Ανάγνωση κεφαλίδων: από πού ήρθε αυτό το mail;

Ενότητα 1: Πώς λειτουργεί το email · Χρόνος ανάγνωσης: 11 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να ανοίγετε τις κεφαλίδες ενός mail, να διαβάζετε τις γραμμές Received με τη σωστή σειρά και να εξάγετε από το Authentication-Results αν το SPF, το DKIM και το DMARC ήταν σωστά.

Βασικές έννοιες: κεφαλίδες (headers), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, κεφαλίδες X, πηγαίο ή αρχικό μήνυμα

Αυτό που συνήθως δεν βλέπετε

Το πρόγραμμα email σας δείχνει για ένα mail μερικές γραμμές: αποστολέα, θέμα, ημερομηνία, παραλήπτες. Στην πραγματικότητα, κάθε mail έχει δεκάδες κεφαλίδες (headers) στην αρχή, πριν από το κείμενο. Προστίθενται από το πρόγραμμα του αποστολέα και από κάθε server που αγγίζει το mail στη διαδρομή του. Μαζί αποτελούν το ημερολόγιο του ταξιδιού του mail.

Όποιος μπορεί να διαβάσει κεφαλίδες, μπορεί να απαντήσει μόνος του σε πολλές ερωτήσεις: είναι αυτό το mail πράγματι από την τράπεζά μου; Γιατί έφτασε μετά από δύο ώρες; Γιατί βρίσκεται στο spam; Είναι σωστό το δικό μου DKIM; Πολλές ασκήσεις σε αυτό το μάθημα σάς ζητούν να εξετάσετε κεφαλίδες. Σε αυτό το μάθημα θα μάθετε πώς.

Άνοιγμα κεφαλίδων

Κάθε πρόγραμμα έχει διαφορετικό κουμπί για αυτό:

Σε κινητό τηλέφωνο συνήθως δεν γίνεται. Στείλτε τότε το mail στον εαυτό σας ως συνημμένο, ή ανοίξτε το στο webmail.

Ένα παράδειγμα

Ο Γιάννης λαμβάνει ένα mail από την Άννα. Έτσι φαίνονται οι σημαντικότερες κεφαλίδες (συντομευμένες):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Γραμμές Received: από κάτω προς τα πάνω

Κάθε server που προωθεί το mail, βάζει μια γραμμή Received: στην κορυφή. Η παλαιότερη βρίσκεται λοιπόν στο κάτω μέρος, η νεότερη στην κορυφή. Διαβάστε τις από κάτω προς τα πάνω για να παρακολουθήσετε το ταξίδι:

1. Κάτω γραμμή: το laptop της Άννας (IP 198.51.100.77, η σύνδεσή της στο σπίτι) παραδίδει στο out.hosting.example, με ESMTPSA (το A σημαίνει authenticated: συνδέθηκε) και TLS 1.3. Στις 10:15:04.
2. Μεσαία γραμμή: το out.hosting.example (192.0.2.25) παραδίδει στο mx1.mailprovider.example, το MX του example.net. Στις 10:15:07.
3. Πάνω γραμμή: ο mail server τοποθετεί το mail εσωτερικά στο mailbox του Γιάννη (LMTP). Στις 10:15:09.

Μια γραμμή Received έχει πάντα τη μορφή from <ποιος το πρόσφερε> by <ποιος το δέχτηκε> with <πρωτόκολλο>; <ώρα>. Μέσα σε παρένθεση μετά το from βρίσκεται αυτό που είδε ο ίδιος ο server που το δέχτηκε: το πραγματικό όνομα (PTR) και η πραγματική διεύθυνση IP. Αυτό το μέρος είναι αξιόπιστο στον βαθμό που εμπιστεύεστε αυτόν τον server. Αυτό που δήλωσε ο ίδιος ο αποστολέας (helo=) δεν μπορεί να ελεγχθεί.

Δύο πρακτικά κόλπα:

• Αναζήτηση καθυστέρησης: συγκρίνετε τις ώρες. Αν ανάμεσα σε δύο γραμμές υπάρχουν δύο ώρες διαφορά, τότε το mail παρέμεινε τόσο καιρό σε ουρά αναμονής. Προσέξτε τις ζώνες ώρας (+0100, +0000).
• Εύρεση του πραγματικού server αποστολής: αναζητήστε την ανώτερη γραμμή Received που γράφτηκε από έναν server του ίδιου του παραλήπτη, και δείτε τι βρίσκεται εκεί μετά το from. Οτιδήποτε βρίσκεται από κάτω το έγραψε η πλευρά αποστολής και θα μπορούσε θεωρητικά να είναι επινοημένο. Στο παράδειγμα, το 192.0.2.25 είναι ο server που παρέδωσε στον παραλήπτη· σε αυτόν αξιολογούνται το SPF και η φήμη.

Οι διευθύνσεις

Ένα γνωστό κόλπο απατεώνων: ένα From που μοιάζει με την τράπεζά σας, με Reply-To προς μια εντελώς διαφορετική διεύθυνση. Σε περίπτωση αμφιβολίας, κοιτάξτε πάντα το domain στο From και στο Return-Path, καθώς και το Authentication-Results.

Authentication-Results: η κρίση του παραλήπτη

Ο server παραλήπτης τοποθετεί στο Authentication-Results (RFC 8601) τα αποτελέσματα των ελέγχων του:

• spf=pass smtp.mailfrom=example.com: η IP του server που παρέδωσε βρίσκεται στο SPF record του domain που αναφέρεται στο Return-Path.
• dkim=pass header.d=example.com header.s=x: η υπογραφή DKIM του domain example.com, με κλειδί (selector) x, είναι σωστή.
• dmarc=pass header.from=example.com: το domain στο From είναι ευθυγραμμισμένο με επιτυχημένο SPF ή DKIM, άρα το DMARC πέτυχε.

