Branje glav sporočila: od kod je prišla ta e-pošta?

Modul 1: Kako deluje e-pošta · Čas branja: 11 minut

Učni cilj: Po tej lekciji boste znali odpreti glave sporočila, prebrati vrstice Received v pravilnem vrstnem redu in iz Authentication-Results razbrati, ali so SPF, DKIM in DMARC ustrezali.

Ključni pojmi: glave sporočila (headers), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, glave X, izvor oziroma izvirno sporočilo

Kaj običajno ne vidite

Vaš poštni program Vam od sporočila prikaže le nekaj vrstic: pošiljatelja, zadevo, datum, prejemnike. V resnici ima vsako sporočilo na vrhu, pred besedilom, na desetine glav (headers). Dodaja jih program pošiljatelja in vsak strežnik, ki se sporočila dotakne na poti. Skupaj tvorijo potovalni dnevnik sporočila.

Kdor zna brati glave, lahko sam odgovori na marsikatero vprašanje: ali je to sporočilo res od moje banke? Zakaj je prispelo šele po dveh urah? Zakaj je pristalo med neželeno pošto? Ali je moj lastni DKIM pravilen? Veliko nalog v tem tečaju od Vas zahteva, da si ogledate glave sporočila. V tej lekciji se boste naučili, kako to storiti.

Odpiranje glav sporočila

Vsak program ima za to drug gumb:

Na telefonu to večinoma ni mogoče. Sporočilo si v tem primeru preusmerite samemu sebi kot prilogo, ali pa ga odprite v spletni pošti.

Primer

Janez prejme sporočilo od Ane. Takole izgledajo najpomembnejše glave (skrajšano):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Vrstice Received: od spodaj navzgor

Vsak strežnik, ki sporočilo posreduje naprej, doda vrstico Received: na vrh. Najstarejša je torej spodaj, najnovejša zgoraj. Berite jih od spodaj navzgor, da sledite poti:

1. Spodnja vrstica: Anin prenosnik (IP 198.51.100.77, njena domača povezava) odda sporočilo strežniku out.hosting.example, z ESMTPSA (črka A pomeni authenticated: prijavila se je) in TLS 1.3. Ob 10:15:04.
2. Srednja vrstica: out.hosting.example (192.0.2.25) odda sporočilo strežniku mx1.mailprovider.example, torej MX domene example.net. Ob 10:15:07.
3. Zgornja vrstica: poštni strežnik interno odloži sporočilo v Janezov poštni predal (LMTP). Ob 10:15:09.

Vrstica Received ima vedno obliko from <kdo je ponudil> by <kdo je prevzel> with <protokol>; <čas>. V oklepaju za from je navedeno, kaj je prejemni strežnik sam zaznal: resnično ime (PTR) in resnični IP-naslov. Ta del je zanesljiv, kolikor zaupate temu prejemnemu strežniku. Kar je pošiljatelj sam navedel (helo=), ni mogoče preveriti.

Dva praktična trika:

• Iskanje zamude: primerjajte časovne žige. Če je med dvema vrsticama razlika dveh ur, je sporočilo tam toliko časa čakalo v vrsti. Pazite na časovne pasove (+0100, +0000).
• Iskanje resničnega strežnika pošiljatelja: poiščite najvišjo vrstico Received, ki jo je zapisal strežnik samega prejemnika, in poglejte, kaj je navedeno za from. Vse pod njo je zapisala pošiljateljska stran in je teoretično lahko izmišljeno. V primeru je 192.0.2.25 strežnik, ki je sporočilo oddal pri prejemniku; na podlagi tega naslova se ocenjujeta SPF in ugled.

Naslovi

Znan trik goljufov: From, ki je videti kot Vaša banka, z Reply-To na povsem drug naslov. Ob dvomu vedno preverite domeno v From in v Return-Path, ter Authentication-Results.

Authentication-Results: presoja prejemnika

Prejemni strežnik v glavo Authentication-Results (RFC 8601) zapiše rezultate svojih preverjanj:

• spf=pass smtp.mailfrom=example.com: IP-naslov strežnika, ki je sporočilo dostavil, je naveden v SPF-zapisu domene iz Return-Path.
• dkim=pass header.d=example.com header.s=x: podpis DKIM domene example.com, s ključem (selektorjem) x, je pravilen.
• dmarc=pass header.from=example.com: domena v From je usklajena z uspešnim SPF ali DKIM, zato je DMARC uspel.

