Como ler cabeçalhos de e-mail: descubra o remetente real, a rota de entrega e por que a mensagem foi para o spam

Para ler os cabeçalhos de um e-mail, abra o código-fonte completo da mensagem (no Gmail: menu ⋮ → Mostrar original), encontre as linhas Received e leia-as de baixo para cima: essa é a rota que a mensagem percorreu, servidor por servidor. Depois, veja Authentication-Results: ele registra se SPF, DKIM e DMARC passaram quando o seu servidor de e-mail aceitou a mensagem. Esses dois blocos respondem às três perguntas mais comuns: de onde esse e-mail realmente veio, se o remetente é legítimo e por que ele foi parar no spam.

O que são cabeçalhos de e-mail e quais deles importam

Todo e-mail tem duas partes: cabeçalhos e corpo. Os cabeçalhos são uma lista de linhas no formato Nome: valor. Alguns são escritos pelo programa de e-mail do remetente (From, Subject, Date), outros são adicionados por cada servidor no caminho (Received) e pelo servidor de destino (Return-Path, Authentication-Results). Seu cliente de e-mail mostra apenas alguns deles. A lista completa costuma ter dezenas de linhas, e a maior parte é ruído. Estes são os que vale a pena conhecer:

Como ver os cabeçalhos de e-mail no Gmail, Outlook, Apple Mail e outros

• Gmail (web): abra a mensagem → ⋮ → Mostrar original. A página começa com um breve resumo (veredictos de SPF, DKIM e DMARC), seguido dos cabeçalhos brutos. Baixar original salva um arquivo .eml.
• Outlook para Windows: abra a mensagem em uma janela própria → Arquivo → Propriedades → Cabeçalhos da Internet.
• Outlook na web e o novo Outlook: menu … na mensagem → Exibir → Exibir detalhes da mensagem.
• Apple Mail: Visualizar → Mensagem → Todos os cabeçalhos, ou Código-fonte bruto para ver tudo.
• Thunderbird: Ctrl+U (⌘U no Mac) abre o código-fonte da mensagem.
• Yahoo Mail: … → Ver mensagem bruta.

Os menus mudam entre versões, então, se um caminho não corresponder, procure na ajuda do cliente por “código-fonte da mensagem” ou “cabeçalhos da internet”. Duas observações práticas: a maioria dos aplicativos de celular não mostra os cabeçalhos completos, então use um computador; e uma cópia da sua própria pasta Enviados não serve para diagnóstico: ela ainda não viajou a lugar nenhum, então não há linhas Received do lado do destinatário nem resultados de verificação.

Passo a passo: como ler um bloco de cabeçalhos

1. Comece pela identidade visível. Anote o endereço From, o Reply-To (se houver) e o Return-Path. Três domínios diferentes são um motivo para olhar com mais atenção, não um veredito.
2. Encontre o Authentication-Results mais acima. Se houver vários, o do topo foi adicionado pelo seu próprio provedor: confie nesse. Leia spf=, dkim= e dmarc=.
3. Verifique o alinhamento. O DMARC só considera o SPF ou o DKIM se o domínio deles corresponder ao domínio do From (veja abaixo).
4. Leia as linhas Received de baixo para cima. A linha mais baixa é o primeiro salto; a linha do topo é a sua caixa de entrada.
5. Encontre o primeiro IP público de quem a parte confiável da cadeia recebeu a mensagem: esse é o melhor “IP do remetente” disponível.
6. Observe os cabeçalhos do filtro de spam para ver como a mensagem foi pontuada e por quem.

Lendo a cadeia Received de baixo para cima

Cada servidor adiciona sua linha Received acima das já existentes, então a ordem fica invertida. Uma cadeia simplificada pode ser assim:

Received: by 2002:a05:6000:1a8b with SMTP id …;
        Tue, 13 Oct 2026 09:14:07 -0700 (PDT)
Received: from mail.shop.example (mail.shop.example. [203.0.113.40])
        by mx.google.com with ESMTPS id …
        for <you@gmail.com>; Tue, 13 Oct 2026 09:14:05 -0700 (PDT)
Received: from app-07.internal (unknown [10.0.4.17])
        by mail.shop.example (Postfix) with ESMTP id 4F2A1;
        Tue, 13 Oct 2026 16:13:58 +0000 (UTC)

Linha de baixo: uma máquina interna com IP privado (10.0.4.17) entregou a mensagem ao servidor de e-mail da loja. Linha do meio: o MX do Google aceitou a mensagem de 203.0.113.40 por TLS (ESMTPS). Linha de cima: entrega interna na caixa de entrada. Em cada linha, from é como o host remetente se apresentou, a parte entre colchetes é o que o servidor receptor realmente viu (nome de DNS reverso e IP) e by é o servidor receptor. O IP entre colchetes foi registrado pelo receptor, por isso é mais confiável que o nome após from.

