Analizator nagłówków e-mail

Wklej nagłówki wiadomości — pokażemy, przez które serwery przeszła i gdzie utknęła, co odbiorca zapisał o SPF, DKIM, DMARC i ARC, czy domeny From, Return-Path i podpisu są zgodne oraz czy są oznaki podszywania się. Nagłówki nie opuszczają przeglądarki.

Otwórz .eml Przykłady: ·

Nagłówki są analizowane przez JavaScript w przeglądarce i nie trafiają na nasz serwer — nie widzimy adresów, tematów ani IP. Zapisujemy tylko anonimowy licznik (liczba przeskoków, wyniki SPF/DKIM/DMARC). Sami nie sprawdzamy żadnych IP ani domen — linki prowadzą do naszych narzędzi, jeśli zechcesz ich użyć.

Najważniejsze fakty

Cena: Za darmo
Rejestracja: Niewymagana
Przetwarzanie: W Twojej przeglądarce — nic nie trafia na serwer
Dane wejściowe: Nagłówki wiadomości wklejone jako tekst (z Gmaila, Outlooka, Apple Mail, Thunderbirda) lub plik .eml; treść jest pomijana
Limity: Bez dziennego limitu; do 2 MB tekstu naraz (z .eml czytany jest pierwszy 1 MB); pliki .msg nieobsługiwane
Wynik: Przeskoki Received z opóźnieniami i rozjazdem zegarów, SPF/DKIM/DMARC/ARC zapisane przez odbiorcę, dopasowanie From/Return-Path/DKIM d=, podpisy DKIM, nagłówki antyspamowe, wypisanie jednym kliknięciem, oznaki podszywania; raport kopiuje się jako tekst
Ostatnia aktualizacja: 2026-10-13

Alternatywy

Inne narzędzia do tego samego zadania i w czym każde z nich jest dobre:

Google Admin Toolbox Messageheader — Narzędzie Google: sprowadza czas wszystkich przeskoków do jednej strefy i pokazuje, na którym etapie wiadomość utknęła.
MXToolbox Email Header Analyzer — Czyni nagłówki czytelnymi wg RFC 822 — opóźnienia przeskoków i wyniki antyspamu — obok innych testów MXToolbox (czarne listy, DNS).
Microsoft Message Header Analyzer — Otwartoźródłowy analizator Microsoftu: wersja webowa i dodatek do Outlooka, który sam pobiera nagłówki otwartej wiadomości.

Kiedy wybrać to narzędzie: Gdy nagłówków nie wolno przekazać zewnętrznej usłudze (wiadomość klienta, poczta wewnętrzna) — analiza odbywa się w przeglądarce. I gdy trzeba zrozumieć, czemu nie przeszedł DMARC: narzędzie samo porównuje domeny From, Return-Path i DKIM d=, pokazuje łańcuch ARC przekazań i sprawdza wypisanie jednym kliknięciem.

Opisy sprawdzono na stronach tych narzędzi w październiku 2026 r.

Analiza nagłówków e-mail online

Nagłówki wiadomości to jej historia: każdy serwer po drodze dopisuje wiersz Received, a serwer odbiorcy zapisuje, czy wiadomość przeszła SPF, DKIM i DMARC. Ręczne czytanie trwa długo: wiersze są zawinięte, kolejność odwrócona, a czas w różnych strefach. Narzędzie układa łańcuch Received w przeskoki w kolejności chronologicznej, liczy opóźnienie każdego kroku i łączne, oznacza rozjazd zegarów i wolne przeskoki, pokazuje Authentication-Results, ARC i Received-SPF, parametry podpisów DKIM, porównuje domeny From, Return-Path i DKIM d= (dopasowanie DMARC) i wskazuje oznaki podszywania się: Reply-To w obcej domenie, inny adres w nazwie wyświetlanej, werdykt filtra antyspamowego. Wszystko działa w przeglądarce.

Przeskoki Received w kolejności: nadawca, odbiorca, protokół i TLS, opóźnienie, rozjazd zegarów

SPF, DKIM, DMARC, ARC i compauth z Authentication-Results i Received-SPF

Dopasowanie From ↔ Return-Path ↔ DKIM d= i szczegóły podpisów DKIM (selektor, algorytm, h=, l=)

Oznaki phishingu, SpamAssassin i Microsoft SCL/BCL, wypisanie jednym kliknięciem (RFC 8058)

Wklejenie z Gmaila, Outlooka, Apple Mail lub plik .eml; linki do sprawdzenia IP i domeny nadawcy

Jak korzystać

Otwórz wiadomość i skopiuj nagłówki: w Gmailu ⋮ → Pokaż oryginał, w Outlooku Plik → Właściwości → Nagłówki internetowe (szczegóły w poradniku niżej)
Wklej tekst w pole lub przeciągnij plik .eml — analiza zacznie się od razu
Zacznij od werdyktu i listy „Na co zwrócić uwagę”, potem przejrzyj przeskoki i dopasowanie domen

FAQ

Gmail: otwórz wiadomość, kliknij ⋮ w prawym górnym rogu → Pokaż oryginał i skopiuj całość lub kliknij Pobierz oryginał (.eml). Outlook dla Windows: dwuklik na wiadomości → Plik → Właściwości, pole Nagłówki internetowe. Outlook w przeglądarce i nowy Outlook: … → Widok → Wyświetl szczegóły wiadomości. Apple Mail: Widok → Wiadomość → Wszystkie nagłówki. Thunderbird: Ctrl+U (źródło wiadomości). Aplikacja Mail na iPhonie nie pokazuje pełnych nagłówków — użyj komputera.

