Afzender en kopregels lezen

Module 2: Mail lezen · Leestijd: 10 minuten

Leerdoel: Na deze les kun je de weergavenaam en het echte adres van een afzender uit elkaar houden, de kopregels van een bericht openen en Return-Path, Received, Authentication-Results en List-Unsubscribe lezen, en weet je wat externe afbeeldingen en ontvangstbevestigingen over jou verraden.

Kernbegrippen: weergavenaam, Antwoord-aan, Headers, Toon bron, Authentication-Results, uitlijning, List-Unsubscribe, externe bronnen, volgpixel, ontvangstbevestiging

Een naam is geen adres

In de berichtenlijst zie je bij de meeste mails geen e-mailadres, maar een naam: "Ahmed", "Bloemenatelier Example", "Klantenservice". Dat is de weergavenaam. In de kopregel From staat hij voor het adres:

From: Sanne de Vries <sanne@example.com>

De weergavenaam kiest de afzender zelf, en iedereen kan elke naam invullen. Een oplichter kan dus mailen als "Sanne de Vries" vanaf een heel ander adres. In les 4.1 stel je je eigen weergavenaam in; nu gaat het erom dat je hem bij anderen niet blind vertrouwt.

Klik in de webmail boven een geopend bericht op Details. Dan zie je naast de naam ook het volledige adres van de afzender en alle ontvangers. Kijk bij een mail die iets van je vraagt altijd naar het adres, en vooral naar het deel na de @.

Antwoord-aan: waar je antwoord echt heen gaat

Een mail kan een kopregel Reply-To hebben, in de webmail Antwoord-aan. Klik je op Beantwoorden, dan gaat je antwoord naar dat adres en niet naar From. Daar zijn goede redenen voor. Een webwinkel verstuurt bijvoorbeeld vanaf noreply@ en zet de klantenservice in Antwoord-aan.

Maar het is ook een bekende truc. Een mail lijkt te komen van de directeur, met het goede adres in From, maar Antwoord-aan wijst naar een adres van de oplichter. Wie antwoordt, praat vanaf dat moment met de oplichter. Kijk dus bij een onverwacht verzoek in het opstelscherm naar welk adres je antwoord gaat, voordat je op Verzenden klikt.

De kopregels openen

De weergave van een mail laat maar een paar kopregels zien. De rest open je op twee manieren:

• Headers boven het bericht: de webmail opent een venster met alle kopregels van het bericht, zoals je op de afbeelding ziet.
• Meer > Toon bron: de webmail opent in een nieuw tabblad het hele bericht zoals het op de server staat, dus de kopregels, een lege regel, en daarna de inhoud en de bijlagen als tekst.

In het menu Meer vind je ook Exporteren.... Daarmee download je het bericht als .eml-bestand, bijvoorbeeld om het aan je provider of een collega te geven die de kopregels moet bekijken.

De kopregels lijken in het begin een rommeltje. Je hoeft ze niet allemaal te kennen. Zoek gericht naar vier soorten.

Vier kopregels die iets vertellen

Ahmed krijgt een nieuwsbrief van zijn groothandel, "Groothandel Example". In de kopregels staat onder andere dit (ingekort):

Return-Path: <bounce-7731@mailer.example.org>
Received: from mailer.example.org (mailer.example.org [198.51.100.40])
        by mx.example.net with ESMTPS
        for <ahmed@example.net>; Mon, 09 Nov 2026 07:02:11 +0100
Authentication-Results: mx.example.net;
        spf=pass smtp.mailfrom=mailer.example.org;
        dkim=pass header.d=example.org;
        dmarc=pass header.from=example.org
From: Groothandel Example <nieuws@example.org>
List-Unsubscribe: <https://www.example.org/afmelden?id=7731>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Return-Path is het envelop-afzenderadres uit les 1.1. Foutmeldingen gaan daarheen. Bij nieuwsbrieven is dat vaak een apart adres per ontvanger, zodat de afzender kan zien welk adres niet meer werkt.

Received vertelt welke server de mail aan welke server gaf. De bovenste regel is gemaakt door de server van Ahmed zelf. Die regel vertrouw je het meest: hier zie je vanaf welke server en welk IP-adres de mail echt binnenkwam.

Authentication-Results is het rapport van de ontvangende server over de controles uit les 1.1:

• spf=pass met smtp.mailfrom: de server die de mail afleverde, mag namens het domein van de envelop-afzender versturen.
• dkim=pass met header.d: de digitale handtekening klopt, en is gezet door dat domein.
• dmarc=pass met header.from: het domein in From hoort bij een geslaagde SPF- of DKIM-controle. Dat heet uitlijning. Hier is DKIM ondertekend door example.org, en From is ook example.org. Ook mailer.example.org telt als uitgelijnd, omdat het onder hetzelfde domein valt.

Belangrijk: alleen de Authentication-Results van je eigen ontvangende server tellen. Een afzender kan zelf een nepregel met "pass" in zijn bericht zetten. Kijk dus welke server de regel schreef (het eerste woord, hier mx.example.net). Niet elke server zet deze regel erbij. Zie je hem niet, dan kun je nog wel kijken of er een kopregel DKIM-Signature is en voor welk domein (d=).

