Анализатор заголовков письма

Вставьте заголовки письма — покажем, через какие серверы оно прошло и где задержалось, что получатель записал про SPF, DKIM, DMARC и ARC, совпадают ли домены From, Return-Path и подписи, и есть ли признаки подделки. Заголовки не покидают ваш браузер.

Открыть .eml Примеры: ·

Заголовки разбираются JavaScript-кодом в вашем браузере и на сервер не отправляются: адреса, темы и IP мы не видим. Сохраняем только обезличенный счётчик (сколько хопов, какие результаты SPF/DKIM/DMARC). По IP и доменам мы сами ничего не запрашиваем — ссылки ведут на наши проверки, если захотите их запустить.

Коротко об инструменте

Цена: Бесплатно
Регистрация: Не нужна
Где идёт обработка: В вашем браузере — данные не отправляются на сервер
Что принимает: Заголовки письма, вставленные текстом (из Gmail, Outlook, Apple Mail, Thunderbird), или файл .eml; тело письма отбрасывается
Лимиты: Без дневного лимита; до 2 МБ текста за раз (из .eml читается первый 1 МБ); формат .msg не поддерживается
Результат: Хопы Received с задержками и рассинхроном часов, SPF/DKIM/DMARC/ARC от получателя, выравнивание From/Return-Path/DKIM d=, DKIM-подписи, спам-заголовки, отписка в один клик, признаки подделки; отчёт копируется текстом
Обновлено: 2026-10-13

Альтернативы

Другие инструменты для той же задачи и в чём каждый из них силён:

Google Admin Toolbox Messageheader — Инструмент Google: приводит время всех хопов к одному поясу и показывает, на каком шаге письмо задержалось.
MXToolbox Email Header Analyzer — Делает заголовки читаемыми по RFC 822: задержки хопов, результаты антиспама; рядом — остальные проверки MXToolbox (чёрные списки, DNS).
Microsoft Message Header Analyzer — Открытый анализатор Microsoft: есть веб-версия и надстройка для Outlook, которая берёт заголовки открытого письма сама.

Когда выбрать этот инструмент: Когда заголовки нельзя отдавать стороннему сервису (письмо клиента, внутренняя переписка) — разбор идёт в браузере. И когда нужно понять, почему не прошёл DMARC: инструмент сам сверяет домены From, Return-Path и DKIM d=, показывает цепочку ARC пересылок и проверяет отписку в один клик.

Описания сверены с сайтами этих инструментов в октябре 2026 года.

Анализ заголовков письма онлайн

Заголовки письма — это его история: каждый сервер по пути дописывает строку Received, а сервер-получатель записывает, прошло ли письмо SPF, DKIM и DMARC. Читать их вручную долго: строки свёрнуты, порядок обратный, время в разных часовых поясах. Инструмент раскладывает цепочку Received по хопам в хронологическом порядке, считает задержку каждого шага и общую, отмечает рассинхрон часов и медленные хопы, показывает результаты Authentication-Results, ARC и Received-SPF, параметры DKIM-подписей, сверяет домены From, Return-Path и DKIM d= (выравнивание DMARC) и подсвечивает признаки подделки: Reply-To на чужом домене, чужой адрес в отображаемом имени, вердикт спам-фильтра. Всё считается в браузере.

Хопы Received по времени: от кого, кем принято, протокол и TLS, задержка, рассинхрон часов

SPF, DKIM, DMARC, ARC и compauth из Authentication-Results, Received-SPF

Выравнивание From ↔ Return-Path ↔ DKIM d=, разбор DKIM-подписей (селектор, алгоритм, h=, l=)

Признаки фишинга, SpamAssassin и Microsoft SCL/BCL, отписка в один клик (RFC 8058)

Вставка из Gmail, Outlook, Apple Mail или файл .eml; ссылки на проверку IP и домена отправителя

Как пользоваться

Откройте письмо и скопируйте заголовки: в Gmail — «⋮ → Показать оригинал», в Outlook — «Файл → Свойства → Заголовки Интернета» (подробнее в гайде ниже)
Вставьте текст в поле или перетащите файл .eml — разбор начнётся сразу
Начните с итога и списка «Что стоит проверить», затем посмотрите хопы и выравнивание доменов