Nie. Analizę wykonuje JavaScript w przeglądarce; adresy, temat, IP i nazwy serwerów nigdzie nie trafiają. Zapisujemy tylko anonimowy licznik — liczbę przeskoków i kody wyników SPF/DKIM/DMARC. Linki do sprawdzenia IP i domen otwierają nasze narzędzia tylko wtedy, gdy sam w nie klikniesz.

Każdy serwer zapisuje czas według własnego zegara. Jeśli zegar jednego z nich — albo komputera nadawcy, który ustawia nagłówek Date — się spieszy lub późni, kolejny przeskok wygląda na „wcześniejszy” od poprzedniego. To nie błąd doręczenia, ale opóźnienia wokół takiego przeskoku są niedokładne — narzędzie oznacza je jako rozjazd zegarów.

DMARC wymaga dopasowania: SPF sprawdza domenę z Return-Path, która musi pasować do domeny w From (albo DKIM musi przejść dla domeny z From). Usługi mailingowe często wstawiają do Return-Path własną domenę — SPF przechodzi, ale nie liczy się dla DMARC. Rozwiązanie to podpis DKIM własną domeną lub własna domena zwrotów w usłudze. Tabela dopasowania domen pokazuje, która z dwóch dróg zawiodła.

Zależy od zadania. Google Admin Toolbox Messageheader dobrze pokazuje, gdzie wiadomość utknęła. MXToolbox analizuje nagłówki i obok oferuje swoje sprawdzanie czarnych list. Microsoft Message Header Analyzer jest wygodny w Outlooku (jest dodatek) i przy nagłówkach antyspamowych Microsoft 365. To narzędzie działa w całości w przeglądarce, samo sprawdza dopasowanie From, Return-Path i DKIM d=, pokazuje łańcuch ARC, wypisanie jednym kliknięciem i oznaki podszywania — po polsku, angielsku, ukraińsku i rosyjsku.

Jak skopiować nagłówki wiadomości

Poczta	Gdzie znaleźć nagłówki
Gmail (w przeglądarce)	Otwórz wiadomość → ⋮ w prawym górnym rogu → Pokaż oryginał. Skopiuj całą stronę albo kliknij Pobierz oryginał i przeciągnij plik .eml tutaj. Tabelę nad nagłówkami narzędzie pominie samo.
Outlook dla Windows	Otwórz wiadomość dwuklikiem → Plik → Właściwości → pole Nagłówki internetowe. Zaznacz tekst (Ctrl+A) i skopiuj.
Outlook w przeglądarce, nowy Outlook	… w wiadomości → Widok → Wyświetl szczegóły wiadomości.
Apple Mail	Widok → Wiadomość → Wszystkie nagłówki lub Widok → Wiadomość → Surowe źródło.
Thunderbird	Ctrl+U (⌘U na Macu) — źródło wiadomości.
Yahoo Mail	… w wiadomości → Wyświetl surową wiadomość.

Aplikacja Mail na iPhonie i większość klientów mobilnych nie pokazuje pełnych nagłówków — otwórz wiadomość na komputerze. Kopia z folderu Wysłane nic nie da: nie ma w niej jeszcze ani trasy doręczenia, ani wyników sprawdzeń odbiorcy.

Jak czytać łańcuch Received

Każdy serwer, przez który przeszła wiadomość, dopisuje wiersz Received na górze. Dlatego czyta się je od dołu: najniższy to pierwszy serwer nadawcy, najwyższy — twoja skrzynka. Typowy wiersz:

Received: from mail.example.org (mail.example.org [203.0.113.40])
        by mx.google.com with ESMTPS id a1si123
        for <[email protected]>; Wed, 14 Oct 2026 01:20:44 -0700 (PDT)

from — jak przedstawił się host wysyłający (HELO), a w nawiasie — jego prawdziwa nazwa z odwrotnego DNS i adres IP. IP w nawiasach kwadratowych zapisał serwer odbierający, więc jest bardziej wiarygodny niż nazwa po from.
by — serwer, który przyjął wiadomość na tym etapie.
with — protokół: ESMTPS to szyfrowanie TLS, ESMTPSA dodatkowo z logowaniem nadawcy, LMTP to lokalne doręczenie do skrzynki.
id i for — identyfikator w kolejce serwera i odbiorca; po id administrator znajdzie wiadomość w logach.
Data po średniku to czas przyjęcia według zegara tego serwera.

