Analisador de cabeçalhos de e-mail

O que um cabeçalho de e-mail pode: e não pode: mostrar

O e-mail na Internet usa campos de cabeçalho nomeados, seguidos por uma linha em branco e pelo corpo da mensagem. A RFC 5322 define esse formato, inclusive a dobra de campos: uma linha que começa com espaço continua o campo anterior. O analisador desdobra essas continuações antes de interpretar os dados. Ele para na primeira linha em branco, por isso não analisa o corpo nem os anexos.

Os agentes de transferência de e-mail normalmente acrescentam um campo Received no início sempre que a mensagem cruza um servidor. Por isso, esses campos aparecem do mais recente para o mais antigo na fonte bruta. O relatório inverte a ordem para mostrar uma linha do tempo que começa na origem. Uma diferença de tempo só aparece quando os dois horários adjacentes podem ser interpretados. Uma diferença negativa é indicada como possível descompasso de relógio e impede o cálculo do tempo total de trânsito; ela nunca é alterada silenciosamente para zero.

Como interpretar a seção de autenticação

A RFC 8601 define Authentication-Results, campo acrescentado por um sistema receptor para registrar resultados como spf=pass, dkim=pass ou dmarc=fail. O analisador conserva campos Authentication-Results repetidos porque uma mensagem pode atravessar mais de um domínio administrativo. Também preserva propriedades associadas, como smtp.mailfrom, header.d e header.from, exatamente como foram declaradas.

Uma DKIM-Signature contém metadados como domínio signatário (d=), seletor (s=), algoritmo (a=), identidade (i=) e valores criptográficos extensos (b= e bh=). O relatório registra tags úteis e se os valores da assinatura estão presentes, mas exclui de propósito os blocos de assinatura da exportação JSON. Nenhuma consulta DNS ou verificação criptográfica é realizada.

A RFC 8617 define Authenticated Received Chain (ARC). Uma instância ARC está estruturalmente completa quando contém um elemento ARC-Seal, um ARC-Message-Signature e um ARC-Authentication-Results com o mesmo valor i=. “Completa” descreve apenas esses três elementos; não significa que a cadeia seja válida ou confiável.

Exemplo prático de rota

Imagine que a fonte bruta contenha dois campos Received. O campo inferior diz que uma origem entregou a mensagem a um relay às 10:00:03 +0000; o superior diz que o relay chegou ao destinatário às 10:00:10 +0000. O relatório mostra primeiro o evento de origem e calcula um intervalo observado de 7 segundos. Os fusos horários são respeitados: de 10:00:03 +0000 a 12:00:06 +0200 são 3 segundos, não duas horas. Se o segundo horário normalizado for cinco segundos anterior, o relatório sinaliza descompasso de relógio e deixa o total indisponível.

Limites de confiança e armadilhas comuns

A RFC 5321 descreve o transporte SMTP e as informações de rastreamento acrescentadas pelos servidores. Cabeçalhos recebidos de fora de um sistema de e-mail confiável podem ser inventados. Comece a confiar em um receptor que você controla e só retroceda até onde os registros e as políticas dele justificarem. Diferenças entre os domínios do From visível e do Return-Path são comuns em listas de e-mail, serviços de encaminhamento e plataformas transacionais: são uma observação, não prova de falsificação ou uso indevido de identidade.

Assuntos e nomes de exibição codificados podem usar palavras codificadas da RFC 2047. O analisador decodifica formatos Base64 ou quoted-printable comuns em UTF-8, ISO-8859-1 e Windows-1252; codificações incompatíveis continuam visíveis com um aviso. Coleções muito grandes de campos e saltos são limitadas para manter o navegador responsivo. Em uma resposta a incidentes, guarde a mensagem original separadamente: as exportações são relatórios concisos e não contêm o texto bruto, o corpo, os anexos nem os blocos de assinatura DKIM.

Privacidade e exportações

Análise, seleção, cópia e criação de exportações acontecem localmente na aba atual. As etapas do funil usam armazenamento de sessão restrito à aba, e não uma URL; por isso, os dados brutos do cabeçalho não são enviados pelo Livewire nem expostos nos parâmetros de navegação. O limite de entrada é 512 KiB. O CSV da linha do tempo usa UTF-8 com marca de ordem de bytes e linhas CRLF; células que começam com caracteres de fórmula de planilha são neutralizadas. O JSON contém as observações interpretadas e a ressalva do relatório, não o cabeçalho original.