FAQ

Gmail: откройте письмо, нажмите «⋮» справа вверху → «Показать оригинал» и скопируйте всё или нажмите «Скачать оригинал» (.eml). Outlook для Windows: двойной клик по письму → «Файл → Свойства», поле «Заголовки Интернета». Outlook в браузере и новый Outlook: «…» → «Просмотр» → «Просмотреть сведения о сообщении». Apple Mail: «Вид → Сообщение → Все заголовки». Thunderbird: Ctrl+U (исходный текст). В почте на iPhone полных заголовков нет — используйте компьютер.

Нет. Разбор делает JavaScript в вашем браузере: адреса, тема, IP и имена серверов никуда не уходят. Мы сохраняем только обезличенный счётчик — сколько было хопов и какие коды SPF/DKIM/DMARC. Ссылки на проверку IP и доменов открывают наши инструменты только если вы сами по ним перейдёте.

Каждый сервер пишет время по своим часам. Если часы одного из них (или компьютера отправителя, который ставит заголовок Date) спешат или отстают, следующий хоп выглядит «раньше» предыдущего. Это не ошибка доставки, но задержки рядом с таким хопом неточны — инструмент помечает их «часы расходятся».

DMARC требует выравнивания: SPF проверяет домен из Return-Path, и он должен совпадать с доменом в From (или DKIM должен пройти для домена из From). Сервисы рассылок часто ставят свой домен в Return-Path — SPF проходит, но для DMARC не засчитывается. Решение — подписывать письма DKIM своим доменом или настроить собственный домен возвратов у сервиса. Таблица «Выравнивание доменов» показывает, какой из двух путей не сработал.

Зависит от задачи. Google Admin Toolbox Messageheader хорошо показывает, где письмо задержалось. MXToolbox разбирает заголовки и рядом предлагает свои проверки чёрных списков. Microsoft Message Header Analyzer удобен в Outlook (есть надстройка) и для антиспам-заголовков Microsoft 365. Этот инструмент работает целиком в браузере, сам сверяет выравнивание From, Return-Path и DKIM d=, показывает цепочку ARC, отписку в один клик и признаки подделки — на русском, украинском, английском и польском.

Как скопировать заголовки письма

Почта	Где найти заголовки
Gmail (в браузере)	Откройте письмо → «⋮» справа вверху → «Показать оригинал». Скопируйте всё на открывшейся странице или нажмите «Скачать оригинал» и перетащите файл .eml сюда. Таблицу над заголовками инструмент пропустит сам.
Outlook для Windows	Откройте письмо двойным кликом → «Файл → Свойства» → поле «Заголовки Интернета». Выделите текст (Ctrl+A) и скопируйте.
Outlook в браузере, новый Outlook	«…» в письме → «Просмотр» → «Просмотреть сведения о сообщении».
Apple Mail	«Вид → Сообщение → Все заголовки» или «Вид → Сообщение → Исходный текст».
Thunderbird	Ctrl+U (⌘U на Mac) — исходный текст письма.
Yahoo Mail	«…» в письме → «Показать исходное сообщение».

Почтовое приложение на iPhone и большинство мобильных клиентов полных заголовков не показывают — откройте письмо на компьютере. Копию из папки «Отправленные» разбирать бесполезно: в ней ещё нет ни пути доставки, ни результатов проверок получателя.

Как читать цепочку Received

Каждый сервер, через который прошло письмо, добавляет строку Received сверху. Поэтому читать их нужно снизу вверх: нижняя — первый сервер отправителя, верхняя — ваш почтовый ящик. Типичная строка:

Received: from mail.example.org (mail.example.org [203.0.113.40])
        by mx.google.com with ESMTPS id a1si123
        for <[email protected]>; Wed, 14 Oct 2026 01:20:44 -0700 (PDT)

from — как отправляющий узел представился (HELO), а в скобках — его настоящее имя по обратному DNS и IP-адрес. IP в квадратных скобках записал принимающий сервер, ему можно верить больше, чем имени после from.
by — сервер, который принял письмо на этом шаге.
with — протокол: ESMTPS — с шифрованием TLS, ESMTPSA — ещё и с логином отправителя, LMTP — локальная доставка в ящик.
id и for — номер в очереди сервера и получатель; по id администратор найдёт письмо в логах.
Дата после точки с запятой — время приёма по часам этого сервера.

