Módulo 3 · 3.3
Afzender e cabeçalhos: como ler
Módulo 3: Reconhecer phishing · Tempo de leitura: 13 minutos
Objetivo de aprendizagem: Após esta lição, será capaz de avaliar o remetente de um e-mail com base no nome apresentado, no endereço From, no Reply-To, no Return-Path, nas linhas Received e no resultado de SPF, DKIM e DMARC em Authentication-Results.
Conceitos-chave: nome apresentado, From, Reply-To, Return-Path, Received, Authentication-Results, resultado de SPF/DKIM/DMARC, alinhamento
O que vê e o que está realmente lá
Um programa de e-mail mostra-lhe geralmente apenas uma pequena parte do remetente: um nome, por vezes um endereço. Por trás disso existe um conjunto de linhas técnicas que não vê, os cabeçalhos. Neles consta quem o e-mail diz ser, para onde quer receber as respostas, por que servidores passou e o que o seu servidor de e-mail verificou.
Não precisa de ser técnico para os ler. Precisa de conhecer seis:
| Cabeçalho | O que é | Quem o preenche |
|---|---|---|
| Nome apresentado | O nome antes do endereço, por exemplo Mijnbank | O remetente, livremente escolhido |
From | O endereço de remetente que vê | O remetente |
Reply-To | Para onde vai a sua resposta ao clicar em Responder | O remetente |
Return-Path | O endereço técnico de remetente para mensagens de erro (remetente do envelope) | O seu servidor de e-mail, com base no que o remetente indicou |
Received | Uma linha por cada servidor que encaminhou o e-mail | Cada servidor no percurso |
Authentication-Results | O resultado de SPF, DKIM e DMARC | O seu servidor de e-mail |
Nos primeiros três, um remetente pode escrever o que quiser. Só nos últimos três há verificação envolvida.
O nome apresentado não garante nada
O nome apresentado é apenas texto. Qualquer pessoa pode usar como nome "Mijnbank Serviço ao Cliente" ou o nome do seu diretor. Muitos programas de e-mail, especialmente no telemóvel, mostram apenas esse nome. Um truque conhecido é colocar um endereço dentro do nome:
From: "info@mijnbank.example" <noreply@aanvaller.example>Vê info@mijnbank.example, mas o endereço real está entre os parênteses angulares. Toque ou clique sempre no nome para ver o endereço completo.
Também o próprio endereço From pode ser falsificado: no protocolo de e-mail, um servidor pode indicar qualquer endereço From. Se isso resulta sem acabar na pasta de spam depende do SPF, DKIM e DMARC do domínio que está a ser imitado. É sobre isso que trata o resto desta lição.
Reply-To: respostas para outra pessoa
Com Reply-To, um e-mail diz: "não responda para mim, mas para este endereço". As newsletters e os formulários web usam isto normalmente. Os burlões usam-no para assumir o controlo de uma conversa. O e-mail vem de um endereço real ou que parece real, mas a sua resposta, com os dados pedidos ou a confirmação do pagamento, vai para o atacante.
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>Numa solicitação de dinheiro ou dados, preste sempre atenção ao endereço na janela de resposta, antes de clicar em Enviar.
Return-Path, Received e o percurso
O Return-Path é o endereço para onde vão as mensagens de erro. Também é chamado remetente do envelope: o endereço no exterior do envelope, enquanto o From está na própria carta. É nesse domínio que o SPF verifica. Em newsletters e faturas de um programa de contabilidade, o Return-Path é frequentemente um domínio do serviço de envio. Isso é normal.
Cada servidor que encaminha o e-mail acrescenta uma linha Received no topo. Lê-se, portanto, de baixo para cima: a linha mais abaixo é o início do percurso, a mais acima é a última estação (o seu próprio servidor de e-mail). Atenção: só pode confiar nas linhas do topo, as que o seu próprio fornecedor acrescentou. Abaixo dessas, um remetente pode ter incluído linhas inventadas.
Authentication-Results: o resultado da verificação
O seu próprio servidor de e-mail verifica, à chegada, três coisas (mais explicações no módulo 4 e no curso de DNS):
- SPF: este servidor estava autorizado a enviar e-mail pelo domínio indicado no Return-Path?
- DKIM: a assinatura digital está correta e de que domínio é (
d=ouheader.d=)? - DMARC: pelo menos uma dessas duas verificações bem-sucedidas pertence ao domínio em From? A isto chama-se alinhamento. "Pertencer a" significa: o mesmo domínio registável (lição 3.2).
mail.mijnbank.exampleestá alinhado commijnbank.example(mesmo domínio registável).
