Fejlécek olvasása: honnan érkezett ez a levél?

Modul 1: Hogyan működik az e-mail · Olvasási idő: 11 perc

Tanulási cél: E lecke után képes lesz megnyitni egy levél kopregeleit, a Received-sorokat a helyes sorrendben olvasni, és az Authentication-Results sorból kiolvasni, hogy az SPF, a DKIM és a DMARC megfelelt-e.

Kulcsfogalmak: kopregelek (headerek), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, X-kopregelek, forrás vagy eredeti üzenet

Amit általában nem lát

A levelezőprogramja egy levélből csak néhány sort mutat meg: feladó, tárgy, dátum, címzettek. A valóságban minden levélnek tucatnyi kopregele (headere) van legfelül, a szöveg előtt. Ezeket a feladó programja és minden olyan szerver hozzáadja, amely útközben hozzáér a levélhez. Együtt ezek alkotják a levél útinaplóját.

Aki tud kopregeleket olvasni, sok kérdésre maga tud választ adni: tényleg a bankomtól jött ez a levél? Miért csak két óra múlva érkezett meg? Miért került a spambe? Megfelel-e a saját DKIM-em? E kurzus sok feladata kéri, hogy nézze meg a kopregeleket. Ebben a leckében megtanulja, hogyan.

A kopregelek megnyitása

Minden program máshol kínálja ezt:

Telefonon ez általában nem megy. Ilyenkor küldje tovább a levelet önmagának mellékletként, vagy nyissa meg a webmailben.

Egy példa

János kap egy levelet Annától. A legfontosabb kopregelek így néznek ki (rövidítve):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Received-sorok: alulról felfelé

Minden szerver, amely továbbítja a levelet, egy Received: sort tesz legfelülre. Így a legrégebbi sor van legalul, a legújabb legfelül. Olvassa őket alulról felfelé, hogy követni tudja az utat:

1. Legalsó sor: Anna laptopja (IP: 198.51.100.77, az otthoni internetkapcsolata) átadja a levelet a out.hosting.example szervernek, ESMTPSA módon (az A az authenticated szóra utal: bejelentkezett) és TLS 1.3-mal. 10:15:04-kor.
2. Középső sor: a out.hosting.example (192.0.2.25) átadja a levelet a mx1.mailprovider.example-nek, amely az example.net MX-je. 10:15:07-kor.
3. Legfelső sor: a levelezőszerver belsőleg elhelyezi a levelet János postafiókjában (LMTP). 10:15:09-kor.

Egy Received-sor mindig ilyen alakú: from <ki adta át> by <ki vette át> with <protokoll>; <időpont>. A from után zárójelben az szerepel, amit a fogadó szerver maga látott: a valódi név (PTR) és a valódi IP-cím. Ez a rész annyira megbízható, amennyire megbízik a fogadó szerverben. Amit a küldő maga állított (helo=), az nem ellenőrizhető.

Két gyakorlati fogás:

• Késés keresése: hasonlítsa össze az időpontokat. Ha két sor között két óra telik el, akkor a levél ott ennyi ideig várakozott egy sorban. Figyeljen az időzónákra (+0100, +0000).
• A valódi küldő szerver megtalálása: keresse meg a legfelső olyan Received-sort, amelyet a címzett saját szervere írt, és nézze meg, mi áll ott a from után. Minden, ami ez alatt van, a küldő oldal írta, és elméletileg kitalált is lehet. A példában a 192.0.2.25 az a szerver, amely a címzettnél leadta a levelet; ennek alapján bírálják el az SPF-et és a reputációt.

A címek

A csalók egy ismert trükkje: egy From, amely a bankjára hasonlít, de a Reply-To egy egészen más címre mutat. Ha kételkedik, mindig nézze meg a domaint a From-ban és a Return-Path-ban, valamint az Authentication-Results-t.

Authentication-Results: a fogadó ítélete

A fogadó szerver az Authentication-Results sorban (RFC 8601) rögzíti az ellenőrzések eredményét:

• spf=pass smtp.mailfrom=example.com: a kézbesítő szerver IP-címe szerepel annak a domainnek az SPF-rekordjában, amely a Return-Path-ban áll.
• dkim=pass header.d=example.com header.s=x: a example.com domain DKIM-aláírása, amely az x szelektort (kulcsot) használja, érvényes.
• dmarc=pass header.from=example.com: a From-ban szereplő domain igazodik (alignment) egy sikeres SPF-hez vagy DKIM-hez, tehát a DMARC megfelelt.