Инструмент переводит все даты в UTC и считает задержку каждого хопа относительно предыдущего. Несколько секунд на хоп — норма. Минуты и часы обычно означают грейлистинг (сервер получателя временно отказал и отправитель повторил попытку), очередь у отправителя, проверку антивирусом или повторную отправку после ошибки. Отрицательная задержка — не «письмо из будущего», а расхождение часов двух серверов или компьютера отправителя.

Важно: строкам Received ниже первого сервера вашего почтового провайдера доверять нельзя безоговорочно. Спамер может дописать в письмо поддельные Received ещё до отправки. Надёжны те строки, которые добавили серверы вашего провайдера, — начиная с верхней и до места, где письмо к ним попало.

Что означают результаты SPF, DKIM и DMARC

Сервер-получатель записывает свои проверки в заголовок Authentication-Results. Если таких заголовков несколько, верхний — от конечного получателя, остальные добавили промежуточные серверы.

Результат	Что значит
pass	Проверка пройдена.
fail	SPF: IP отправителя явно не разрешён (`-all`). DKIM: подпись не сошлась — письмо изменили или ключ в DNS другой. DMARC: ни SPF, ни DKIM не прошли с выровненным доменом.
softfail	SPF: IP не разрешён, но домен просит не отклонять письмо строго (`~all`).
neutral, none	Домен ничего не утверждает (`?all`) или записи нет / письмо не подписано.
temperror	Временная ошибка DNS при проверке — повтор может пройти.
permerror	Запись с ошибкой: например, в SPF больше 10 DNS-запросов или две SPF-записи.

Инструмент не перепроверяет подписи заново — для этого нужно всё письмо и состояние DNS на момент доставки. Он показывает то, что записал получатель, и сам сверяет домены. Чтобы проверить записи домена сейчас, используйте проверку SPF, проверку DKIM (селектор берётся из s= в DKIM-Signature) и проверку DMARC.

Выравнивание: почему SPF прошёл, а DMARC нет

DMARC засчитывает SPF или DKIM, только если их домен совпадает с доменом в поле From, которое видит человек. SPF проверяет домен из Return-Path (адрес для возвратов), DKIM — домен из d= подписи. В режиме relaxed достаточно общего организационного домена (news.shop.com и shop.com), в strict нужно точное совпадение.

Частые причины расхождения:

Сервис рассылок ставит в Return-Path свой домен, а DKIM подписывает своим доменом — обе проверки проходят, но не выровнены. Настройте у сервиса собственный домен возвратов и подпись DKIM вашим доменом.
Пересылка. Пересылающий сервер отправляет письмо со своего IP — SPF исходного домена не проходит. Выручает DKIM, если письмо не меняли, и ARC: пересылающий сервер ставит печать с результатами, которые видел до пересылки.
Списки рассылки добавляют подпись или метку в тему — DKIM ломается. Поэтому многие списки переписывают From на свой адрес.

Как SPF, DKIM и DMARC работают вместе и как их настроить, подробно описано в статье SPF, DKIM и DMARC: что это и как настроить.

Признаки фишинга в заголовках

DMARC fail или отсутствует, хотя письмо «от банка» или известного сервиса.
Reply-To на другом домене, особенно на бесплатной почте: вы отвечаете не тому, кто указан в From.
В отображаемом имени написан чужой адрес: "[email protected]" <[email protected]>.
Первый публичный IP в цепочке не принадлежит заявленному отправителю — проверьте его по чёрным спискам и геолокации.
Спам-фильтр по пути уже пометил письмо (X-Spam-Status: Yes, SCL 5 и выше у Microsoft 365).

Ни один признак сам по себе не доказывает подделку, а их отсутствие не гарантирует безопасность: взломанный настоящий ящик проходит все проверки. Если письмо просит деньги, пароль или срочное действие, свяжитесь с отправителем другим способом.