Kaip skaityti antraštes: iš kur atkeliavo šis laiškas?

1 modulis: Kaip veikia el. paštas · Skaitymo trukmė: 11 min.

Mokymosi tikslas: Po šios pamokos galėsite atidaryti el. laiško antraštes, perskaityti Received eilutes teisinga tvarka ir iš Authentication-Results nustatyti, ar SPF, DKIM ir DMARC patikros buvo sėkmingos.

Pagrindinės sąvokos: antraštės (headers), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, X- antraštės, šaltinis arba originalus pranešimas

Ko paprastai nematote

Jūsų pašto programa parodo tik kelias laiško eilutes: siuntėją, temą, datą, gavėjus. Iš tikrųjų kiekvienas laiškas prieš tekstą turi dešimtis antraščių (headers). Jas prideda siuntėjo programa ir kiekvienas serveris, per kurį laiškas keliauja. Kartu jos sudaro laiško kelionės žurnalą.

Kas moka skaityti antraštes, gali pats atsakyti į daugelį klausimų: ar šis laiškas tikrai iš mano banko? Kodėl jis atkeliavo tik po dviejų valandų? Kodėl jis atsidūrė spam aplanke? Ar mano DKIM yra teisingas? Daugelis šio kurso užduočių prašo peržiūrėti antraštes. Šioje pamokoje išmoksite, kaip tai padaryti.

Antraščių atidarymas

Kiekvienoje programoje tam skirtas kitoks mygtukas:

Telefone to paprastai padaryti negalima. Tokiu atveju persiųskite laišką sau kaip priedą arba atidarykite jį žiniatinklio pašte.

Pavyzdys

Jonas gauna laišką iš Onos. Taip atrodo svarbiausios antraštės (sutrumpintai):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Received eilutės: nuo apačios į viršų

Kiekvienas serveris, kuris perduoda laišką, prideda Received: eilutę viršuje. Taigi seniausia eilutė yra apačioje, naujausia viršuje. Skaitykite jas nuo apačios į viršų, kad sektumėte laiško kelionę:

1. Apatinė eilutė: Onos nešiojamasis kompiuteris (IP 198.51.100.77, jos namų interneto ryšys) pristato laišką serveriui out.hosting.example, naudodamas ESMTPSA (raidė A reiškia authenticated: ji prisijungė) ir TLS 1.3. 10:15:04 val.
2. Vidurinė eilutė: out.hosting.example (192.0.2.25) pristato laišką serveriui mx1.mailprovider.example, kuris yra example.net domeno MX. 10:15:07 val.
3. Viršutinė eilutė: pašto serveris patalpina laišką Jono pašto dėžutėje vidiniu būdu (LMTP). 10:15:09 val.

Received eilutė visada turi tokią formą: from <kas pasiūlė> by <kas priėmė> with <protokolas>; <laikas>. Skliausteliuose po from nurodyta tai, ką pats pamatė priimantis serveris: tikrasis vardas (PTR) ir tikrasis IP adresas. Ši dalis yra patikima tiek, kiek pasitikite tuo priimančiu serveriu. To, ką pats nurodė siuntėjas (helo=), patikrinti negalima.

Du praktiniai patarimai:

• Vėlavimo paieška: palyginkite laikus. Jei tarp dviejų eilučių yra dviejų valandų skirtumas, vadinasi, laiškas tiek laiko stovėjo eilėje. Atkreipkite dėmesį į laiko juostas (+0100, +0000).
• Tikrojo siuntėjo serverio paieška: raskite aukščiausią Received eilutę, kurią parašė pats gavėjo serveris, ir pažiūrėkite, kas nurodyta po from. Visa, kas žemiau, parašyta siunčiančios pusės ir teoriškai gali būti sufabrikuota. Pavyzdyje 192.0.2.25 yra serveris, kuris pristatė laišką gavėjui; būtent pagal jį vertinamas SPF ir reputacija.

Adresai

Garsi sukčių gudrybė: From, kuris atrodo kaip Jūsų banko adresas, su Reply-To, nukreipiančiu į visai kitą adresą. Abejodami visada patikrinkite domeną laukuose From ir Return-Path, taip pat Authentication-Results.

Authentication-Results: gavėjo išvada

Priimantis serveris laukelyje Authentication-Results (RFC 8601) nurodo savo patikrų rezultatus:

• spf=pass smtp.mailfrom=example.com: serverio, kuris pristatė laišką, IP adresas yra nurodytas domeno, esančio Return-Path, SPF įraše.
• dkim=pass header.d=example.com header.s=x: domeno example.com DKIM parašas su raktu (selektoriumi) x yra teisingas.
• dmarc=pass header.from=example.com: domenas lauke From sutampa su sėkminga SPF arba DKIM patikra, todėl DMARC patikra sėkminga.