Más eredmények, amelyekkel találkozhat: fail (nem felel meg), softfail (az SPF ~all-lal végződik, és az IP nem szerepel benne), neutral, none (nincs rekord), temperror (átmeneti DNS-hiba) és permerror (hibás rekord, például két SPF-rekord). Hogy ezek pontosan mit jelentenek, és hogyan javítsa ki őket, a modul 4-ben olvasható.

Fontos: csak a fogadó szerver saját Authentication-Results sorában bízzon meg (a legelöl álló név, itt mx1.mailprovider.example). Egy hamisított levél küldhet saját, kitalált Authentication-Results sort is. A jó szerverek eltávolítják ezt, de nem mindegyik.

DKIM-Signature: az aláírás

A DKIM-Signature kopregel maga az aláírás. Két mezőre van gyakran szükség:

• d=: az aláíró domain (itt example.com);
• s=: a szelektor, a kulcs neve (itt x).

Ezekkel megtalálja a nyilvános kulcsot a DNS-ben: x._domainkey.example.com. Feladatokban és hibák esetén gyakran pontosan ezt a két értéket kell megkeresnie. Egy levélnek több DKIM-aláírása is lehet, például egy az Ön domainjétől és egy a küldő szolgáltatástól. A lecke 4.3-ban erről bővebben lesz szó.

Néha ARC-Seal, ARC-Message-Signature és ARC-Authentication-Results sorokat is lát. Az ARC (RFC 8617) egy módszer, amellyel közbenső állomások, például egy levelezőlista vagy egy továbbítószerver, rögzítik, milyenek voltak az ellenőrzések, mielőtt ők maguk megváltoztatták a levelet. Ezeket most nem kell tudnia olvasni.

X-kopregelek

Az X- előtaggal kezdődő kopregelek nem szabványosítottak. A spamszűrők ide teszik a pontszámukat, például X-Spam-Status: No, score=1.2 vagy X-Spam-Flag: YES. Ez segít megérteni, miért került valami a spambe. Szolgáltatónként eltérőek.

Összefoglalás

• A kopregelek a levél útinaplója. Nyissa meg az "eredeti megtekintése", "üzenetforrás" vagy hasonló funkcióval.
• A Received-sorokat olvassa alulról felfelé. A sor, amelyet a fogadó szervere írt, elárulja, melyik IP-cím adta le a levelet.
• A Return-Path az envelope-feladó (SPF), a From a látható feladó (DMARC), a Reply-To az, hová mennek a válaszok.
• Az Authentication-Results adja meg az SPF, DKIM és DMARC ítéletét; csak a fogadó szerver saját bejegyzésében bízzon meg.
• A DKIM-Signature-ben szerepel a d= (domain) és a s= (szelektor); együtt megadják a kulcs helyét: s._domainkey.d.

Kvíz

Feladat

Feladat Z1.5: Fejlécek elemeztetése. Küldjön magának egy levelet egy másik címről (például a munkahelyi címéről a magáncímére, vagy fordítva), nyissa meg a kopregeleket, és illessze be őket az űrlapba. Ha nincs másik címe, használja a feladathoz mellékelt kopregels-1.txt mintafájlt. Ezután töltse ki saját maga: annak a szervernek az IP-címét, amely a címzettnél leadta a levelet, a Return-Path domainjét, a DKIM-aláírás domainjét és szelektorát, valamint az SPF, a DKIM és a DMARC eredményét. A program ugyanazokat a kopregeleket elemzi, élőben megkeresi a DKIM-kulcsot, és az eredményét az Ön eredménye mellé teszi. A beküldött kopregelek nem kerülnek megőrzésre.

További olvasnivaló

Az ezekben a cikkekben szereplő lépések a WebOké vezérlőpultjaira vonatkoznak; más szolgáltatóknál hasonlóan működik.

• Levél kézbesítésének ellenőrzése az E-mail-követés funkcióval a DirectAdminban
• DirectAdmin útmutató 9.3: E-mail követés: hová lett az e-mailem?
• Valóban a WebOké küldte ezt az e-mailt? Az adathalászat felismerése és az akciókód felhasználása
• Ingyenes DNS-tanfolyam 4.4: DKIM: az aláírás a leveled alatt
• RFC 5322 (egy levél felépítése), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)