Narzędzie przelicza wszystkie daty na UTC i liczy opóźnienie każdego przeskoku względem poprzedniego. Kilka sekund na przeskok to norma. Minuty i godziny zwykle oznaczają greylisting (serwer odbiorcy chwilowo odmówił, a nadawca ponowił próbę), kolejkę u nadawcy, skanowanie antywirusem lub ponowną wysyłkę po błędzie. Ujemne opóźnienie to nie „wiadomość z przyszłości”, tylko rozjazd zegarów dwóch serwerów lub komputera nadawcy.

Pamiętaj: wierszom Received poniżej pierwszego serwera twojego dostawcy poczty nie można bezwarunkowo ufać. Spamer może dopisać fałszywe Received jeszcze przed wysyłką. Wiarygodne są wiersze dodane przez serwery twojego dostawcy — od góry do miejsca, w którym wiadomość do nich trafiła.

Co oznaczają wyniki SPF, DKIM i DMARC

Serwer odbiorcy zapisuje swoje sprawdzenia w nagłówku Authentication-Results. Jeśli jest ich kilka, najwyższy pochodzi od końcowego odbiorcy, pozostałe dodały serwery pośrednie.

Wynik	Co oznacza
pass	Test zaliczony.
fail	SPF: IP nadawcy jest wprost niedozwolony (`-all`). DKIM: podpis się nie zgadza — wiadomość zmieniono albo klucz w DNS jest inny. DMARC: ani SPF, ani DKIM nie przeszły z dopasowaną domeną.
softfail	SPF: IP nie jest dozwolony, ale domena prosi, by nie odrzucać ściśle (`~all`).
neutral, none	Domena nic nie twierdzi (`?all`) albo brak rekordu / wiadomość niepodpisana.
temperror	Chwilowy błąd DNS podczas sprawdzania — ponowienie może się udać.
permerror	Błędny rekord: np. ponad 10 zapytań DNS w SPF lub dwa rekordy SPF.

Narzędzie nie weryfikuje podpisów ponownie — do tego potrzebna jest cała wiadomość i stan DNS z chwili doręczenia. Pokazuje to, co zapisał odbiorca, i samo porównuje domeny. Aby sprawdzić rekordy domeny teraz, użyj sprawdzania SPF, sprawdzania DKIM (selektor to s= z DKIM-Signature) i sprawdzania DMARC.

Dopasowanie: czemu SPF przeszedł, a DMARC nie

DMARC uznaje SPF lub DKIM tylko wtedy, gdy ich domena pasuje do domeny w polu From, które widzi człowiek. SPF sprawdza domenę z Return-Path (adres zwrotów), DKIM — domenę z d= podpisu. W trybie relaxed wystarczy wspólna domena organizacyjna (news.shop.com i shop.com), w strict potrzebna jest dokładna zgodność.

Częste przyczyny rozbieżności:

Usługa mailingowa wstawia do Return-Path własną domenę i podpisuje DKIM własną domeną — oba testy przechodzą, ale nie są dopasowane. Ustaw w usłudze własną domenę zwrotów i podpis DKIM swoją domeną.
Przekazywanie. Serwer przekazujący wysyła wiadomość ze swojego IP, więc SPF domeny pierwotnej nie przechodzi. Ratuje DKIM, jeśli wiadomości nie zmieniono, oraz ARC: serwer przekazujący stawia pieczęć z wynikami, które widział przed przekazaniem.
Listy dyskusyjne dodają stopkę lub znacznik w temacie — DKIM się psuje. Dlatego wiele list zmienia From na własny adres.

Jak SPF, DKIM i DMARC współpracują i jak je skonfigurować, opisuje artykuł SPF, DKIM i DMARC: uwierzytelnianie poczty.

Oznaki phishingu w nagłówkach

DMARC fail lub brak wyniku, choć wiadomość jest „z banku” albo znanej usługi.
Reply-To w innej domenie, zwłaszcza darmowej poczcie: odpowiadasz komuś innemu niż adres w From.
W nazwie wyświetlanej jest inny adres: "[email protected]" <[email protected]>.
Pierwszy publiczny IP w łańcuchu nie należy do deklarowanego nadawcy — sprawdź go na czarnych listach i w geolokalizacji IP.
Filtr antyspamowy po drodze już ją oznaczył (X-Spam-Status: Yes, SCL 5 i więcej w Microsoft 365).

Żadna oznaka sama w sobie nie dowodzi podróbki, a ich brak nie gwarantuje bezpieczeństwa: przejęta prawdziwa skrzynka przechodzi wszystkie testy. Jeśli wiadomość prosi o pieniądze, hasło lub pilne działanie, skontaktuj się z nadawcą inną drogą.