Odczytywanie nadawcy i nagłówków

Moduł 2: Czytanie poczty · Czas czytania: 10 min

Cel lekcji: Po tej lekcji potrafią Państwo odróżnić nazwę wyświetlaną od prawdziwego adresu nadawcy, otworzyć nagłówki wiadomości i odczytać Return-Path, Received, Authentication-Results oraz List-Unsubscribe. Wiedzą też Państwo, co obrazy zewnętrzne i potwierdzenia odbioru zdradzają na Państwa temat.

Kluczowe pojęcia: nazwa wyświetlana, Odpowiedź do, Nagłówki, Pokaż źródło, Authentication-Results, wyrównanie, List-Unsubscribe, zasoby zewnętrzne, piksel śledzący, potwierdzenie odbioru

Nazwa to nie adres

Na liście wiadomości przy większości e-maili nie widać adresu, lecz nazwę: "Ahmed", "Bloemenatelier Example", "Obsługa klienta". To jest nazwa wyświetlana. W nagłówku From stoi ona przed adresem:

From: Sanne de Vries <sanne@example.com>

Nazwę wyświetlaną wybiera sam nadawca i każdy może wpisać dowolną nazwę. Oszust może więc wysyłać wiadomości jako "Sanne de Vries" z zupełnie innego adresu. W lekcji 4.1 ustawią Państwo własną nazwę wyświetlaną. Teraz chodzi o to, by nie ufać jej ślepo u innych.

Nad otwartą wiadomością w poczcie internetowej prosimy kliknąć Szczegóły. Obok nazwy zobaczą Państwo wtedy pełny adres nadawcy i wszystkich odbiorców. Przy wiadomości, w której ktoś o coś prosi, zawsze warto sprawdzić adres, a zwłaszcza część po znaku @.

Odpowiedź do: dokąd naprawdę trafia Państwa odpowiedź

Wiadomość może mieć nagłówek Reply-To, w poczcie internetowej widoczny jako Odpowiedź do. Po kliknięciu Odpowiedz odpowiedź trafia na ten adres, a nie na adres z From. Są ku temu dobre powody. Sklep internetowy wysyła na przykład z adresu noreply@, a w polu Odpowiedź do wpisuje adres obsługi klienta.

To jednak także znana sztuczka. Wiadomość wygląda na wysłaną przez dyrektora, z prawidłowym adresem w From, ale Odpowiedź do wskazuje adres oszusta. Kto odpowie, od tej chwili rozmawia z oszustem. Przy nieoczekiwanej prośbie prosimy więc sprawdzić w oknie tworzenia wiadomości, na jaki adres trafi odpowiedź, zanim klikną Państwo Wyślij.

Otwieranie nagłówków

Widok wiadomości pokazuje tylko kilka nagłówków. Pozostałe można otworzyć na dwa sposoby:

• Nagłówki nad wiadomością: poczta internetowa otwiera okno ze wszystkimi nagłówkami wiadomości, jak widać na obrazku.
• Więcej > Pokaż źródło: poczta internetowa otwiera w nowej karcie całą wiadomość w postaci, w jakiej jest zapisana na serwerze, czyli nagłówki, pustą linię, a następnie treść i załączniki jako tekst.

W menu Więcej znajduje się także Eksportuj.... W ten sposób pobierają Państwo wiadomość jako plik .eml, na przykład aby przekazać ją dostawcy lub współpracownikowi, który ma obejrzeć nagłówki.

Na początku nagłówki wyglądają na bałagan. Nie trzeba znać ich wszystkich. Wystarczy szukać czterech rodzajów.

