Modul 3 · 3.3
Feladó és fejlécek olvasása
Modul 3: Az adathalászat felismerése · Olvasási idő: 13 perc
Tanulási cél: E lecke után Ön képes lesz megítélni egy e-mail feladóját a megjelenített név, a From-cím, a Reply-To, a Return-Path, a Received-sorok, valamint a SPF, DKIM és DMARC eredménye alapján, amely az Authentication-Results mezőben található.
Kulcsfogalmak: megjelenített név, From, Reply-To, Return-Path, Received, Authentication-Results, SPF/DKIM/DMARC eredmény, igazodás (alignment)
Amit lát, és ami valójában ott áll
Egy levelezőprogram általában csak a feladó egy kis részét mutatja meg: egy nevet, néha egy címet. Emögött egy olyan technikai sorokból álló blokk húzódik, amelyet nem lát: ezek a fejlécek (headers). Ezekben áll, hogy a levél kinek adja ki magát, hová szeretné kapni a válaszokat, milyen szervereken keresztül érkezett, és mit ellenőrzött az Ön levelezőszervere.
Nem kell technikusnak lennie ahhoz, hogy ezeket el tudja olvasni. Hat dologra van szüksége:
| Fejléc | Mi ez | Ki tölti ki |
|---|---|---|
| Megjelenített név | A cím előtt álló név, például Mijnbank | A feladó, szabadon választható |
From | Az Ön által látott feladói cím | A feladó |
Reply-To | Hová megy a válasza, ha a Válasz gombra kattint | A feladó |
Return-Path | A technikai feladói cím a hibaüzenetekhez (boríték-feladó) | Az Ön levelezőszervere, a küldő által megadottak alapján |
Received | Egy sor minden szerverhez, amely továbbította a levelet | Minden szerver az útvonalon |
Authentication-Results | A SPF, DKIM és DMARC eredménye | Az Ön levelezőszervere |
Az első hármat a feladó azt írhatja be, amit csak akar. Csak az utolsó háromnál kerül sor valódi ellenőrzésre.
A megjelenített név semmit nem bizonyít
A megjelenített név egyszerű szöveg. Bárki használhatja névként, hogy „Mijnbank Ügyfélszolgálat”, vagy az Ön ügyvezetőjének a nevét. Sok levelezőprogram, különösen telefonon, csak ezt a nevet mutatja. Egy ismert trükk, hogy egy cím szerepel a név részeként:
From: "info@mijnbank.example" <noreply@aanvaller.example>Ön az info@mijnbank.example címet látja, de a valódi cím a szögletes zárójelek között áll. Mindig koppintson vagy kattintson a névre, hogy megjelenjen a teljes cím.
Maga a From-cím is meghamisítható: a levelezési protokoll szerint egy szerver bármilyen From-címet megadhat. Hogy ez sikerül-e úgy, hogy a levél ne kerüljön a levélszemét mappába, az attól függ, hogy a kiadott domain milyen SPF, DKIM és DMARC beállításokkal rendelkezik. Erről szól a lecke további része.
Reply-To: a válasz valaki máshoz megy
A Reply-To mezővel egy levél azt mondja: „ne nekem válaszoljon, hanem erre a címre”. Hírlevelek és webes űrlapok ezt rendszeresen használják. A csalók arra használják, hogy átvegyék a beszélgetést. A levél egy valódi vagy valóságosnak tűnő címről érkezik, de az Ön válasza, a kért adatokkal vagy a fizetés visszaigazolásával, a támadóhoz kerül.
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>Pénz vagy adatok kérésekor mindig figyeljen a válaszablakban megjelenő címre, mielőtt a Küldés gombra nyom.
Return-Path, Received és az útvonal
A Return-Path az a cím, ahová a hibaüzenetek mennek. Ezt boríték-feladónak is nevezik: ez a cím a boríték külsején áll, míg a From magán a levélen. Ezen a domainen ellenőriz a SPF. Hírlevelek és egy könyvelőprogramból érkező számlák esetén a Return-Path gyakran a küldő szolgáltatás domainje. Ez normális.
Minden szerver, amely továbbítja a levelet, egy Received-sort tesz a tetejére. Ezeket tehát alulról felfelé olvassa: a legalsó az útvonal kezdete, a legfelső az utolsó állomás (az Ön saját levelezőszervere). Figyeljen arra, hogy csak a legfelső sorokban bízhat meg, amelyeket az Ön saját szolgáltatója adott hozzá. Az alattuk lévő sorokat egy feladó kitalálhatja és beillesztheti.
Authentication-Results: az ellenőrzés eredménye
Az Ön saját levelezőszervere a beérkezéskor három dolgot ellenőriz (bővebb magyarázat a 4. modulban és a DNS-tanfolyamon):
- SPF: szabad-e ennek a szervernek levelet küldenie a Return-Path mezőben szereplő domain nevében?
