Jak czytać nagłówki wiadomości e-mail: skąd przyszedł mail, czy nadawca jest prawdziwy i dlaczego trafił do spamu

Aby przeczytać nagłówki wiadomości e-mail, otwórz jej źródło (w Gmailu: menu ⋮ → „Pokaż oryginał”), znajdź wiersze Received i czytaj je od dołu do góry — to trasa wiadomości przez kolejne serwery. Następnie sprawdź nagłówek Authentication-Results: Twój serwer pocztowy zapisał w nim, czy SPF, DKIM i DMARC przeszły weryfikację. Te dwa elementy wystarczą, żeby odpowiedzieć na trzy typowe pytania: skąd naprawdę przyszedł mail, czy nadawca jest prawdziwy i dlaczego wiadomość trafiła do spamu.

Czym są nagłówki wiadomości i które naprawdę się liczą

Każdy e-mail składa się z nagłówków i treści. Nagłówki to wiersze w formacie Nazwa: wartość. Część dopisuje program pocztowy nadawcy (From, Subject, Date), część każdy serwer po drodze (Received), a część serwer odbiorcy (Return-Path, Authentication-Results). Klient poczty pokazuje tylko kilka pól, a pełna lista to dziesiątki wierszy, z których większość do analizy się nie przyda. Warto znać te:

Jak sprawdzić nagłówki maila w Gmailu, Outlooku, Apple Mail i innych

• Gmail w przeglądarce: otwórz wiadomość → ⋮ → „Pokaż oryginał”. Na górze zobaczysz krótkie podsumowanie (werdykty SPF, DKIM i DMARC), niżej surowe nagłówki. „Pobierz oryginał” zapisze plik .eml.
• Outlook dla Windows: otwórz wiadomość w osobnym oknie → „Plik” → „Właściwości” → pole „Nagłówki internetowe”.
• Outlook w przeglądarce i nowy Outlook: menu „…” przy wiadomości → „Widok” → „Wyświetl szczegóły wiadomości”.
• Apple Mail: „Widok” → „Wiadomość” → „Wszystkie nagłówki” albo „Surowe źródło”.
• Thunderbird: Ctrl+U (⌘U na Macu) otwiera źródło wiadomości.
• WP Poczta, Onet Poczta, Interia i inne: szukaj w menu wiadomości opcji typu „pokaż źródło”, „nagłówki” lub „oryginalna wiadomość”.

Nazwy opcji zmieniają się między wersjami — jeśli ścieżka się nie zgadza, wpisz w pomocy klienta „źródło wiadomości” lub „nagłówki internetowe”. Dwie praktyczne uwagi: aplikacje na telefon zwykle nie pokazują pełnych nagłówków, więc użyj komputera; a kopia z folderu „Wysłane” do diagnozy się nie nadaje — nigdzie jeszcze nie podróżowała, nie ma w niej wierszy Received od strony odbiorcy ani wyników weryfikacji.

Krok po kroku: jak przeanalizować nagłówki

1. Zacznij od widocznych adresów. Zapisz From, Reply-To (jeśli jest) i Return-Path. Trzy różne domeny to powód, żeby się przyjrzeć, a nie wyrok.
2. Znajdź najwyższy Authentication-Results. Jeśli jest ich kilka, najwyższy dodał Twój własny dostawca poczty — to jemu warto ufać. Sprawdź spf=, dkim= i dmarc=.
3. Sprawdź dopasowanie domen. DMARC uznaje SPF lub DKIM tylko wtedy, gdy ich domena zgadza się z domeną w From (szczegóły niżej).
4. Przeczytaj Received od dołu. Najniższy wiersz to najwcześniejszy przeskok, najwyższy — Twoja skrzynka.
5. Znajdź pierwszy publiczny adres IP, od którego zaufana część łańcucha odebrała wiadomość — to najlepsze dostępne „IP nadawcy”.
6. Zajrzyj do nagłówków filtrów antyspamowych, żeby zobaczyć, jak i przez kogo wiadomość została oceniona.

Jak czytać łańcuch Received od dołu do góry

Każdy serwer dopisuje swój wiersz Received nad istniejącymi, więc kolejność jest odwrócona. Uproszczony łańcuch może wyglądać tak:

Received: by 2002:a05:6000:1a8b with SMTP id …;
        Tue, 13 Oct 2026 09:14:07 -0700 (PDT)
Received: from mail.shop.example (mail.shop.example. [203.0.113.40])
        by mx.google.com with ESMTPS id …
        for <[email protected]>; Tue, 13 Oct 2026 09:14:05 -0700 (PDT)
Received: from app-07.internal (unknown [10.0.4.17])
        by mail.shop.example (Postfix) with ESMTP id 4F2A1;
        Tue, 13 Oct 2026 16:13:58 +0000 (UTC)

Dolny wiersz: wewnętrzna maszyna z prywatnym IP (10.0.4.17) przekazała wiadomość serwerowi pocztowemu sklepu. Środkowy: serwer MX Google odebrał ją z adresu 203.0.113.40 przez TLS (ESMTPS). Górny: wewnętrzne doręczenie do skrzynki. W każdym wierszu from to sposób, w jaki przedstawił się host wysyłający, w nawiasie to, co naprawdę zobaczył serwer odbierający (nazwa z odwrotnego DNS i IP), a by to serwer odbierający. IP w nawiasie kwadratowym zapisał odbiorca, więc jest bardziej wiarygodne niż nazwa po from.