Cztery nagłówki, które coś mówią

Ahmed otrzymuje newsletter od swojej hurtowni, "Groothandel Example". W nagłówkach znajduje się między innymi to (w skrócie):

Return-Path: <bounce-7731@mailer.example.org>
Received: from mailer.example.org (mailer.example.org [198.51.100.40])
        by mx.example.net with ESMTPS
        for <ahmed@example.net>; Mon, 09 Nov 2026 07:02:11 +0100
Authentication-Results: mx.example.net;
        spf=pass smtp.mailfrom=mailer.example.org;
        dkim=pass header.d=example.org;
        dmarc=pass header.from=example.org
From: Groothandel Example <nieuws@example.org>
List-Unsubscribe: <https://www.example.org/afmelden?id=7731>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Return-Path to adres nadawcy z koperty, znany z lekcji 1.1. Tam trafiają komunikaty o błędach. W newsletterach jest to często osobny adres dla każdego odbiorcy, dzięki czemu nadawca widzi, który adres już nie działa.

Received informuje, który serwer przekazał wiadomość któremu serwerowi. Górną linię dodał serwer samego Ahmeda. Tej linii można ufać najbardziej: widać w niej, z jakiego serwera i z jakiego adresu IP wiadomość naprawdę dotarła.

Authentication-Results to raport serwera odbierającego o kontrolach z lekcji 1.1:

• spf=pass z smtp.mailfrom: serwer, który dostarczył wiadomość, może wysyłać w imieniu domeny nadawcy z koperty.
• dkim=pass z header.d: podpis cyfrowy jest prawidłowy i został złożony przez tę domenę.
• dmarc=pass z header.from: domena w From należy do udanej kontroli SPF lub DKIM. Nazywa się to wyrównaniem. Tutaj DKIM podpisała domena example.org, a From to również example.org. Także mailer.example.org liczy się jako wyrównana, ponieważ należy do tej samej domeny.

Ważne: liczą się tylko Authentication-Results Państwa własnego serwera odbierającego. Nadawca może sam umieścić w wiadomości fałszywą linię z "pass". Prosimy więc sprawdzić, który serwer zapisał linię (pierwsze słowo, tutaj mx.example.net). Nie każdy serwer dodaje tę linię. Jeśli jej nie ma, można jeszcze sprawdzić, czy istnieje nagłówek DKIM-Signature i dla jakiej domeny (d=).

I uwaga: pass oznacza tylko, że wiadomość naprawdę pochodzi z tej domeny. Oszust z własną domeną, na przykład example-betaling.example, może bez problemu uzyskać pass we wszystkich trzech kontrolach. Kontrola mówi, kto wysyła, a nie czy jest godny zaufania.

List-Unsubscribe to adres do wypisania się, z którego programy pocztowe mogą korzystać przy przycisku rezygnacji z subskrypcji. Gdy jest też List-Unsubscribe-Post, wystarczy jedno kliknięcie, bez potwierdzania na stronie internetowej. Przy newsletterze, który Państwo sami zamówili, wypisanie się jest właściwą drogą. Przy prawdziwym spamie nie: w ten sposób tylko potwierdzają Państwo, że adres istnieje (lekcja 8.2).

Obrazy z zewnątrz i piksele śledzące

Wiele newsletterów pobiera obrazy z internetu w chwili otwarcia wiadomości. Są to zasoby zewnętrzne. Taki obraz może mieć w adresie unikalny kod, a nawet być niewidocznym obrazkiem o wielkości jednego piksela: pikselem śledzącym. Gdy tylko otworzą Państwo wiadomość i obraz się załaduje, nadawca wie, że wiadomość została otwarta, kiedy i z jakiego adresu IP.

Poczta internetowa WebOké domyślnie nie ładuje zasobów zewnętrznych. Widzą Państwo wtedy pasek z informacją, że zostały zablokowane, oraz przycisk, aby mimo to załadować je dla tej jednej wiadomości. W Ustawienia > Preferencje > Wyświetlanie wiadomości można przy Zezwalaj na zasoby zewnętrzne wybrać: nigdy, od kontaktów, od zaufanych nadawców lub zawsze. Opcji zawsze nie zalecamy: wtedy każdy nadawca, także spamer, widzi, że Państwa adres istnieje i jest czytany.

