邮件头部是附加在每封电子邮件消息上的元数据部分,包含重要的路由和身份验证信息。头部包括发件人和收件人地址、时间戳、主题行,以及邮件在投递过程中经过的服务器的详细记录。这些技术数据使邮件服务器能够正确路由消息、验证发件人身份,并帮助安全系统检测伪造或篡改企图。
邮件头部对安全性和投递率都至关重要。对于安全专业人员来说,头部可以揭示邮件的真实来源,即使可见的 From 字段看起来合法,也能暴露潜在的钓鱼企图。通过检查 Received 链和身份验证结果,您可以验证邮件是否确实来自声称的发件人。 从投递率角度来看,头部包含收件箱提供商用来决定是接受、隔离还是拒绝接收邮件的身份验证信号。显示 SPF、DKIM 和 DMARC 通过的正确身份验证头部的邮件,比未通过这些检查的邮件更有可能到达收件箱。 当邮件丢失或进入垃圾邮件时,头部还提供重要的调试信息。技术支持团队依靠头部分析来诊断投递失败、识别被列入黑名单的 IP,以及解决路由问题。
每封电子邮件由两部分组成:头部和正文。正文包含您的实际消息内容,而头部则保存使邮件投递成为可能的技术信息。当您发送邮件时,您的邮件服务器会添加初始头部字段,如 From、To、Date 和 Subject。 当邮件在互联网上传输时,它经过的每个邮件服务器都会添加一个 Received 头部条目,形成邮件传输路径的时间顺序记录。这些条目按逆序堆叠,因此最近的服务器显示在最上方。这条链路有助于排查投递问题和检测可疑的路由模式。 身份验证头部如 Authentication-Results、DKIM-Signature 和 Received-SPF 由接收服务器在检查 SPF、DKIM 和 DMARC 记录后添加。这些头部表明邮件是否通过或未通过各种身份验证检查,帮助垃圾邮件过滤器和收件人评估邮件的合法性。
在 Gmail 中,打开邮件并点击三点菜单,然后选择"显示原始邮件"。在 Outlook 中,打开邮件,转到"文件">"属性",查看 Internet 头部部分。大多数邮件客户端在邮件菜单中都有类似的"查看源代码"或"显示原始邮件"选项。
重点关注 Authentication-Results(显示 SPF/DKIM/DMARC 通过或失败)、Received 头部(揭示实际路径和来源)、Return-Path(信封发件人地址)和 DKIM-Signature(加密验证)。这些头部与可见的 From 地址之间的差异通常表明存在伪造。
某些头部如 From 和 Subject 可以被发件人轻易伪造。但是,由链路中每个服务器添加的 Received 头部更加可信,而 DKIM-Signature 等身份验证头部使用加密技术,攻击者在没有访问域名私钥的情况下无法伪造。
处理邮件的每个服务器都会添加自己的头部,邮件在到达您之前可能经过垃圾邮件过滤器、安全网关和多个邮件服务器。通过 ESP 发送的营销邮件通常有额外的跟踪和身份验证头部,导致头部部分很长。