Chaque e-mail transporte un bloc d'en-têtes : des lignes techniques ajoutées par le logiciel de l'expéditeur et par chaque serveur qui a traité le message. Ils indiquent d'où l'e-mail provient réellement, combien de temps il a mis et si le domaine de l'expéditeur s'en est porté garant. Collez les en-têtes dans notre Analyseur d'en-têtes d'e-mail pour les lire automatiquement.
Comment afficher les en-têtes
| Messagerie | Étapes |
|---|---|
| Gmail | Ouvrez le message → ⋮ → Afficher l'original |
| Outlook.com | Ouvrez le message → … → Afficher → Afficher la source du message |
| Outlook (bureau) | Ouvrez le message → Fichier → Propriétés → En-têtes Internet |
| Apple Mail | Présentation → Message → Source brute |
| Yahoo Mail | … → Afficher le message brut |
| Thunderbird | Affichage → Source du message |
Les en-têtes qui comptent
| En-tête | Ce qu'il indique |
|---|---|
From |
L'expéditeur qui vous est affiché. Facile à falsifier. |
Return-Path |
L'adresse où vont les messages de non-remise : l'expéditeur d'enveloppe utilisé pour SPF |
Reply-To |
L'adresse où part votre réponse, si elle diffère de From |
Received |
Une ligne par serveur ayant traité le message |
Authentication-Results |
Les verdicts SPF, DKIM et DMARC du serveur destinataire |
DKIM-Signature |
La signature cryptographique de l'expéditeur |
Message-ID |
Un identifiant unique, contenant généralement le domaine d'envoi |
X-Originating-IP |
Parfois, l'adresse IP de l'expéditeur lui-même |
Lire les lignes Received
Chaque serveur ajoute sa ligne Received en haut, si bien que la liste va de la plus récente (en haut) à la plus ancienne (en bas). Pour suivre le trajet du message, lisez de bas en haut :
Received: from mail.example.org (mail.example.org [203.0.113.25])
by mx.recipient.net with ESMTPS; Mon, 19 Oct 2026 16:15:20 +0000
Cette ligne signifie : le serveur mx.recipient.net a reçu le message d'un serveur se présentant comme mail.example.org, dont l'IP réelle était 203.0.113.25, à 16:15:20 UTC. Le nom qui suit « from » est ce que l'expéditeur affirme ; l'IP entre crochets est ce que le serveur destinataire a réellement vu, et l'expéditeur ne peut pas la falsifier.
La ligne la plus basse contenant une IP publique correspond généralement à l'origine. Examinez-la avec notre outil Recherche IP pour connaître le réseau et le pays.
Repérer le phishing
Signaux d'alerte :
Authentication-Resultsindiquespf=fail,dkim=failoudmarc=fail.- Le domaine du
Fromdiffère de celui duReturn-Pathet dud=de DKIM, par exemple un e-mail de « banque » envoyé via un domaine sans rapport. Reply-Topointe vers une adresse de webmail gratuit.- L'IP d'origine appartient à une connexion résidentielle ou à un pays qui ne correspond pas à l'entreprise.
- L'IP d'envoi figure sur une liste noire anti-spam.
Aucun de ces signes ne prouve à lui seul un phishing, mais plusieurs réunis constituent un indice fort. En cas de doute, ne cliquez sur aucun lien ; contactez l'entreprise via son site officiel.
Les limites du traçage
- Les webmails masquent l'IP de l'expéditeur. Gmail et Outlook.com n'affichent que leurs propres serveurs, si bien que la trace s'arrête au fournisseur.
- Les lignes situées sous le premier serveur de confiance peuvent être falsifiées par un spammeur qui ajoute de fausses lignes Received.
- Les horloges diffèrent d'un serveur à l'autre, si bien que les délais peuvent paraître étranges.
Questions fréquentes
Puis-je trouver l'adresse postale de l'expéditeur à partir d'un e-mail ?
Non. Vous trouverez au mieux l'IP et le réseau du serveur ou de la connexion d'envoi.
Les en-têtes d'un e-mail sont-ils privés ?
Ils contiennent des adresses e-mail et des noms de serveurs. Ne les publiez pas ; supprimez les adresses avant de les partager.
Que faire d'un e-mail de phishing ?
Signalez-le avec le bouton « Signaler un hameçonnage » de votre messagerie, puis supprimez-le.