Drugi izidi, ki jih lahko vidite: fail (ni ustrezno), softfail (SPF se konča z ~all in IP-naslova ni na seznamu), neutral, none (zapisa ni), temperror (začasna napaka DNS) in permerror (zapis je pokvarjen, na primer dva zapisa SPF). Kaj ti izidi natančno pomenijo in kako jih odpravite, boste izvedeli v modulu 4.

Pozor: zaupajte le Authentication-Results, ki jih je zapisal strežnik samega prejemnika (ime na začetku, tukaj mx1.mailprovider.example). Ponarejeno sporočilo lahko vsebuje svoj, izmišljen Authentication-Results. Dobri strežniki to odstranijo, vendar ne vsi.

DKIM-Signature: podpis

Glava DKIM-Signature je sam podpis. Pogosto potrebujete dve polji:

• d= domena, ki podpisuje (tukaj example.com);
• s= selektor, ime ključa (tukaj x).

S tem najdete javni ključ v DNS: x._domainkey.example.com. Pri nalogah in ob težavah boste pogosto morali poiskati prav ti dve vrednosti. Sporočilo ima lahko več podpisov DKIM, na primer enega od Vaše domene in enega od storitve za pošiljanje. V lekciji 4.3 bomo to obravnavali podrobneje.

Včasih vidite tudi ARC-Seal, ARC-Message-Signature in ARC-Authentication-Results. ARC (RFC 8617) je način, s katerim vmesne postaje, na primer poštni seznam ali strežnik za preusmeritev, zabeležijo, kakšni so bili rezultati preverjanj, preden so sporočilo spremenile. Teh Vam trenutno ni treba znati brati.

Glave X

Glave, ki se začnejo z X-, niso standardizirane. Filtri za neželeno pošto vanje zapišejo svojo oceno, na primer X-Spam-Status: No, score=1.2 ali X-Spam-Flag: YES. To pomaga razumeti, zakaj je nekaj pristalo med neželeno pošto. Razlikujejo se od ponudnika do ponudnika.

Povzetek

• Glave sporočila so potovalni dnevnik e-pošte. Odprite jih z možnostjo "prikaži izvirnik", "izvorna koda sporočila" ali podobno.
• Vrstice Received berite od spodaj navzgor. Vrstica, ki jo je zapisal strežnik prejemnika, pove, kateri IP-naslov je sporočilo dostavil.
• Return-Path je pošiljatelj ovojnice (SPF), From je vidni pošiljatelj (DMARC), Reply-To določa, kam gredo odgovori.
• Authentication-Results prikaže presojo za SPF, DKIM in DMARC; zaupajte le tisti, ki jo zapiše prejemni strežnik.
• V DKIM-Signature sta d= (domena) in s= (selektor); skupaj povesta, kje je ključ: s._domainkey.d.

Kviz

Naloga

Naloga Z1.5: Razčlenitev glave sporočila. Pošljite si sporočilo z drugega naslova (na primer s svojega službenega naslova na zasebnega, ali obratno), odprite glave sporočila in jih prilepite v obrazec. Če nimate drugega naslova, uporabite vzorčno datoteko kopregels-1.txt, priloženo nalogi. Nato sami vnesite: IP-naslov strežnika, ki je sporočilo dostavil prejemniku, domeno iz Return-Path, domeno in selektor podpisa DKIM, ter izid SPF, DKIM in DMARC. Program razčleni iste glave, v živo poišče ključ DKIM in svoj rezultat postavi ob Vašega. Vaše glave sporočila se ne shranjujejo.

Za nadaljnje branje

Koraki v teh člankih veljajo za nadzorne plošče WebOké; pri drugih ponudnikih deluje podobno.

• Preverjanje, ali je e-pošta prispela, z Email Tracking v DirectAdminu
• Priročnik DirectAdmin 9.3: Sledenje e-pošti: kam je izginilo moje sporočilo?
• Je ta e-pošta res poslana s strani WebOké? Prepoznavanje lažnega predstavljanja (phishing) in uporaba kode za akcijo
• Brezplačen tečaj DNS 4.4: DKIM: podpis pod Vašo pošto
• RFC 5322 (zgradba sporočila), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)