Як прочитати заголовки листа: звідки прийшов, чи справжній відправник і чому лист у спамі
Щоб прочитати заголовки листа, відкрийте його вихідний текст (у Gmail: меню ⋮ → «Показати оригінал»), знайдіть рядки Received і читайте їх знизу вгору — так ви побачите шлях листа від сервера до сервера. Потім подивіться заголовок Authentication-Results: у ньому ваш поштовий сервер записав, чи пройшли перевірки SPF, DKIM і DMARC. Цих двох блоків досить, щоб відповісти на три типові запитання: звідки насправді прийшов лист, чи справжній відправник і чому лист потрапив у спам.
Що таке заголовки листа і які з них справді потрібні
Лист складається із заголовків і тіла. Заголовки — це рядки формату Назва: значення. Одні пише поштова програма відправника (From, Subject, Date), інші додає кожен сервер дорогою (Received) і сервер отримувача (Return-Path, Authentication-Results). Поштовий клієнт показує лише кілька полів, а повний перелік — це десятки рядків, і більшість із них для аналізу не знадобиться. Варто знати такі:
| Заголовок | Хто додає | Що з нього видно |
|---|---|---|
From | Програма відправника | Адреса, яку ви бачите. Сама по собі підробляється легко — саме для цього існує DMARC. |
Reply-To | Програма відправника | Куди піде ваша відповідь. Інший домен, ніж у From, — звична річ для підтримки й розсилок, але привід насторожитися в несподіваному проханні. |
Return-Path | Кінцевий сервер-отримувач | Конвертний відправник (адреса для повернень). SPF перевіряють саме за цим доменом, а не за From. |
Message-ID | Програма або сервер відправника | Унікальний ідентифікатор листа. Домен у ньому часто підказує, яка система створила лист. |
Received | Кожен сервер на маршруті | Один рядок на хоп: хто кому передав лист, з якої IP, коли, із шифруванням чи без. |
Authentication-Results | Сервер-отримувач | Результати SPF, DKIM і DMARC на момент доставки. |
Received-SPF | Деякі сервери-отримувачі | Окремий рядок із результатом SPF і перевіреною IP. |
DKIM-Signature | Сервер, що підписує | Підпис: d= — домен підпису, s= — селектор, h= — перелік підписаних заголовків. |
ARC-Seal, ARC-Message-Signature, ARC-Authentication-Results | Посередники (пересилання, списки розсилки) | Які перевірки посередник бачив до пересилання; cv= в ARC-Seal показує, чи цілий ланцюжок. |
Заголовки X-… | Спам-фільтри, поштові системи | У кожного свої: наприклад, X-Spam-Status і X-Spam-Score у SpamAssassin, X-MS-Exchange-Organization-SCL або X-Forefront-Antispam-Report у Microsoft 365. |
Як подивитися заголовки листа в Gmail, Outlook, Apple Mail та інших
- Gmail у браузері: відкрийте лист → ⋮ → «Показати оригінал». Угорі буде коротке зведення (вердикти SPF, DKIM і DMARC), нижче — самі заголовки. «Завантажити оригінал» збереже файл .eml.
- Outlook для Windows: відкрийте лист в окремому вікні → «Файл» → «Властивості» → поле «Заголовки Інтернету».
- Outlook у браузері та новий Outlook: меню «…» біля листа → «Перегляд» → «Переглянути відомості про повідомлення».
- Apple Mail: «Перегляд» → «Повідомлення» → «Усі заголовки» або «Вихідний текст».
- Thunderbird: Ctrl+U (⌘U на Mac) відкриває вихідний текст листа.
- Ukr.net, Yahoo та інші веб-пошти: шукайте в меню листа пункт на кшталт «властивості листа», «службові заголовки» чи «вихідне повідомлення».
Назви пунктів змінюються від версії до версії: якщо шлях не збігся, пошукайте в довідці клієнта «вихідний текст листа» або «заголовки Інтернету». Ще дві практичні поради: мобільні застосунки зазвичай не показують повних заголовків — відкрийте лист на комп’ютері; а копія з папки «Надіслані» для діагностики марна — вона ще нікуди не їздила, тож у ній немає рядків Received з боку отримувача й результатів перевірок.
Покроково: як розібрати заголовки
- Почніть із видимих адрес. Випишіть From, Reply-To (якщо є) і Return-Path. Три різні домени — привід придивитися, а не вирок.
- Знайдіть верхній Authentication-Results. Якщо їх кілька, верхній додав ваш власний поштовий сервіс — довіряти варто йому. Дивіться
spf=,dkim=іdmarc=. - Перевірте вирівнювання. DMARC зараховує SPF або DKIM лише тоді, коли їхній домен збігається з доменом у From (докладно нижче).
