هر ایمیل مجموعه‌ای از هدرها همراه خود دارد: خطوطی فنی که برنامهٔ فرستنده و هر سروری که پیام را جابه‌جا کرده اضافه کرده‌اند. این هدرها نشان می‌دهند ایمیل واقعاً از کجا آمده، چقدر طول کشیده تا برسد و آیا دامنهٔ فرستنده اصالت آن را تأیید کرده است. هدرها را در تحلیلگر هدر ایمیل ما بچسبانید تا به‌طور خودکار خوانده شوند.
چگونه هدرها را ببینیم
| برنامهٔ ایمیل | مراحل |
|---|---|
| Gmail | پیام را باز کنید ← ⋮ ← Show original (نمایش اصل پیام) |
| Outlook.com | پیام را باز کنید ← … ← View ← View message source (نمایش منبع پیام) |
| Outlook دسکتاپ | پیام را باز کنید ← File ← Properties ← Internet headers |
| Apple Mail | View ← Message ← Raw Source |
| Yahoo Mail | … ← View raw message |
| Thunderbird | View ← Message Source |
هدرهای مهم
| هدر | چه چیزی را نشان می‌دهد |
|---|---|
From |
فرستنده‌ای که به شما نشان داده می‌شود. جعل آن آسان است. |
Return-Path |
جایی که ایمیل‌های برگشتی (bounce) به آن می‌روند: فرستندهٔ envelope که برای SPF استفاده می‌شود |
Reply-To |
جایی که پاسخ شما به آن می‌رود، اگر با From فرق داشته باشد |
Received |
یک خط برای هر سروری که پیام را جابه‌جا کرده است |
Authentication-Results |
نتیجهٔ بررسی SPF، DKIM و DMARC توسط سرور گیرنده |
DKIM-Signature |
امضای رمزنگاری‌شدهٔ فرستنده |
Message-ID |
شناسه‌ای یکتا که معمولاً دامنهٔ فرستنده را در خود دارد |
X-Originating-IP |
گاهی، آدرس IP خود فرستنده |
خواندن خطوط Received
هر سرور خط Received خود را در بالا اضافه می‌کند، بنابراین فهرست از جدیدترین (بالا) به قدیمی‌ترین (پایین) مرتب است. برای دنبال کردن سفر پیام، از پایین به بالا بخوانید:
Received: from mail.example.org (mail.example.org [203.0.113.25])
by mx.recipient.net with ESMTPS; Mon, 19 Oct 2026 16:15:20 +0000
این خط می‌گوید: سرور mx.recipient.net پیام را در ساعت 16:15:20 UTC از سروری دریافت کرد که خودش را mail.example.org معرفی کرده بود و IP واقعی‌اش 203.0.113.25 بود. نام بعد از «from» چیزی است که فرستنده ادعا می‌کند؛ IP داخل کروشه چیزی است که سرور گیرنده واقعاً دیده و فرستنده نمی‌تواند آن را جعل کند.
پایین‌ترین خطی که یک IP عمومی دارد معمولاً مبدأ است. آن را با ابزار جستجوی آدرس IP ما بررسی کنید تا شبکه و کشورش را ببینید.
تشخیص فیشینگ
نشانه‌های هشدار:
Authentication-Resultsمقدارspf=fail،dkim=failیاdmarc=failرا نشان می‌دهد.- دامنهٔ
Fromبا دامنهٔReturn-Pathو دامنهٔd=در DKIM فرق دارد؛ مثلاً ایمیلی از طرف یک «بانک» که از یک دامنهٔ نامرتبط ارسال شده است. Reply-Toبه یک آدرس وب‌میل رایگان اشاره می‌کند.- IP مبدأ متعلق به یک اتصال خانگی یا کشوری است که با شرکت جور درنمی‌آید.
- IP فرستنده در یک بلک‌لیست اسپم است.
هیچ‌کدام از این‌ها به‌تنهایی فیشینگ را ثابت نمی‌کند، اما چند مورد با هم نشانهٔ قوی است. اگر تردید دارید، روی لینک‌ها کلیک نکنید و از طریق وب‌سایت رسمی شرکت با آن تماس بگیرید.
محدودیت‌های ردیابی
- وب‌میل IP فرستنده را پنهان می‌کند. Gmail و Outlook.com فقط سرورهای خودشان را نشان می‌دهند، بنابراین ردیابی در ارائه‌دهنده متوقف می‌شود.
- خطوط پایین‌تر از اولین سرور قابل‌اعتماد ممکن است جعلی باشند؛ اسپمرها می‌توانند خطوط Received جعلی اضافه کنند.
- ساعت سرورها با هم فرق دارد، بنابراین تأخیرها ممکن است عجیب به نظر برسند.
سوالات متداول
آیا میتوانم از روی یک ایمیل نشانی خانهٔ فرستنده را پیدا کنم؟
نه. حداکثر IP و شبکهٔ سرور یا اتصال فرستنده را پیدا میکنید.
آیا هدرهای ایمیل خصوصی هستند؟
این هدرها آدرسهای ایمیل و نام سرورها را در خود دارند. آنها را بهصورت عمومی منتشر نکنید و پیش از اشتراکگذاری، آدرسها را حذف کنید.
با یک ایمیل فیشینگ چه کار کنم؟
آن را با دکمهٔ «Report phishing» (گزارش فیشینگ) برنامهٔ ایمیلتان گزارش کنید و سپس حذفش کنید.