Модул 3 · 3.3
Четене на подателя и заглавните редове (headers)
Модул 3: Разпознаване на фишинг · Време за четене: 13 минути
Учебна цел: След този урок ще можете да оцените подателя на имейл въз основа на показваното име, адреса From, Reply-To, Return-Path, редовете Received и резултата от SPF, DKIM и DMARC в Authentication-Results.
Основни понятия: показвано име, From, Reply-To, Return-Path, Received, Authentication-Results, резултат от SPF/DKIM/DMARC, подравняване (alignment)
Какво виждате и какво всъщност пише
Пощенската програма обикновено Ви показва само малка част от информацията за подателя: име, понякога адрес. Зад това се крие блок технически редове, които не виждате, така наречените headers (заглавни редове). В тях пише кой твърди, че е подателят, къде иска да получава отговори, през кои сървъри е преминал имейлът и какво е проверил Вашият пощенски сървър.
Не е нужно да сте технически специалист, за да ги четете. Трябват Ви шест от тях:
| Заглавен ред (header) | Какво представлява | Кой го попълва |
|---|---|---|
| Показвано име | Името пред адреса, например Mijnbank | Подателят, свободен избор |
From | Адресът на подателя, който виждате | Подателят |
Reply-To | Къде отива Вашият отговор, когато натиснете Отговор | Подателят |
Return-Path | Техническият адрес на подателя за съобщения за грешка (envelope подател) | Вашият пощенски сървър, въз основа на подаденото от изпращача |
Received | Един ред за всеки сървър, който е предал имейла | Всеки сървър по маршрута |
Authentication-Results | Резултатът от SPF, DKIM и DMARC | Вашият пощенски сървър |
Първите три може подателят да попълни както иска. Едва при последните три има реална проверка.
Показваното име не казва нищо
Показваното име е просто текст. Всеки може да използва като име „Mijnbank Klantenservice“ или името на Вашия директор. Много пощенски програми, особено на телефона, показват само това име. Един познат трик е адрес вътре в името:
From: "info@mijnbank.example" <noreply@aanvaller.example>Виждате info@mijnbank.example, но истинският адрес е между ъгловите скоби. Затова винаги натискайте или докосвайте името, за да видите пълния адрес.
И самият адрес From може да бъде подправен: в пощенския протокол всеки сървър може да посочи произволен адрес From. Дали това ще мине, без имейлът да попадне в спам папката, зависи от SPF, DKIM и DMARC на домейна, който се имитира. Точно за това става дума в останалата част на този урок.
Reply-To: отговор до някой друг
С Reply-To имейлът казва: „не отговаряйте на мен, а на този адрес“. Бюлетини и уеб формуляри използват това нормално. Измамниците го използват, за да поемат контрол над разговора. Имейлът идва от истински или изглеждащ истински адрес, но Вашият отговор, съдържащ исканите данни или потвърждение на плащане, отива при нападателя.
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>При всяка молба за пари или данни винаги проверявайте адреса в прозореца за отговор, преди да натиснете Изпращане.
Return-Path, Received и маршрутът
Return-Path е адресът, на който отиват съобщенията за грешка. Нарича се още envelope подател: адресът от външната страна на „плика“, докато From е написан на самото „писмо“. Именно този домейн проверява SPF. При бюлетини и фактури от счетоводен софтуер Return-Path често е домейн на доставчика на услугата за изпращане. Това е нормално.
Всеки сървър, който предава имейла, добавя отгоре един ред Received. Затова ги четете отдолу нагоре: най-долният ред е началото на маршрута, най-горният е последната спирка (Вашият собствен пощенски сървър). Внимание: само най-горните редове, добавени от Вашия собствен доставчик, могат да бъдат доверени. Под тях подателят може да е добавил измислени редове.
Authentication-Results: резултатът от проверката
Вашият собствен пощенски сървър проверява при получаване три неща (повече обяснения в модул 4 и в курса за DNS):
- SPF: имал ли е право този сървър да изпраща имейли за домейна в Return-Path?
- DKIM: вярна ли е цифровата подписка и на кой домейн принадлежи тя (
d=илиheader.d=)? - DMARC: принадлежи ли поне една от тези две успешни проверки на домейна в From? Това се нарича подравняване (alignment). „Принадлежи на“ означава: същият регистрируем домейн (урок 3.2).
mail.mijnbank.exampleе подравнен сmijnbank.example(същият регистрируем домейн).