En let op: pass betekent alleen dat de mail echt van dat domein komt. Een oplichter met een eigen domein, zoals example-betaling.example, kan prima voor alle drie een pass halen. De controle zegt wie er verstuurt, niet of die betrouwbaar is.

List-Unsubscribe is een afmeldadres dat mailprogramma's kunnen gebruiken voor een afmeldknop. Met List-Unsubscribe-Post erbij kan dat met één klik, zonder dat je eerst op een website moet bevestigen. Bij een nieuwsbrief waarvoor je je zelf hebt aangemeld, is afmelden de goede weg. Bij echte spam niet: daar bevestig je alleen dat je adres bestaat (les 8.2).

Afbeeldingen van buiten en volgpixels

Veel nieuwsbrieven halen hun afbeeldingen van internet op het moment dat je de mail opent. Dat zijn externe bronnen. Zo'n afbeelding kan een unieke code in het adres hebben, of zelfs een onzichtbaar plaatje van één pixel zijn: een volgpixel. Zodra je de mail opent en de afbeelding wordt geladen, weet de afzender dat je de mail opende, wanneer, en vanaf welk IP-adres.

De webmail van WebOké laadt externe bronnen standaard niet. Je ziet dan een balk met de melding dat ze geblokkeerd zijn en een knop om ze voor dit ene bericht toch te laden. Bij Instellingen > Instellingen > Berichtenweergave kun je bij Externe bronnen toestaan kiezen voor nooit, van je contactpersonen, van vertrouwde afzenders, of altijd. Altijd is af te raden: dan ziet elke afzender, ook een spammer, dat jouw adres bestaat en gelezen wordt.

Ontvangstbevestigingen

Een afzender kan om een ontvangstbevestiging vragen: een melding als jij het bericht opent. De webmail vraagt je dan of je die wilt sturen. Je bent niet verplicht. De bevestiging zegt ook alleen dat het bericht op je scherm stond, niet dat je het las of begreep. Bij Berichtenweergave stel je in wat de webmail met zulke verzoeken doet; laat hem bij twijfel steeds aan jou vragen. Bij een onbekende afzender stuur je er geen.

In de praktijk: zo werkt het in de webmail

Boven een geopend bericht staan Details, Headers en Platte tekst. Toon bron en Exporteren... vind je onder Meer. Externe bronnen stel je in bij Instellingen > Instellingen > Berichtenweergave. De Roundcube-handleiding beschrijft de knoppen bij Een bericht lezen; hoe je kopregels leest, staat ook in de kennisbank. In andere webmail, zoals Gmail of Outlook.com, werkt het vergelijkbaar, al heet de knop voor de bron daar anders.

Samenvatting

• De weergavenaam kiest de afzender zelf; kijk met Details naar het echte adres en het domein.
• Antwoord-aan bepaalt waar je antwoord heen gaat, en kan naar een ander domein wijzen.
• Met Headers of Meer > Toon bron zie je alle kopregels; lees Return-Path, de bovenste Received, Authentication-Results en List-Unsubscribe.
• Alleen de Authentication-Results van je eigen server tellen, en pass zegt wie verstuurt, niet of die te vertrouwen is.
• Externe bronnen en ontvangstbevestigingen vertellen de afzender dat je de mail opende.

Quiz

Opdracht

Opdracht A2.2: Een echte mail ontleden. Kies een mail die je kreeg, bijvoorbeeld een nieuwsbrief. Open hem, kies Meer > Toon bron, en kopieer alleen de kopregels: alles tot de eerste lege regel. Plak ze in het formulier en vul het domein van de afzender (From) en het domein van Return-Path in. Het programma ontleedt de geplakte kopregels in het geheugen (er wordt niets bewaard), vergelijkt jouw antwoorden en laat zien wat het vond: de Received-keten, het DKIM-domein en of de domeinen uitgelijnd zijn. Groen: beide antwoorden goed. Oranje: één goed. Rood: geen van beide.

Verder lezen

Waar stappen in de webmail staan, gelden ze voor de webmail van WebOké; in andere webmail werkt het vergelijkbaar.

• Roundcube Webmail 3.1: Een bericht lezen
• De kopregels (headers) van een mail bekijken en lezen
• Gratis cursus E-mail op orde: instellen en goed laten aankomen 1.5: Kopregels lezen: waar kwam deze mail vandaan?
• Gratis cursus Veilig online voor ondernemers 3.3: Afzender en headers lezen
• Gratis cursus E-mail op orde: instellen en goed laten aankomen 7.2: Toestemming, afmelden en een schone lijst
• RFC 5322, Internet Message Format (Engels): https://www.rfc-editor.org/rfc/rfc5322
• RFC 2369, List-Unsubscribe en andere lijst-kopregels (Engels): https://www.rfc-editor.org/rfc/rfc2369
• RFC 8058, afmelden met één klik (Engels): https://www.rfc-editor.org/rfc/rfc8058