O resultado consta em Authentication-Results. Confie apenas na linha com o nome do seu próprio servidor de e-mail à frente; um remetente também pode incluir ele próprio uma linha semelhante.
| Resultado | Significado |
|---|---|
pass | A verificação foi bem-sucedida |
fail | A verificação falhou: não autorizado ou a assinatura não corresponde |
softfail (SPF) | Provavelmente não autorizado, mas o domínio não quer recusar de forma estrita (~all) |
none | Não havia nada a verificar: sem registo ou sem assinatura |
A lição mais importante: dmarc=pass significa apenas "este e-mail vem realmente do domínio indicado em From". Não diz nada sobre se esse domínio é de confiança. Um atacante com o seu próprio domínio semelhante (lookalike) pode ter tudo devidamente a pass.
Na prática: é assim que se apresenta
Três blocos de cabeçalhos simulados, reduzidos às linhas relevantes. O destinatário é a Padaria Example; o próprio servidor de e-mail chama-se mx1.example.com.
Exemplo 1: real.
Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mail.mijnbank.example;
dkim=pass header.d=mijnbank.example header.s=sel2026;
dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaarO domínio From é mijnbank.example e o DKIM foi assinado por mijnbank.example, estando o Return-Path incluído nesse domínio: ambos alinhados, o DMARC é bem-sucedido. O e-mail vem realmente desse domínio. Para consultar o resumo anual, aceda ainda assim ao banco através do seu próprio marcador.
Exemplo 2: remetente falsificado.
Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mailer.aanvaller.example;
dkim=none;
dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummerO SPF é bem-sucedido, mas para aanvaller.example, não para o domínio From. Não há assinatura. O DMARC falha, portanto. Como o fornecedor tem p=none, o e-mail foi mesmo assim entregue. Com p=reject teria sido recusado. A isto acresce ainda o Reply-To apontando para outro domínio. Falso.
Exemplo 3: domínio semelhante (lookalike) com tudo em pass.
Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mijnbank-veilig.example;
dkim=pass header.d=mijnbank-veilig.example header.s=k1;
dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Confirme os seus dados para o novo cartão de pagamentoTudo é bem-sucedido, porque o atacante configurou tudo corretamente para o seu próprio domínio. Mas mijnbank-veilig.example não é mijnbank.example do banco real. Falso.
Abrir os cabeçalhos por conta própria. No webmail baseado em Roundcube (como no WebOké), abre a mensagem e escolhe no menu Mais (os três pontos) a opção Mostrar origem. Outros programas chamam-lhe, por exemplo, "Ver original" ou "Origem da mensagem". Procure no texto por Authentication-Results. No telemóvel isso muitas vezes não é possível; veja então o e-mail no webmail a partir de um computador.
Resumo
- O nome apresentado, o From e o Reply-To são escritos pelo próprio remetente. Verifique sempre o endereço real e o Reply-To antes de responder.
- O Return-Path é o endereço do envelope sobre o qual o SPF verifica. As linhas Received leem-se de baixo para cima; confie apenas nas do seu próprio fornecedor.
- O Authentication-Results indica o resultado de SPF, DKIM e DMARC. O DMARC verifica se o SPF ou o DKIM está alinhado com o domínio From.
dmarc=failnum domínio conhecido é um forte sinal de falsificação.dmarc=passsó prova que o e-mail vem do domínio From. Verifique sempre se esse domínio é o verdadeiro.
Questionário
Exercício
Exercício A3.3: Ler cabeçalhos. Recebe três blocos de cabeçalhos. Preencha, por bloco: o domínio no Return-Path, o domínio da assinatura DKIM (d=), o resultado do DMARC e se o e-mail é real ou falso. O programa verifica e, em caso de erro, assinala a linha onde consta a resposta.
Para saber mais
Os passos nos artigos do WebOké aplicam-se ao ambiente do WebOké; noutros fornecedores o funcionamento é semelhante.
- O que é o DMARC? Explicação em linguagem simples
- O meu e-mail não chega ou vai parar ao spam: assim pode descobrir porquê
- Verificação pública de e-mail (SPF, DMARC, MX) de um domínio: https://www.weboke.nl/pt/verificar-email, e o teste de e-mail do internet.nl: https://internet.nl
- Curso de DNS, lições 4.3 SPF, 4.4 DKIM e 4.5 DMARC: https://www.weboke.nl/pt/dns-cursus
- RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601