Antraščių skaitymas: iš kur atkeliavo šis laiškas?

1 modulis: Kaip veikia el. paštas · Skaitymo trukmė: 11 min.

Tikslas: Baigę šią pamoką galėsite atidaryti el. laiško antraštes, perskaityti Received eilutes teisinga tvarka ir iš Authentication-Results nustatyti, ar SPF, DKIM ir DMARC patikros buvo sėkmingos.

Pagrindinės sąvokos: antraštės (headers), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, X- antraštės, laiško šaltinis arba originalas

Ko paprastai nematote

Jūsų pašto programa laiško sąraše rodo tik kelias eilutes: siuntėją, temą, datą, gavėjus. Iš tikrųjų kiekvienas laiškas turi dešimtis antraščių (headers) tekstui prasidedant, kurios pridedamos siuntėjo programos ir kiekvieno serverio, per kurį laiškas keliauja. Kartu jos sudaro laiško kelionės žurnalą.

Kas moka skaityti antraštes, gali pats atsakyti į daug klausimų: ar šis laiškas tikrai iš mano banko? Kodėl jis atkeliavo tik po dviejų valandų? Kodėl jis atsidūrė spam aplanke? Ar mano paties DKIM veikia teisingai? Daugelis šios kurso užduočių prašo peržiūrėti antraštes. Šioje pamokoje išmoksite, kaip tai padaryti.

Antraščių atidarymas

Kiekviena programa tam turi skirtingą mygtuką:

Telefone to dažniausiai padaryti negalima. Tokiu atveju persiųskite laišką sau kaip priedą arba atidarykite jį per webmail.

Pavyzdys

Jonas gauna laišką nuo Agnės. Taip atrodo svarbiausios antraštės (sutrumpintos):

Return-Path: <agne@example.com>
Delivered-To: jonas@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jonas@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as agne@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Agnė <agne@example.com>
To: Jonas <jonas@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Received eilutės: nuo apačios į viršų

Kiekvienas serveris, per kurį laiškas keliauja, prideda Received: eilutę viršuje. Taigi seniausia eilutė yra apačioje, naujausia viršuje. Skaitykite jas nuo apačios į viršų, kad sektumėte laiško kelionę:

1. Apatinė eilutė: Anos nešiojamasis kompiuteris (IP 198.51.100.77, jos namų interneto ryšys) pristato laišką serveriui out.hosting.example, naudojant ESMTPSA (raidė A reiškia authenticated: ji prisijungė) ir TLS 1.3. 10:15:04 val.
2. Vidurinė eilutė: out.hosting.example (192.0.2.25) pristato laišką serveriui mx1.mailprovider.example, kuris yra example.net MX įrašas. 10:15:07 val.
3. Viršutinė eilutė: pašto serveris viduje patalpina laišką Jono pašto dėžutėje (LMTP). 10:15:09 val.

Received eilutė visada turi tokią formą: from <kas pasiūlė> by <kas priėmė> with <protokolas>; <laikas>. Skliaustuose po from nurodoma tai, ką pats gaunantis serveris pamatė: tikrasis pavadinimas (PTR) ir tikrasis IP adresas. Ši dalis yra patikima tiek, kiek Jūs pasitikite tuo gaunančiu serveriu. Tai, ką pats siuntėjas nurodė (helo=), patikrinti negalima.

Du praktiniai patarimai:

• Vėlavimo paieška: palyginkite laikus. Jei tarp dviejų eilučių yra dviejų valandų skirtumas, laiškas tiek laiko išbuvo eilėje. Atkreipkite dėmesį į laiko juostas (+0100, +0000).
• Tikrojo siunčiančio serverio nustatymas: raskite aukščiausią Received eilutę, kurią parašė pačio gavėjo serveris, ir pažiūrėkite, kas nurodyta po from. Visa, kas žemiau, parašyta siunčiančios pusės ir teoriškai gali būti suklastota. Pavyzdyje 192.0.2.25 yra serveris, kuris pristatė laišką gavėjui; būtent pagal jį vertinamas SPF ir reputacija.

Adresai

Žinomas sukčių triukas: From, panašus į Jūsų banko adresą, su Reply-To, nukreipiančiu į visai kitą adresą. Kilus abejonėms, visada patikrinkite domeną From ir Return-Path laukuose bei Authentication-Results.

Authentication-Results: gavėjo sprendimas

Gaunantis serveris į Authentication-Results (RFC 8601) įrašo savo patikrinimų rezultatus:

• spf=pass smtp.mailfrom=example.com: pristatančio serverio IP yra nurodytas Return-Path domeno SPF įraše.
• dkim=pass header.d=example.com header.s=x: domeno example.com DKIM parašas, su raktu (selector) x, yra teisingas.
• dmarc=pass header.from=example.com: From domenas sutampa (aligned) su sėkminga SPF arba DKIM patikra, taigi DMARC patikra sėkminga.

