bounce-adres bij het From-domein horen, en zoekt naar veelgebruikte trucs om zich als een ander voor te doen: een ander adres verstopt in de weergavenaam, een bekende merknaam in de naam, antwoorden die naar een ander domein worden omgeleid, en ontbrekende of vreemde datums.
Het resultaat lezen
DMARC is de controle die het From-adres beschermt dat u ziet. Slaagt DMARC, dan heeft de eigen SPF- of DKIM-configuratie van de domeineigenaar het adres bevestigd; mislukt DMARC, dan is het adres zeer waarschijnlijk vervalst. SPF en DKIM afzonderlijk kunnen slagen voor elk domein dat de afzender beheert.
Alles onder de regels van uw eigen provider kan door de afzender zijn geschreven. Behandel eerdere stappen daarom als beweringen, niet als feiten.
Vragen
Waar vind ik de ruwe headers?
Gmail: open het bericht, kies Meer (⋮) en Origineel weergeven. Outlook op het web: Meer acties, Weergeven, Berichtbron weergeven. Outlook voor Windows: Bestand, Eigenschappen, Internetkopteksten. Apple Mail: Weergave, Bericht, Alle headers. Thunderbird: Beeld, Berichtbron.
Worden mijn headers ergens naartoe gestuurd?
Nee. De headers worden in uw browser verwerkt en er wordt niets geüpload. Headers bevatten uw e-mailadres en netwerkgegevens, dus denk goed na voordat u ze in onlinediensten plakt.
Hoe kan een phishingmail slagen voor SPF en DKIM?
SPF en DKIM bevestigen het domein dat het bericht heeft verstuurd of ondertekend, en dat kan het eigen domein van de aanvaller zijn. Alleen DMARC koppelt die resultaten aan het From-adres dat u ziet.
Wat moet ik doen als het resultaat op vervalsing wijst?
Klik niet op links, open geen bijlagen en antwoord niet. Meld het bericht als phishing in uw e-mailprogramma en waarschuw uw IT- of securityteam.
Meer nodig dan een tool kan laten zien?
Een tool controleert één ding. Onze consultants kijken naar het geheel.
IncidentresponsGerelateerde artikelen
-
Zo herkent u een phishinglink voordat u klikt
Lees een URL zoals een aanvaller hem bouwt: registreerbare domeinen, lookalike- en punycodedomeinen, de @-truc, open redirects, verkorters en nieuwe TLD’s.
-
SPF, DKIM en DMARC uitgelegd: veilig op weg naar p=reject
Hoe SPF, DKIM en DMARC voorkomen dat anderen e-mail versturen uit naam van uw domein, hoe u veilig naar p=reject gaat, en welke fouten e-mail breken.