בדיקת כותרות מייל: מי באמת שלח?
כל מייל נושא "כותרות" נסתרות שמתעדות את הדרך שלו: מאיזה שרת יצא, דרך מי עבר, ואם שרתי הדואר אימתו שהשולח רשאי לשלוח בשם הדומיין. הדביקו כאן את הכותרות המלאות של הודעה שקיבלתם, והכלי יקרא אותן בשבילכם: שרת המקור, תוצאות SPF/DKIM/DMARC, שם תצוגה שמסתיר כתובת אחרת ו־Reply-To שמפנה את התשובה למקום אחר. הכותרות מעובדות בזיכרון ולא נשמרות.
עובר דרך השרת שלנו, בלי שמירה. הכותרות נשלחות בגוף הבקשה לשרת שלנו ומפוענחות בזיכרון. הפנייה היחידה החוצה היא על כתובת שרת הדואר שממנו ההודעה יצאה (PTR, ipwho.is ו־InternetDB של Shodan). זהו שרת, לא אדם. דבר לא נשמר.
איך זה עובד
מעתיקים את הכותרות
ב־Gmail: שלוש נקודות ליד ההודעה ← "הצג מקור" ← העתקה. ב־Outlook: "הצג מקור הודעה". ב־iPhone: לא זמין, פתחו במחשב.
מדביקים כאן
אפשר להדביק את כל המקור כולל גוף ההודעה; נקרא רק את הכותרות.
קוראים את הממצאים
שרת המקור, תוצאות האימות, והטריקים הנפוצים של שולחים מתחזים.
מה הכותרות מגלות
- שרשרת Received: כל שרת שההודעה עברה דרכו מוסיף שורה. השורה התחתונה היא הראשונה, ומכילה את השרת ששלח.
- Authentication-Results: שרת הדואר שלכם רשם אם ההודעה עברה SPF (השרת מורשה), DKIM (ההודעה חתומה ולא שונתה) ו־DMARC (הדומיין ב־From אושר).
- From מול Reply-To מול Return-Path: שלוש כתובות שיכולות להיות שונות. הונאות מציגות From של בנק ו־Reply-To של Gmail.
- שם התצוגה: "service@example.co.il" יכול להיות סתם טקסט לפני הכתובת האמיתית.
מקורות: RFC 5322: מבנה הודעת מייל · RFC 8601: Authentication-Results
SPF, DKIM ו‑DMARC בשתי שורות כל אחד
| מנגנון | מה הוא בודק | מה אומר "pass" |
|---|---|---|
| SPF | האם השרת ששלח מופיע ברשימת השרתים המורשים של הדומיין | השרת מורשה לשלוח בשם הדומיין שב־Return-Path |
| DKIM | חתימה דיגיטלית על ההודעה עם מפתח שפורסם ב־DNS | ההודעה נחתמה על ידי הדומיין ולא שונתה בדרך |
| DMARC | האם SPF או DKIM עברו וגם תואמים לדומיין שב־From | הדומיין שמוצג לכם הוא באמת זה שאישר את ההודעה |
מקורות: RFC 7208: SPF · RFC 6376: DKIM · RFC 7489: DMARC
הטריקים שהכלי מזהה
- שם תצוגה שמכיל כתובת מייל אחרת מהכתובת האמיתית.
- שם תצוגה של מותג (בנק, דואר, חברת אשראי) מדומיין שאינו שלו.
- דומיין שולח שמחקה מותג (אות דומה, מילה נוספת, סיומת אחרת).
- Reply-To לדומיין אחר, במיוחד וובמייל חינמי.
- כשלים ב־SPF/DKIM/DMARC, או היעדר תוצאות אימות בכלל.
מקורות: מערך הסייבר הלאומי: פישינג
מה הכלי לא יכול לדעת
הכותרות מתעדות שרתים, לא אנשים. שרת המקור הוא בדרך כלל שרת של ספק דואר (Google, Microsoft, שירות דיוור) ולא המחשב של השולח, ולכן אי אפשר "לאתר" מישהו דרכן. בנוסף, שרתים יכולים לזייף שורות Received מוקדמות; רק השורות שהוסיפו השרתים שאתם סומכים עליהם (הספק שלכם) אמינות באמת.
מקורות: RFC 5321: SMTP
שאלות נפוצות
איך רואים כותרות של מייל ב‑Gmail?
פותחים את ההודעה, לוחצים על שלוש הנקודות ליד כפתור התשובה ובוחרים "הצג מקור" (Show original). לוחצים "העתק ללוח" ומדביקים כאן.
איך רואים כותרות ב‑Outlook?
ב־Outlook לדפדפן: שלוש נקודות ← "הצג" ← "הצג מקור הודעה". ביישום: פותחים את ההודעה ← קובץ ← מאפיינים ← "כותרות אינטרנט".
אפשר לגלות מי שלח לי את המייל?
אפשר לגלות מאיזה שרת ודרך איזה ספק ההודעה יצאה, ואם הדומיין שמוצג אושר (DMARC). אי אפשר לזהות אדם; זה גם לא מה שהכלי נועד לו.
DMARC עבר. ההודעה אמינה?
DMARC מאשר שהדומיין ב־From באמת שלח. אם הדומיין עצמו מתחזה (למשל leumi-secure.xyz) האימות יעבור בהצלחה והמייל עדיין הונאה. בדקו גם את הדומיין עצמו.
הכותרות נשמרות אצלכם?
לא. הן מפוענחות בזיכרון ונמחקות עם התשובה. אנחנו לא רושמים אותן ללוג ולא שומרים את התוצאה.