Najważniejsza zasada: wiarygodne są tylko wiersze dodane przez serwery, którym ufasz. Każdy może wpisać do wiadomości fałszywe Received jeszcze przed wysyłką. Idź od góry w dół, dopóki serwery należą do Twojego dostawcy poczty; przeskok, na którym Twój dostawca przyjął wiadomość, wyznacza granicę zaufanej części.

Opóźnienia między przeskokami

Porównuj czasy sąsiednich przeskoków po sprowadzeniu ich do jednej strefy czasowej (w przykładzie przesunięcia są różne: −0700 i +0000). Kilka sekund na przeskok to norma. Minuty i godziny zwykle oznaczają greylisting (odbiorca poprosił o ponowienie próby później), kolejkę po stronie nadawcy, skanowanie treści albo ponowienie po błędzie tymczasowym. Ujemne opóźnienie nie znaczy, że wiadomość przyszła „z przyszłości” — po prostu zegary dwóch serwerów się różnią.

Jak znaleźć prawdziwy adres IP nadawcy

„IP nadawcy” to pierwszy publiczny adres w zaufanej części łańcucha Received — maszyna, od której Twój dostawca poczty (lub jego pierwszy przekaźnik) odebrał wiadomość. Prywatne zakresy 10.x.x.x, 172.16–31.x.x i 192.168.x.x to sieci wewnętrzne i nic nie mówią o lokalizacji. Pamiętaj o ograniczeniach:

• Jeśli ktoś pisze z Gmaila, Outlook.com lub innej poczty webowej, pierwszy publiczny przeskok to serwer tego dostawcy. Domowego czy biurowego IP tej osoby w nagłówkach zwykle w ogóle nie ma.
• Serwery firmowe i niektórzy dostawcy dopisują IP klienta (czasem w osobnym nagłówku X-). Może to być VPN, bramka operatora komórkowego lub proxy biura.
• Geolokalizacja IP jest przybliżona: pokazuje, gdzie adres jest zarejestrowany lub routowany, a nie gdzie siedzi człowiek.

Znaleziony adres sprawdź na czarnych listach i zobacz właściciela w geolokalizacji IP lub odwrotnym DNS. Jeśli jest na liście, pomoże artykuł dlaczego IP jest na czarnej liście: co oznaczają listy i jak z nich wyjść.

Wyniki SPF, DKIM i DMARC oraz dopasowanie domen

Typowy wiersz z Gmaila:

Authentication-Results: mx.google.com;
       dkim=pass [email protected] header.s=s1 header.b=Ab12Cd34;
       spf=pass (google.com: domain of [email protected] designates 203.0.113.40 as permitted sender) [email protected];
       dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=shop.example

Co tu jest napisane:

• spf=pass — IP, które doręczyło wiadomość, jest dozwolone w rekordzie SPF domeny z Return-Path (smtp.mailfrom). softfail i fail — nie jest dozwolone; permerror — błąd w samym rekordzie.
• dkim=pass — podpis domeny z header.i/d= zgadza się z kluczem w DNS pod selektorem header.s. fail — wiadomość zmieniono po drodze albo klucz jest inny.
• dmarc=pass — co najmniej jedno z SPF lub DKIM przeszło dla domeny dopasowanej do From. W p= widać opublikowaną politykę domeny.

Dopasowanie (alignment) to główne źródło nieporozumień. SPF sprawdza domenę z Return-Path, DKIM domenę z d=, a człowiek widzi domenę w From. DMARC łączy je ze sobą: przy dopasowaniu łagodnym (relaxed, domyślnie) mail.shop.example i shop.example liczą się jako zgodne, bo mają wspólną domenę organizacyjną; przy ścisłym (strict) muszą być identyczne. Dlatego zdarza się spf=pass i dkim=pass obok dmarc=fail: obie weryfikacje przeszły, ale dla domeny serwisu mailingowego, a nie Twojej.

Co domena publikuje teraz, pokażą sprawdzanie SPF, sprawdzanie DKIM (selektor weź z s= w DKIM-Signature) i sprawdzanie DMARC. Jak te trzy mechanizmy działają razem, wyjaśnia artykuł SPF, DKIM i DMARC — uwierzytelnianie poczty, a selektory — DKIM: co to jest, rekord i selektor.