Uma regra importa mais que todas as outras: somente as linhas adicionadas por servidores em que você confia são confiáveis. Qualquer pessoa pode inserir linhas Received falsas em uma mensagem antes de enviá-la. Comece pelo topo e siga a cadeia para baixo enquanto os servidores pertencerem ao seu provedor; o salto em que seu provedor aceitou a mensagem é onde termina a parte confiável.

Atrasos entre os saltos

Compare os carimbos de data e hora de saltos vizinhos depois de convertê-los para um único fuso horário (observe os diferentes deslocamentos no exemplo: −0700 e +0000). Segundos por salto são normais. Minutos ou horas geralmente indicam greylisting (o receptor pediu ao remetente que tentasse novamente mais tarde), uma fila no lado do envio, verificação de conteúdo ou novas tentativas após um erro temporário. Um atraso negativo não significa que a mensagem viajou no tempo: significa que os relógios de dois servidores não estão sincronizados.

Como encontrar o IP real do remetente

O “IP de origem” é o primeiro endereço público na parte confiável da cadeia Received: a máquina da qual seu provedor (ou o primeiro relay do provedor) aceitou a mensagem. Faixas privadas como 10.x.x.x, 172.16–31.x.x e 192.168.x.x são redes internas e não dizem nada sobre localização. Tenha em mente os limites:

• Se alguém escreve pelo Gmail, Outlook.com ou outro serviço de webmail, o primeiro salto público é o servidor desse provedor. O IP da casa ou do escritório da pessoa normalmente nem aparece nos cabeçalhos.
• Servidores corporativos e alguns provedores adicionam o IP do cliente (às vezes em um cabeçalho X- separado). Pode ser uma VPN, o gateway de uma operadora móvel ou um proxy de escritório.
• A geolocalização de IP é aproximada: mostra onde o endereço está registrado ou roteado, não onde a pessoa está.

Com o IP em mãos, verifique-o em listas de bloqueio de IP e descubra quem é o proprietário com a geolocalização de IP ou o DNS reverso. Se ele estiver listado, o artigo por que meu IP está em uma lista de bloqueio explica o que significam as listas e como funciona a remoção.

Resultados de SPF, DKIM e DMARC e alinhamento

Uma linha típica do Gmail é assim:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@shop.example header.s=s1 header.b=Ab12Cd34;
       spf=pass (google.com: domain of bounce@mail.shop.example designates 203.0.113.40 as permitted sender) smtp.mailfrom=bounce@mail.shop.example;
       dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=shop.example

O que cada parte diz:

• spf=pass: o IP que entregou a mensagem é permitido pelo registro SPF do domínio do Return-Path (smtp.mailfrom). softfail e fail significam que ele não é permitido; permerror significa que o próprio registro está com erro.
• dkim=pass: a assinatura de header.i/d= corresponde à chave publicada no DNS sob o seletor header.s. fail significa que a mensagem foi alterada no caminho ou que a chave não corresponde.
• dmarc=pass: pelo menos um entre SPF ou DKIM passou para um domínio alinhado com o From. A parte p= mostra a política publicada pelo domínio.

O alinhamento é de onde vem a maior parte da confusão. O SPF verifica o domínio do Return-Path e o DKIM verifica o domínio de d=, mas as pessoas veem o domínio do From. O DMARC liga os três: com alinhamento relaxado (o padrão), mail.shop.example e shop.example contam como correspondentes porque compartilham o domínio organizacional; com alinhamento estrito, eles precisam ser idênticos. Por isso você pode ver spf=pass e dkim=pass ao lado de dmarc=fail: as duas verificações passaram, mas para o domínio de um serviço de envio em vez do seu.

Para conferir o que um domínio publica agora, use o verificador de SPF, o verificador de DKIM (pegue o seletor em s= no DKIM-Signature) e o verificador de DMARC. Como os três se encaixam é explicado em SPF, DKIM e DMARC explicados, e os seletores em o que é um registro DKIM e um seletor.

Tarefa: por que meu e-mail foi para o spam?