Резултатът е записан в Authentication-Results. Доверявайте се само на реда с името на Вашия собствен пощенски сървър най-отпред; подателят също може сам да добави такъв ред.
| Резултат | Значение |
|---|---|
pass | Проверката е успешна |
fail | Проверката е неуспешна: не е разрешено или подписът не съвпада |
softfail (SPF) | Вероятно не е разрешено, но домейнът не иска твърд отказ (~all) |
none | Нямало е какво да се провери: няма запис или няма подпис |
Най-важният урок: dmarc=pass означава само „този имейл наистина идва от домейна в From“. Той не казва нищо дали на този домейн може да се вярва. Нападател със собствен подобен (lookalike) домейн може да има всичко подредено на pass.
На практика: ето как изглежда
Три имитирани блока с заглавни редове, съкратени до редовете, които имат значение. Получателят е Bakkerij Example; собственият пощенски сървър се нарича mx1.example.com.
Пример 1: истински.
Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mail.mijnbank.example;
dkim=pass header.d=mijnbank.example header.s=sel2026;
dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaarДомейнът в From е mijnbank.example, а DKIM е подписан от mijnbank.example, и Return-Path попада под същия домейн: и двата подравнени, DMARC успява. Имейлът наистина идва от този домейн. За годишния отчет все пак посетете банката през собствения си бутон за отметка (bookmark).
Пример 2: подправен подател.
Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mailer.aanvaller.example;
dkim=none;
dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummerSPF успява, но за aanvaller.example, не за домейна в From. Няма подпис. Затова DMARC се проваля. Тъй като доставчикът има p=none, имейлът все пак е доставен. При p=reject щеше да бъде отхвърлен. Освен това Reply-To сочи към друг домейн. Фалшив.
Пример 3: подобен (lookalike) домейн с всичко на pass.
Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mijnbank-veilig.example;
dkim=pass header.d=mijnbank-veilig.example header.s=k1;
dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Потвърдете Вашите данни за новата платежна картаВсичко е успешно, защото нападателят е настроил правилно всичко за собствения си домейн. Но mijnbank-veilig.example не е mijnbank.example на истинската банка. Фалшив.
Как сами да отворите заглавните редове. В уеб пощата, базирана на Roundcube (както при WebOké), отворете съобщението и в менюто More (трите точки) изберете Source. Други програми го наричат например „Show Original“ или „Message Source“. Потърсете в текста Authentication-Results. На телефона това често не е възможно; в такъв случай прегледайте имейла в уеб пощата от компютър.
Обобщение
- Показваното име, From и Reply-To се попълват от самия подател. Винаги проверявайте истинския адрес и Reply-To, преди да отговорите.
- Return-Path е envelope адресът, по който проверява SPF. Редовете Received се четат отдолу нагоре; доверявайте се само на тези от Вашия собствен доставчик.
- Authentication-Results дава резултата от SPF, DKIM и DMARC. DMARC проверява дали SPF или DKIM е подравнен с домейна в From.
dmarc=failпри познат домейн е силен сигнал за подправяне.dmarc=passдоказва само, че имейлът идва от домейна в From. Винаги проверявайте дали този домейн е истинският.
Тест (quiz)
Задача
Задача A3.3: Четене на headers. Получавате три блока със заглавни редове. Попълнете за всеки блок: домейна в Return-Path, домейна на DKIM подписа (d=), резултата от DMARC и дали имейлът е истински или фалшив. Програмата проверява и при грешка посочва реда, където се намира отговорът.
Прочетете още
Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици процедурата е сходна.
- Какво е DMARC? Обяснение на разбираем език
- Моят имейл не пристига или попада в спам: ето как да го проверите
- Публична проверка на имейл (SPF, DMARC, MX) на домейн: https://www.weboke.nl/bg/proverka-na-imeyl, и тестът за имейл на internet.nl: https://internet.nl
- Курс по DNS, уроци 4.3 SPF, 4.4 DKIM и 4.5 DMARC: https://www.weboke.nl/bg/dns-cursus
- RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601