Zadanie: dlaczego mail trafił do spamu

Poproś odbiorcę o nagłówki wiadomości, która wylądowała w spamie (Twoja kopia z „Wysłanych” nie pomoże), i przejdź przez listę:

1. Uwierzytelnianie. Każde fail, softfail lub none przy SPF, DKIM czy DMARC trzeba naprawić w pierwszej kolejności.
2. Dopasowanie. Jeśli DMARC nie przechodzi mimo pozytywnych SPF i DKIM, ustaw w serwisie mailingowym własną domenę zwrotną i podpis DKIM swoją domeną.
3. IP wysyłki. Sprawdź pierwszy publiczny adres IP po Twojej stronie na czarnych listach.
4. Werdykty filtrów. SpamAssassin wymienia reguły, które zadziałały, w X-Spam-Status; w Microsoft 365 wartość SCL 5 lub wyższa oznacza, że wiadomość uznano za spam.
5. Nagłówki wysyłki masowej. Newslettery bez działającego nagłówka List-Unsubscribe duzi dostawcy poczty traktują surowiej.

Jeśli wszystko przechodzi, a IP jest czyste, przyczyną jest zwykle reputacja lub treść — tego nagłówki wprost nie pokażą.

Zadanie: czy nadawca jest prawdziwy — oznaki podszywania się i phishingu

• Wiadomość rzekomo od banku lub znanej usługi, a DMARC nie przeszedł lub brak wyniku.
• Reply-To wskazuje inną domenę, zwłaszcza darmową skrzynkę.
• W nazwie wyświetlanej jest jeden adres, a prawdziwy jest inny: "[email protected]" <[email protected]>.
• Łudząco podobna domena w From lub Return-Path: cyfra zamiast litery, dodatkowe słowo, inna końcówka.
• Pierwszy publiczny IP należy do sieci, która nie ma nic wspólnego z deklarowanym nadawcą.
• Filtr antyspamowy po drodze już oznaczył wiadomość.

Prywatność: uważaj, komu pokazujesz nagłówki

Nagłówki często zawierają więcej danych osobowych niż sama wiadomość: Twój pełny adres, czasem adresy innych odbiorców, nazwy serwerów wewnętrznych, adresy IP, program pocztowy nadawcy, osobiste linki do wypisania się i śledzenia. Zanim wkleisz nagłówki na forum lub do zgłoszenia, zamień swój adres i długie tokeny w linkach na znaczniki zastępcze, ale zostaw w całości Received, Authentication-Results i DKIM-Signature — bez nich nikt niczego nie zdiagnozuje. Wybieraj narzędzia, które analizują nagłówki na Twoim urządzeniu, zamiast zapisywać wklejony tekst.

Najczęstsze błędy

• Czytanie Received od góry i branie serwera odbiorcy za nadawcę.
• Ufanie wszystkim wierszom Received, także tym dodanym, zanim wiadomość dotarła do zaufanego serwera.
• Traktowanie spf=pass jako dowodu, że From jest prawdziwy — SPF sprawdza Return-Path.
• Diagnozowanie problemu ze spamem na podstawie kopii z „Wysłanych”.
• Porównywanie czasów bez przeliczenia stref czasowych.

Analiza nagłówków w narzędziu PromoPilot

Wklej nagłówki lub przeciągnij plik .eml do analizatora nagłówków e-mail. Pokaże przeskoki od dołu z opóźnieniami w UTC, najdłuższy etap i rozbieżności zegarów, pierwszy publiczny IP w łańcuchu, zapisane przez odbiorcę wyniki SPF, DKIM, DMARC i ARC, dopasowanie From, Return-Path i DKIM d=, nagłówki filtrów antyspamowych, nagłówki wypisania jednym kliknięciem oraz oznaki podszywania się — np. inny Reply-To albo obcy adres w nazwie wyświetlanej.

Czego narzędzie nie robi:

• Nie weryfikuje podpisów DKIM ponownie: do tego potrzebna jest cała wiadomość i DNS z chwili doręczenia. Pokazuje to, co zapisał serwer odbiorcy, a dopasowanie domen sprawdza samo.
• Samo nie odpytuje żadnych IP ani domen: linki przy adresach prowadzą do naszych narzędzi (czarne listy, geolokalizacja, odwrotny DNS), jeśli zechcesz je uruchomić.
• Nie odczyta plików Outlooka .msg (format binarny) — skopiuj „Nagłówki internetowe” albo zapisz wiadomość jako .eml.
• Domenę organizacyjną do dopasowania wyznacza w przybliżeniu, bez pełnej Public Suffix List.

Analizę wykonuje JavaScript w Twojej przeglądarce, nagłówki nie są wysyłane na nasz serwer. Nie ma dziennego limitu; jednorazowo do 2 MB tekstu (z pliku .eml czytany jest pierwszy 1 MB).