Potwierdzenia odbioru

Nadawca może poprosić o potwierdzenie odbioru: powiadomienie, gdy otworzą Państwo wiadomość. Poczta internetowa zapyta wtedy, czy chcą je Państwo wysłać. Nie ma takiego obowiązku. Potwierdzenie mówi też tylko, że wiadomość była wyświetlona na ekranie, a nie że została przeczytana lub zrozumiana. W Wyświetlanie wiadomości ustawiają Państwo, co poczta internetowa ma robić z takimi prośbami. W razie wątpliwości niech zawsze pyta. Nieznanemu nadawcy potwierdzenia nie wysyłamy.

W praktyce: tak to działa w poczcie internetowej

Nad otwartą wiadomością znajdują się Szczegóły, Nagłówki i Zwykły tekst. Pokaż źródło i Eksportuj... znajdą Państwo w menu Więcej. Zasoby zewnętrzne ustawia się w Ustawienia > Preferencje > Wyświetlanie wiadomości. Podręcznik Roundcube opisuje przyciski w rozdziale Czytanie wiadomości, a sposób odczytywania nagłówków jest też opisany w bazie wiedzy. W innych usługach poczty internetowej, takich jak Gmail czy Outlook.com, działa to podobnie, choć przycisk do źródła nazywa się tam inaczej.

Podsumowanie

• Nazwę wyświetlaną wybiera sam nadawca. Za pomocą Szczegóły można sprawdzić prawdziwy adres i domenę.
• Odpowiedź do decyduje, dokąd trafi Państwa odpowiedź, i może wskazywać inną domenę.
• Za pomocą Nagłówki lub Więcej > Pokaż źródło widać wszystkie nagłówki. Warto odczytać Return-Path, górny Received, Authentication-Results i List-Unsubscribe.
• Liczą się tylko Authentication-Results Państwa własnego serwera, a pass mówi, kto wysyła, a nie czy można mu ufać.
• Zasoby zewnętrzne i potwierdzenia odbioru informują nadawcę, że wiadomość została otwarta.

Quiz

Zadanie

Zadanie A2.2: Analiza prawdziwej wiadomości. Prosimy wybrać otrzymaną wiadomość, na przykład newsletter. Należy ją otworzyć, wybrać Więcej > Pokaż źródło i skopiować tylko nagłówki: wszystko do pierwszej pustej linii. Prosimy wkleić je do formularza i wpisać domenę nadawcy (From) oraz domenę z Return-Path. Program analizuje wklejone nagłówki w pamięci (nic nie jest zapisywane), porównuje Państwa odpowiedzi i pokazuje, co znalazł: łańcuch Received, domenę DKIM oraz to, czy domeny są wyrównane. Zielony: obie odpowiedzi poprawne. Pomarańczowy: jedna poprawna. Czerwony: żadna.

Dalsza lektura

Opisane kroki w poczcie internetowej dotyczą poczty internetowej WebOké. W innych usługach poczty internetowej działa to podobnie.

• Roundcube Webmail 3.1: Czytanie wiadomości
• Przeglądanie i odczytywanie nagłówków (headers) wiadomości e-mail
• Bezpłatny kurs Poczta e-mail w porządku: konfiguracja i prawidłowe dostarczanie 1.5: Czytanie nagłówków: skąd przyszła ta wiadomość?
• Bezpłatny kurs Bezpieczny internet dla przedsiębiorców 3.3: Odczytywanie nadawcy i nagłówków
• Bezpłatny kurs Poczta e-mail w porządku: konfiguracja i prawidłowe dostarczanie 7.2: Zgoda, wypisanie się i czysta lista
• RFC 5322, Internet Message Format (po angielsku): https://www.rfc-editor.org/rfc/rfc5322
• RFC 2369, List-Unsubscribe i inne nagłówki list mailingowych (po angielsku): https://www.rfc-editor.org/rfc/rfc2369
• RFC 8058, wypisanie się jednym kliknięciem (po angielsku): https://www.rfc-editor.org/rfc/rfc8058