- Прочитайте Received знизу вгору. Нижній рядок — найраніший хоп, верхній — ваша скринька.
- Знайдіть першу публічну IP, від якої надійна частина ланцюжка прийняла лист, — це найкраща доступна «IP відправника».
- Перегляньте заголовки спам-фільтрів: як і ким оцінено лист.
Як читати ланцюжок Received знизу вгору
Кожен сервер дописує свій рядок Received над наявними, тому порядок зворотний. Спрощений ланцюжок може виглядати так:
Received: by 2002:a05:6000:1a8b with SMTP id …;
Tue, 13 Oct 2026 09:14:07 -0700 (PDT)
Received: from mail.shop.example (mail.shop.example. [203.0.113.40])
by mx.google.com with ESMTPS id …
for <[email protected]>; Tue, 13 Oct 2026 09:14:05 -0700 (PDT)
Received: from app-07.internal (unknown [10.0.4.17])
by mail.shop.example (Postfix) with ESMTP id 4F2A1;
Tue, 13 Oct 2026 16:13:58 +0000 (UTC)Нижній рядок: внутрішня машина з приватною IP (10.0.4.17) передала лист поштовому серверу магазину. Середній: MX-сервер Google прийняв його з адреси 203.0.113.40 через TLS (ESMTPS). Верхній: внутрішня доставка до скриньки. У кожному рядку from — як відрекомендувався вузол-відправник, у дужках — що насправді побачив сервер, який приймав (ім’я за зворотним DNS та IP), by — сервер, що прийняв. IP у квадратних дужках записав отримувач, тому їй можна довіряти більше, ніж імені після from.
Головне правило: надійні лише ті рядки, які додали сервери, яким ви довіряєте. Будь-хто може вписати в лист підроблені Received ще до надсилання. Ідіть згори вниз, доки сервери належать вашому поштовому сервісу; хоп, на якому ваш сервіс прийняв лист, — межа надійної частини.
Затримки між хопами
Порівнюйте час сусідніх хопів, звівши його до одного часового поясу (у прикладі зсуви різні: −0700 і +0000). Кілька секунд на хоп — норма. Хвилини й години зазвичай означають грейлістинг (отримувач попросив повторити спробу пізніше), чергу у відправника, перевірку вмісту або повтор після тимчасової помилки. Від’ємна затримка не означає, що лист прийшов «із майбутнього», — просто годинники двох серверів розходяться.
Як дізнатися справжню IP відправника
«IP відправника» — це перша публічна адреса в надійній частині ланцюжка Received: машина, від якої ваш поштовий сервіс (або його перший ретранслятор) прийняв лист. Приватні діапазони 10.x.x.x, 172.16–31.x.x і 192.168.x.x — внутрішні мережі, про місцеперебування вони нічого не кажуть. Пам’ятайте про обмеження:
- Якщо людина пише з Gmail, Outlook.com чи іншої веб-пошти, перший публічний хоп — сервер цього сервісу. Домашньої чи офісної IP людини в заголовках зазвичай немає взагалі.
- Корпоративні сервери й деякі провайдери додають IP клієнта (іноді в окремому X-заголовку). Це може бути VPN, шлюз мобільного оператора чи проксі офісу.
- Геолокація за IP приблизна: вона показує, де адресу зареєстровано або куди її маршрутизують, а не де сидить людина.
Знайдену IP перевірте за чорними списками і подивіться власника в геолокації IP або зворотному DNS. Якщо адреса в списках, допоможе стаття чому IP у чорному списку: що означають списки та як із них вийти.
Результати SPF, DKIM і DMARC та вирівнювання
Типовий рядок від Gmail:
Authentication-Results: mx.google.com;
dkim=pass [email protected] header.s=s1 header.b=Ab12Cd34;
spf=pass (google.com: domain of [email protected] designates 203.0.113.40 as permitted sender) [email protected];
dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=shop.exampleЩо тут написано:
- spf=pass — IP, що доставила лист, дозволена SPF-записом домену з Return-Path (
smtp.mailfrom).softfailіfail— не дозволена;permerror— зламаний сам запис. - dkim=pass — підпис домену з
header.i/d=зійшовся з ключем у DNS під селекторомheader.s.fail— лист змінили дорогою або ключ не той. - dmarc=pass — принаймні одна з перевірок SPF чи DKIM пройшла для домену, вирівняного з From. У
p=— опублікована політика домену.