Peça ao destinatário os cabeçalhos da mensagem que caiu no spam (a cópia da sua pasta Enviados não ajuda) e depois siga esta lista:

1. Autenticação. Qualquer fail, softfail ou none em SPF, DKIM ou DMARC é a primeira coisa a corrigir.
2. Alinhamento. Se o DMARC falha enquanto SPF e DKIM passam, configure um domínio de bounce personalizado e a assinatura DKIM com o seu próprio domínio no seu serviço de e-mail.
3. IP de envio. Verifique o primeiro IP público do seu lado em listas de bloqueio.
4. Veredictos do filtro de spam. O SpamAssassin lista as regras acionadas em X-Spam-Status; no Microsoft 365, um valor de SCL igual ou superior a 5 significa que a mensagem foi classificada como spam.
5. Cabeçalhos de envio em massa. Newsletters sem um cabeçalho List-Unsubscribe funcional são tratadas com menos benevolência pelos grandes provedores de caixa de e-mail.

Se tudo passa e o IP está limpo, a causa geralmente é reputação ou conteúdo, que os cabeçalhos não mostram diretamente.

Tarefa: o remetente é legítimo? Sinais de spoofing e phishing

• A mensagem diz ser de um banco ou de um serviço conhecido, mas o DMARC falha ou está ausente.
• O Reply-To aponta para um domínio diferente, principalmente uma caixa de e-mail gratuita.
• O nome de exibição contém um endereço diferente do real: "support@bank.example" <alerts@bank-help.example>.
• Um domínio parecido no From ou no Return-Path (um número no lugar de uma letra, uma palavra a mais, um TLD diferente).
• O primeiro IP público pertence a uma rede que não tem nada a ver com o remetente alegado.
• Um filtro de spam no caminho já marcou a mensagem.

Privacidade: cuidado ao compartilhar cabeçalhos

Os cabeçalhos costumam conter mais dados pessoais do que a mensagem visível: seu endereço completo e, às vezes, outros destinatários, nomes de hosts internos, endereços IP, o programa de e-mail do remetente e links pessoais de cancelamento de inscrição ou de rastreamento. Antes de publicar cabeçalhos em um fórum ou em um ticket, substitua seu endereço e quaisquer tokens longos nos links por marcadores, mas mantenha Received, Authentication-Results e DKIM-Signature intactos, pois sem eles ninguém consegue diagnosticar nada. Prefira ferramentas que processam os cabeçalhos localmente a aquelas que armazenam o que você cola.

Erros comuns

• Ler as linhas Received de cima para baixo e tomar o servidor do destinatário pelo do remetente.
• Confiar em todas as linhas Received, incluindo as adicionadas antes de a mensagem chegar a um servidor confiável.
• Tratar spf=pass como prova de que o From é legítimo: o SPF verifica o Return-Path.
• Diagnosticar um problema de spam a partir da cópia na pasta Enviados.
• Comparar horários sem converter os fusos horários.

Analise cabeçalhos com a ferramenta do PromoPilot

Cole os cabeçalhos ou solte um arquivo .eml no Email Header Analyzer. Ele lista os hops de baixo para cima, com os atrasos em UTC, aponta a etapa mais lenta e as divergências de relógio, mostra o primeiro IP público da cadeia, os resultados de SPF, DKIM, DMARC e ARC registrados pelo destinatário, o alinhamento entre From, Return-Path e o d= do DKIM, os cabeçalhos do filtro de spam, os cabeçalhos de cancelamento de inscrição com um clique e sinais de spoofing, como um Reply-To diferente ou um endereço no nome de exibição.

O que ela não faz:

• Ela não verifica novamente as assinaturas DKIM. Isso exige a mensagem completa e o DNS como estava no momento da entrega, então a ferramenta mostra o que o servidor receptor registrou e verifica os domínios por conta própria.
• Ela não consulta IPs ou domínios por conta própria: os links ao lado de cada IP levam às nossas verificações de blacklist, geolocalização e DNS reverso, caso você queira executá-las.
• Ela não consegue ler arquivos .msg do Outlook (um formato binário): copie os cabeçalhos da Internet ou salve a mensagem como .eml.
• O domínio organizacional para o alinhamento é determinado de forma aproximada, sem a Public Suffix List completa.

A análise é executada em JavaScript no seu navegador; os cabeçalhos não são enviados ao nosso servidor. Não há limite diário; cada execução aceita até 2 MB de texto (de um arquivo .eml, o primeiro 1 MB é lido).