- DKIM: egyezik-e a digitális aláírás, és melyik domaintől származik (
d=vagyheader.d=)? - DMARC: tartozik-e legalább az egyik sikeres ellenőrzés a From mezőben szereplő domainhez? Ezt nevezik igazodásnak (alignment). A „hozzá tartozik” azt jelenti: ugyanaz a regisztrálható domain (3.2 lecke). A
mail.mijnbank.exampleigazodik amijnbank.exampledomainhez (ugyanaz a regisztrálható domain).
Az eredmény az Authentication-Results mezőben áll. Csak abban a sorban bízzon meg, amelynek elején az Ön saját levelezőszerverének neve áll; egy feladó is küldhet magával ilyen sort.
| Eredmény | Jelentés |
|---|---|
pass | Az ellenőrzés sikeres volt |
fail | Az ellenőrzés nem sikerült: nem engedélyezett, vagy az aláírás nem egyezik |
softfail (SPF) | Valószínűleg nem engedélyezett, de a domain nem akarja keményen elutasítani (~all) |
none | Nem volt mit ellenőrizni: nincs rekord vagy nincs aláírás |
A legfontosabb tanulság: a dmarc=pass csak azt jelenti, hogy „ez a levél valóban a From mezőben szereplő domaintől származik”. Semmit nem mond arról, hogy megbízható-e az a domain. Egy támadó a saját hasonnevű (lookalike) domainjén mindent szépen beállíthat pass-ra.
A gyakorlatban: így néz ki
Három utánzott fejlécblokk, lerövidítve a lényeges sorokra. A címzett a Bakkerij Example; a saját levelezőszerver neve mx1.example.com.
1. példa: valódi.
Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mail.mijnbank.example;
dkim=pass header.d=mijnbank.example header.s=sel2026;
dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaarA From-domain a mijnbank.example, a DKIM-et a mijnbank.example írta alá, és a Return-Path is ehhez tartozik: mindkettő igazodik, a DMARC sikeres. A levél valóban ettől a domaintől származik. Az éves áttekintéshez mégis a saját könyvjelzőjén keresztül lépjen be a bankhoz.
2. példa: meghamisított feladó.
Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mailer.aanvaller.example;
dkim=none;
dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummerA SPF sikeres, de az aanvaller.example domainre, nem a From mezőben szereplő domainre. Nincs aláírás. A DMARC tehát sikertelen. Mivel a beszállító p=none beállítást használ, a levél mégis kézbesítve lett. p=reject esetén elutasították volna. Ehhez jön még a másik domainre mutató Reply-To is. Hamis.
3. példa: hasonnevű domain, minden pass.
Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mijnbank-veilig.example;
dkim=pass header.d=mijnbank-veilig.example header.s=k1;
dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Erősítse meg adatait az új bankkártyáhozMinden sikeres, mivel a támadó a saját domainjéhez mindent helyesen állított be. Azonban a mijnbank-veilig.example nem egyenlő a valódi bank mijnbank.example domainjével. Hamis.
A fejlécek saját megnyitása. A Roundcube alapú webmailben (mint a WebOkénál) nyissa meg az üzenetet, majd a Több menüben (a három pont) válassza a Forrás megtekintése opciót. Más programok ezt másként nevezik, például „Eredeti megjelenítése” vagy „Üzenetforrás”. Keresse meg a szövegben az Authentication-Results részt. Telefonon ez gyakran nem lehetséges; ilyenkor nézze meg a levelet webmailben, számítógépen.
Összefoglalás
- A megjelenített nevet, a From-ot és a Reply-To-t a feladó maga írja be. Válasz előtt mindig nézze meg a valódi címet és a Reply-To mezőt.
- A Return-Path a boríték-cím, amelyen a SPF ellenőriz. A Received-sorokat alulról felfelé olvassa; csak a saját szolgáltatójáétól bízzon meg.
- Az Authentication-Results megadja a SPF, DKIM és DMARC eredményét. A DMARC azt nézi, hogy a SPF vagy a DKIM igazodik-e a From-domainhez.
- A
dmarc=failegy ismert domainnél erős jele a hamisításnak. - A
dmarc=passcsak azt bizonyítja, hogy a levél a From-domaintől származik. Mindig ellenőrizze, hogy az a domain a valódi-e.
Kvíz
Feladat
A3.3 feladat: Fejlécek olvasása. Három fejlécblokkot kap. Töltse ki blokkonként: a Return-Path mezőben szereplő domain, a DKIM-aláírás domainje (d=), a DMARC eredménye, valamint hogy a levél valódi vagy hamis. A program ellenőrzi, és hiba esetén megmutatja azt a sort, ahol a válasz található.
További olvasnivaló
A WebOké cikkeiben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál ez hasonlóan működik.
- Mi az a DMARC? Magyarázat közérthető nyelven
- Nem érkezik meg az e-mail, vagy a spam mappában landol: így lehet kideríteni az okát
- Egy domain nyilvános e-mail ellenőrzése (SPF, DMARC, MX): https://www.weboke.hu/e-mail-ellenorzes, valamint az internet.nl levelezéstesztje: https://internet.nl
- DNS-tanfolyam, 4.3 SPF, 4.4 DKIM és 4.5 DMARC leckék: https://www.weboke.hu/dns-cursus
- RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601