Kiti rezultatai, kuriuos galite pamatyti: fail (neteisingas), softfail (SPF baigiasi ~all, o IP nėra įraše), neutral, none (įrašo nėra), temperror (laikina DNS klaida) ir permerror (sugadintas įrašas, pavyzdžiui, du SPF įrašai). Ką tiksliai tai reiškia ir kaip tai ištaisyti, rasite 4 modulyje.

Atkreipkite dėmesį: pasitikėkite tik tuo Authentication-Results, kurį nurodė paties gavėjo serveris (pavadinimas priekyje, čia mx1.mailprovider.example). Suklastotas laiškas gali turėti savo paties sugalvotą Authentication-Results. Geri serveriai tokius pašalina, bet ne visi tai daro.

DKIM-Signature: parašas

Antraštė DKIM-Signature yra pats parašas. Dažniausiai reikalingi du laukai:

• d= domenas, kuris pasirašo (čia example.com);
• s= selector, rakto pavadinimas (čia x).

Pagal tai viešąjį raktą rasite DNS: x._domainkey.example.com. Užduotyse ir sprendžiant problemas dažnai tiksliai reikia surasti būtent šias dvi reikšmes. Laiškas gali turėti kelis DKIM parašus, pavyzdžiui, vieną iš Jūsų domeno ir kitą iš siuntimo paslaugos. Gilesnė analizė pateikiama 4.3 pamokoje.

Kartais pamatysite ir ARC-Seal, ARC-Message-Signature bei ARC-Authentication-Results. ARC (RFC 8617) yra būdas, kuriuo tarpinės stotys, pavyzdžiui, pašto sąrašas (mailing list) arba persiuntimo serveris, užfiksuoja, kokie buvo patikros rezultatai prieš jiems keičiant laišką. Šiuo metu jų skaityti mokėti nebūtina.

X- antraštės

Antraštės, prasidedančios X-, nėra standartizuotos. Spam filtrai į jas įrašo savo įvertinimą, pavyzdžiui, X-Spam-Status: No, score=1.2 arba X-Spam-Flag: YES. Tai padeda suprasti, kodėl laiškas pateko į spam aplanką. Jos skiriasi priklausomai nuo paslaugų teikėjo.

Santrauka

• Antraštės yra laiško kelionės žurnalas. Atidarykite jas naudodami „Rodyti originalą“, „Pranešimo šaltinis“ ar panašią funkciją.
• Skaitykite Received eilutes nuo apačios į viršų. Eilutė, kurią parašė gavėjo serveris, parodo, koks IP pristatė laišką.
• Return-Path yra envelope siuntėjo adresas (envelope sender, SPF), From yra matomas siuntėjas (DMARC), Reply-To nurodo, kur nukreipiami atsakymai.
• Authentication-Results pateikia SPF, DKIM ir DMARC patikrų rezultatą; pasitikėkite tik gaunančio serverio nurodytu rezultatu.
• DKIM-Signature turi d= (domenas) ir s= (selector); kartu jie nurodo rakto vietą: s._domainkey.d.

Testas

Užduotis

Užduotis Z1.5: Antraščių analizė. Nusiųskite sau laišką iš kito adreso (pavyzdžiui, iš savo darbo adreso į asmeninį arba atvirkščiai), atidarykite antraštes ir įklijuokite jas į formą. Jei neturite antro adreso, naudokite pavyzdinį failą kopregels-1.txt, pridėtą prie užduoties. Tada patys įrašykite: IP adresą serverio, kuris pristatė laišką gavėjui, domeną Return-Path lauke, DKIM parašo domeną ir selector, bei SPF, DKIM ir DMARC rezultatus. Programa ištirs tas pačias antraštes, realiu laiku suras DKIM raktą ir pateiks savo rezultatą šalia Jūsų atsakymo. Jūsų antraštės nėra saugomos.

Platesniam skaitymui

Šiuose straipsniuose aprašyti žingsniai galioja WebOké valdymo skydeliams; kitiems paslaugų teikėjams veikimo principas yra panašus.

• Kaip patikrinti, ar el. laiškas pristatytas, naudojant DirectAdmin el. laiškų sekimą (Email Tracking)
• DirectAdmin vadovas 9.3: El. pašto sekimas: kur dingo mano laiškas?
• Ar šis el. laiškas tikrai iš WebOké? Kaip atpažinti sukčiavimą (phishing) ir panaudoti akcijos kodą
• Nemokamas DNS kursas 4.4: DKIM: parašas po Jūsų paštu
• RFC 5322 (laiško sandara), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)
• Laiško antraščių (headers) peržiūra ir skaitymas