Άλλα αποτελέσματα που μπορεί να δείτε: fail (δεν ισχύει), softfail (το SPF τελειώνει σε ~all και η IP δεν περιλαμβάνεται), neutral, none (δεν υπάρχει record), temperror (προσωρινό σφάλμα DNS) και permerror (κατεστραμμένο record, για παράδειγμα δύο SPF records). Τι σημαίνουν ακριβώς και πώς τα διορθώνετε θα το δείτε στην ενότητα 4.

Προσοχή: εμπιστευτείτε μόνο το Authentication-Results του ίδιου του server του παραλήπτη (το όνομα στην αρχή, εδώ mx1.mailprovider.example). Ένα πλαστογραφημένο mail μπορεί να στείλει μαζί του ένα δικό του, επινοημένο Authentication-Results. Οι καλοί servers το αφαιρούν, αλλά όχι όλοι.

DKIM-Signature: η υπογραφή

Η κεφαλίδα DKIM-Signature είναι η ίδια η υπογραφή. Δύο πεδία χρειάζεστε συχνά:

• d= το domain που υπογράφει (εδώ example.com)·
• s= ο selector, το όνομα του κλειδιού (εδώ x).

Με αυτά βρίσκετε το δημόσιο κλειδί στο DNS: x._domainkey.example.com. Σε ασκήσεις και σε προβλήματα, συχνά θα χρειαστεί να αναζητήσετε ακριβώς αυτές τις δύο τιμές. Ένα mail μπορεί να έχει πολλαπλές υπογραφές DKIM, για παράδειγμα μία από το δικό σας domain και μία από την υπηρεσία αποστολής. Στο μάθημα 4.3 θα εξετάσουμε αυτό πιο αναλυτικά.

Μερικές φορές βλέπετε επίσης ARC-Seal, ARC-Message-Signature και ARC-Authentication-Results. Το ARC (RFC 8617) είναι ένας τρόπος με τον οποίο ενδιάμεσοι σταθμοί, όπως μια λίστα αλληλογραφίας ή ένας server ανακατεύθυνσης, καταγράφουν ποιοι ήταν οι έλεγχοι πριν αλλάξουν το mail. Δεν χρειάζεται να μπορείτε να τα διαβάσετε αυτή τη στιγμή.

Κεφαλίδες X

Κεφαλίδες που αρχίζουν με X- δεν είναι τυποποιημένες. Τα φίλτρα spam βάζουν εκεί τη βαθμολογία τους, όπως X-Spam-Status: No, score=1.2 ή X-Spam-Flag: YES. Αυτό βοηθά να καταλάβετε γιατί κάτι κατέληξε στο spam. Διαφέρουν ανάλογα με τον πάροχο.

Σύνοψη

• Οι κεφαλίδες είναι το ημερολόγιο ταξιδιού ενός mail. Ανοίξτε τις με "εμφάνιση αρχικού", "πηγή μηνύματος" ή κάτι ανάλογο.
• Διαβάστε τις γραμμές Received από κάτω προς τα πάνω. Η γραμμή που έγραψε ο server του παραλήπτη, δείχνει ποια IP παρέδωσε.
• Το Return-Path είναι ο αποστολέας φακέλου (SPF), το From ο ορατός αποστολέας (DMARC), το Reply-To το πού πηγαίνουν οι απαντήσεις.
• Το Authentication-Results δίνει την κρίση για SPF, DKIM και DMARC· εμπιστευτείτε μόνο εκείνο του server παραλήπτη.
• Στο DKIM-Signature βρίσκονται το d= (domain) και το s= (selector)· μαζί δείχνουν πού βρίσκεται το κλειδί: s._domainkey.d.

Κουίζ

Άσκηση

Άσκηση Z1.5: Ανάλυση κεφαλίδων. Στείλτε στον εαυτό σας ένα mail από μια άλλη διεύθυνση (για παράδειγμα από τη διεύθυνση εργασίας σας προς την προσωπική σας, ή το αντίστροφο), ανοίξτε τις κεφαλίδες και επικολλήστε τις στη φόρμα. Αν δεν έχετε δεύτερη διεύθυνση, χρησιμοποιήστε το παράδειγμα αρχείου kopregels-1.txt που συνοδεύει την άσκηση. Στη συνέχεια συμπληρώστε εσείς: τη διεύθυνση IP του server που παρέδωσε στον παραλήπτη, το domain στο Return-Path, το domain και τον selector της υπογραφής DKIM, και το αποτέλεσμα του SPF, DKIM και DMARC. Το πρόγραμμα αναλύει τις ίδιες κεφαλίδες, αναζητά ζωντανά το κλειδί DKIM και τοποθετεί το αποτέλεσμά του δίπλα στο δικό σας. Οι κεφαλίδες σας δεν αποθηκεύονται.

Περαιτέρω ανάγνωση

Τα βήματα σε αυτά τα άρθρα ισχύουν για τους πίνακες ελέγχου του WebOké· σε άλλους παρόχους η διαδικασία είναι ανάλογη.

• Έλεγχος παράδοσης email με το Email Tracking στο DirectAdmin
• Εγχειρίδιο DirectAdmin 9.3: E-mail Tracking: πού πήγε το μήνυμά μου;
• Είναι αυτό το email πραγματικά από τη WebOké; Αναγνώριση phishing και χρήση του κωδικού προσφοράς
• Δωρεάν μάθημα DNS 4.4: DKIM: η υπογραφή κάτω από το email σας
• RFC 5322 (δομή ενός mail), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)
• Προβολή και ανάγνωση των κεφαλίδων (headers) ενός email