Kopregels lezen: waar kwam deze mail vandaan?

Module 1: Hoe e-mail werkt · Leestijd: 11 minuten

Leerdoel: Na deze les kun je de kopregels van een mail openen, de Received-regels in de goede volgorde lezen en uit Authentication-Results halen of SPF, DKIM en DMARC klopten.

Kernbegrippen: kopregels (headers), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, X-kopregels, bron of origineel bericht

Wat je normaal niet ziet

Je mailprogramma laat van een mail een paar regels zien: afzender, onderwerp, datum, ontvangers. In werkelijkheid heeft elke mail tientallen kopregels (headers) bovenaan, vóór de tekst. Ze worden toegevoegd door het programma van de verzender en door elke server die de mail onderweg aanraakt. Samen vormen ze het reisverslag van de mail.

Wie kopregels kan lezen, kan veel vragen zelf beantwoorden: is deze mail echt van mijn bank? Waarom kwam hij pas na twee uur aan? Waarom staat hij in de spam? Klopt mijn eigen DKIM? Veel opdrachten in deze cursus vragen je om kopregels te bekijken. In deze les leer je hoe.

Kopregels openen

Elk programma heeft er een andere knop voor:

Op een telefoon kan het meestal niet. Stuur de mail dan door naar jezelf als bijlage, of open hem in de webmail.

Een voorbeeld

Jan ontvangt een mail van Anna. Zo zien de belangrijkste kopregels eruit (ingekort):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Received-regels: van onder naar boven

Elke server die de mail doorgeeft, zet een Received:-regel bovenaan. De oudste staat dus onderaan, de nieuwste bovenaan. Lees ze van onder naar boven om de reis te volgen:

1. Onderste regel: Anna's laptop (IP 198.51.100.77, haar thuisaansluiting) levert af bij out.hosting.example, met ESMTPSA (de A staat voor authenticated: ze logde in) en TLS 1.3. Om 10:15:04.
2. Middelste regel: out.hosting.example (192.0.2.25) levert af bij mx1.mailprovider.example, de MX van example.net. Om 10:15:07.
3. Bovenste regel: de mailserver zet de mail intern in Jans mailbox (LMTP). Om 10:15:09.

Een Received-regel heeft steeds de vorm from <wie het aanbood> by <wie het aannam> with <protocol>; <tijd>. Tussen haakjes achter from staat wat de ontvangende server zelf zag: de echte naam (PTR) en het echte IP-adres. Dat deel is betrouwbaar voor zover je die ontvangende server vertrouwt. Wat de verzender zelf noemde (helo=) is niet te controleren.

Twee praktische trucs:

• Vertraging zoeken: vergelijk de tijden. Zit er tussen twee regels twee uur, dan heeft de mail daar zo lang in een wachtrij gestaan. Let op tijdzones (+0100, +0000).
• De echte afzenderserver vinden: zoek de bovenste Received-regel die door een server van de ontvanger zelf is geschreven, en kijk wat daar achter from staat. Alles daaronder heeft de verzendende kant geschreven en kan in theorie verzonnen zijn. In het voorbeeld is 192.0.2.25 de server die bij de ontvanger afleverde; daarop worden SPF en de reputatie beoordeeld.

De adressen

Een bekende truc van oplichters: een From die op je bank lijkt, met een Reply-To naar een heel ander adres. Kijk bij twijfel altijd naar het domein in From en in Return-Path, en naar Authentication-Results.

Authentication-Results: het oordeel van de ontvanger

De ontvangende server zet in Authentication-Results (RFC 8601) wat zijn controles opleverden:

• spf=pass smtp.mailfrom=example.com: het IP van de server die afleverde, staat in het SPF-record van het domein in Return-Path.
• dkim=pass header.d=example.com header.s=x: de DKIM-handtekening van domein example.com, met sleutel (selector) x, klopt.
• dmarc=pass header.from=example.com: het domein in From is uitgelijnd met een geslaagde SPF of DKIM, dus DMARC is geslaagd.

Andere uitkomsten die je ziet: fail (klopt niet), softfail (SPF eindigt op ~all en het IP staat er niet in), neutral, none (geen record), temperror (tijdelijke DNS-fout) en permerror (record kapot, bijvoorbeeld twee SPF-records). Wat die precies betekenen en hoe je ze repareert, staat in module 4.

Let op: vertrouw alleen de Authentication-Results van de server van de ontvanger zelf (de naam vooraan, hier mx1.mailprovider.example). Een vervalste mail kan een eigen, verzonnen Authentication-Results meesturen. Goede servers halen die weg, maar niet allemaal.

DKIM-Signature: de handtekening

De kopregel DKIM-Signature is de handtekening zelf. Twee velden heb je vaak nodig:

• d= het domein dat tekent (hier example.com);
• s= de selector, de naam van de sleutel (hier x).

Daarmee vind je de publieke sleutel in de DNS: x._domainkey.example.com. In opdrachten en bij problemen moet je vaak precies deze twee waarden opzoeken. Een mail kan meerdere DKIM-handtekeningen hebben, bijvoorbeeld een van jouw domein en een van de verzenddienst. In les 4.3 gaan we daar dieper op in.

Soms zie je ook ARC-Seal, ARC-Message-Signature en ARC-Authentication-Results. ARC (RFC 8617) is een manier waarop tussenstations, zoals een mailinglijst of een doorstuurserver, vastleggen wat de controles waren voordat zij de mail veranderden. Je hoeft ze nu niet te kunnen lezen.

X-kopregels

Kopregels die beginnen met X- zijn niet gestandaardiseerd. Spamfilters zetten er hun score in, zoals X-Spam-Status: No, score=1.2 of X-Spam-Flag: YES. Dat helpt om te zien waarom iets in de spam kwam. Ze verschillen per aanbieder.

Samenvatting

• Kopregels zijn het reisverslag van een mail. Open ze met "origineel weergeven", "berichtbron" of iets vergelijkbaars.
• Lees Received-regels van onder naar boven. De regel die de server van de ontvanger schreef, vertelt welk IP afleverde.
• Return-Path is de envelope-afzender (SPF), From de zichtbare afzender (DMARC), Reply-To waar antwoorden heen gaan.
• Authentication-Results geeft het oordeel over SPF, DKIM en DMARC; vertrouw alleen die van de ontvangende server.
• In DKIM-Signature staan d= (domein) en s= (selector); samen geven ze de plek van de sleutel: s._domainkey.d.

Quiz

Opdracht

Opdracht Z1.5: Kopregels laten ontleden. Stuur jezelf een mail vanaf een ander adres (bijvoorbeeld van je werkadres naar je privéadres, of andersom), open de kopregels en plak ze in het formulier. Heb je geen tweede adres, gebruik dan het voorbeeldbestand kopregels-1.txt dat bij de opdracht staat. Vul daarna zelf in: het IP-adres van de server die bij de ontvanger afleverde, het domein in Return-Path, het domein en de selector van de DKIM-handtekening, en de uitkomst van SPF, DKIM en DMARC. Het programma ontleedt dezelfde kopregels, zoekt de DKIM-sleutel live op en zet zijn uitkomst naast de jouwe. Je kopregels worden niet bewaard.

Verder lezen

De stappen in deze artikelen gelden voor de panelen van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Controleren of een e-mail is aangekomen met E-mail Tracering
• DirectAdmin handleiding 9.3: E-mail Tracering: waar is mijn mail gebleven?
• Is deze mail echt van WebOké? Phishing herkennen en de actiecode gebruiken
• Gratis DNS-cursus 4.4: DKIM: de handtekening onder je mail
• RFC 5322 (opbouw van een mail), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)