Вирівнювання — головне джерело плутанини. SPF перевіряє домен Return-Path, DKIM — домен d=, а людина бачить домен у From. DMARC пов’язує їх: за м’якого вирівнювання (relaxed, типово) mail.shop.example і shop.example вважаються збігом, бо мають спільний організаційний домен; за суворого (strict) домени мають збігатися повністю. Тому трапляється spf=pass і dkim=pass поруч із dmarc=fail: обидві перевірки пройшли, але для домену сервісу розсилок, а не для вашого.
Що домен публікує зараз, покажуть перевірка SPF, перевірка DKIM (селектор візьміть із s= у DKIM-Signature) і перевірка DMARC. Як три механізми працюють разом, пояснює стаття SPF, DKIM і DMARC: що це і як налаштувати, про селектори — DKIM: що це, запис і селектор.
Завдання: чому лист потрапив у спам
Попросіть отримувача надіслати заголовки листа, який опинився в спамі (ваша копія з «Надісланих» не допоможе), і пройдіться списком:
- Автентифікація. Будь-який
fail,softfailчиnoneу SPF, DKIM або DMARC — перше, що треба виправити. - Вирівнювання. Якщо DMARC не проходить, хоча SPF і DKIM пройшли, налаштуйте в сервісі розсилок власний домен повернень і підпис DKIM вашим доменом.
- IP надсилання. Перевірте першу публічну IP з вашого боку за чорними списками.
- Вердикти спам-фільтрів. SpamAssassin перелічує правила, що спрацювали, в
X-Spam-Status; у Microsoft 365 значення SCL 5 і вище означає, що лист визнано спамом. - Заголовки масової розсилки. Розсилки без робочого заголовка
List-Unsubscribeвеликі поштові сервіси зустрічають суворіше.
Якщо все проходить, а IP чиста, причина зазвичай у репутації або вмісті — цього заголовки прямо не покажуть.
Завдання: чи справжній відправник — ознаки підробки та фішингу
- Лист нібито від банку чи відомого сервісу, а DMARC не пройдено або результату немає.
- Reply-To веде на інший домен, особливо на безкоштовну пошту.
- У відображуваному імені одна адреса, а справжня — інша:
"[email protected]" <[email protected]>. - Схожий домен у From чи Return-Path: цифра замість літери, зайве слово, інша доменна зона.
- Перша публічна IP належить мережі, яка ніяк не пов’язана із заявленим відправником.
- Спам-фільтр дорогою вже позначив лист.
Приватність: обережно, коли ділитеся заголовками
У заголовках часто більше особистих даних, ніж у самому листі: ваша повна адреса, інколи адреси інших отримувачів, імена внутрішніх серверів, IP-адреси, поштова програма відправника, персональні посилання для відписки й відстеження. Перш ніж викладати заголовки на форум чи в тікет, замініть свою адресу й довгі токени в посиланнях заглушками, але залиште Received, Authentication-Results і DKIM-Signature цілими — без них ніхто нічого не продіагностує. Обирайте інструменти, які розбирають заголовки на вашому пристрої, а не зберігають вставлений текст.
Типові помилки
- Читати Received згори вниз і вважати сервер отримувача відправником.
- Довіряти всім рядкам Received, зокрема тим, що додані до того, як лист потрапив на надійний сервер.
- Вважати
spf=passдоказом, що From справжній: SPF перевіряє Return-Path. - Розбиратися з проблемою спаму за копією з «Надісланих».
- Порівнювати час хопів без зведення до одного часового поясу.
Як розібрати заголовки в інструменті PromoPilot
Вставте заголовки або перетягніть файл .eml в аналізатор заголовків листа. Він покаже хопи знизу вгору із затримками в UTC, найдовший крок і розбіжність годинників, першу публічну IP у ланцюжку, результати SPF, DKIM, DMARC і ARC, які записав отримувач, вирівнювання From, Return-Path і DKIM d=, заголовки спам-фільтрів, заголовки відписки в один клік та ознаки підробки — скажімо, інший Reply-To чи чужу адресу у відображуваному імені.
Чого інструмент не робить:
- Не перевіряє DKIM-підписи заново: для цього потрібен увесь лист і DNS на момент доставки. Він показує те, що записав сервер-отримувач, і сам звіряє домени.
- Сам нічого не запитує щодо IP і доменів: посилання біля IP ведуть на наші перевірки чорних списків, геолокації та зворотного DNS — якщо захочете їх запустити.
- Не читає файли Outlook .msg (двійковий формат) — скопіюйте «Заголовки Інтернету» або збережіть лист як .eml.
- Організаційний домен для вирівнювання визначає приблизно, без повного Public Suffix List.
Розбір виконує JavaScript у вашому браузері, заголовки на наш сервер не надсилаються. Денного ліміту немає; за один раз — до 2 МБ тексту (з .eml читається перший 1 МБ).