Kiti rezultatai, kuriuos galite pamatyti: fail (neteisinga), softfail (SPF baigiasi ~all, o IP adresas nenurodytas įraše), neutral, none (įrašo nėra), temperror (laikina DNS klaida) ir permerror (įrašas sugadintas, pavyzdžiui, du SPF įrašai). Ką tiksliai tai reiškia ir kaip tai ištaisyti, aprašyta 4 modulyje.

Atkreipkite dėmesį: pasitikėkite tik tuo Authentication-Results, kurį nustatė paties gavėjo serveris (vardas priekyje, čia mx1.mailprovider.example). Suklastotas laiškas gali turėti savo, sufabrikuotą Authentication-Results. Geri serveriai tokius pašalina, bet ne visi tai daro.

DKIM-Signature: parašas

Antraštė DKIM-Signature yra pats parašas. Dažnai reikės dviejų laukų:

• d= domenas, kuris pasirašo (čia example.com);
• s= selektorius, rakto pavadinimas (čia x).

Pagal tai galite rasti viešąjį raktą DNS: x._domainkey.example.com. Užduotyse ir sprendžiant problemas dažnai reikės rasti būtent šias dvi reikšmes. Laiškas gali turėti kelis DKIM parašus, pavyzdžiui, vieną iš Jūsų domeno ir vieną iš siuntimo paslaugos. 4.3 pamokoje tai nagrinėsime išsamiau.

Kartais pamatysite ir ARC-Seal, ARC-Message-Signature bei ARC-Authentication-Results. ARC (RFC 8617) yra būdas, kuriuo tarpinės stotys, pavyzdžiui, naujienlaiškio sąrašas ar persiuntimo serveris, užfiksuoja, kokie buvo patikrų rezultatai prieš joms pakeičiant laišką. Kol kas jų skaityti mokėti nebūtina.

X- antraštės

Antraštės, prasidedančios X-, nėra standartizuotos. Spam filtrai ten įrašo savo įvertinimą, pavyzdžiui, X-Spam-Status: No, score=1.2 arba X-Spam-Flag: YES. Tai padeda suprasti, kodėl laiškas pateko į spam aplanką. Jos skiriasi priklausomai nuo paslaugų teikėjo.

Santrauka

• Antraštės yra laiško kelionės žurnalas. Atidarykite jas naudodami „rodyti originalą“, „pranešimo šaltinis“ ar panašią funkciją.
• Skaitykite Received eilutes nuo apačios į viršų. Eilutė, kurią parašė gavėjo serveris, parodo, koks IP adresas pristatė laišką.
• Return-Path yra voko siuntėjas (SPF), From matomas siuntėjas (DMARC), Reply-To nurodo, kur nukeliauja atsakymai.
• Authentication-Results pateikia SPF, DKIM ir DMARC patikrų rezultatus; pasitikėkite tik priimančio serverio nustatytais rezultatais.
• Lauke DKIM-Signature yra d= (domenas) ir s= (selektorius); kartu jie nurodo rakto vietą: s._domainkey.d.

Testas

Užduotis

Užduotis Z1.5: Kopregelių analizė. Nusiųskite sau laišką iš kito adreso (pavyzdžiui, iš darbo adreso į asmeninį arba atvirkščiai), atidarykite antraštes ir įklijuokite jas į formą. Jei neturite antrojo adreso, naudokite pavyzdinę bylą kopregels-1.txt, pridėtą prie užduoties. Tada patys įrašykite: IP adresą serverio, kuris pristatė laišką gavėjui, domeną lauke Return-Path, DKIM parašo domeną ir selektorių, taip pat SPF, DKIM ir DMARC patikrų rezultatus. Programa išanalizuoja tas pačias antraštes, realiu laiku susiranda DKIM raktą ir savo rezultatą palygina su Jūsų atsakymais. Jūsų antraštės nebus išsaugotos.

Skaitykite daugiau

Šiuose straipsniuose aprašyti veiksmai galioja WebOké valdymo skydeliams; kitų paslaugų teikėjų atveju veikimo principas panašus.

• Kaip patikrinti, ar el. laiškas pristatytas, naudojant DirectAdmin el. laiškų sekimą (Email Tracking)
• DirectAdmin vadovas 9.3: El. pašto sekimas: kur dingo mano laiškas?
• Ar šis laiškas tikrai yra iš WebOké? Kaip atpažinti sukčiavimą (phishing) ir pasinaudoti akcijos kodu
• Nemokamas DNS kursas 4.4: DKIM: parašas po Jūsų paštu
• RFC 5322 (laiško sandara), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)