Comment obtenir les en-têtes
- Outlook (nouveau et web) : ouvrir le message → « … » → « Afficher » → « Afficher les détails du message ».
- Outlook (classique) : ouvrir le message par double-clic → « Fichier » → « Propriétés » → champ « En-têtes Internet ».
- Gmail : ouvrir le message → ⋮ → « Afficher l’original » → « Copier dans le presse-papiers ».
- Apple Mail : « Présentation » → « Message » → « Source brute » (⌥⌘U).
- Thunderbird : « Affichage » → « Source du message » (Ctrl+U).
Tu peux aussi coller la source complète ; le texte après la première ligne vide est ignoré.
Lire le chemin de livraison
Chaque serveur qui transmet un mail ajoute une ligne Received en haut. La ligne du bas est donc la première étape, celle du haut la dernière chez toi.
Seules les lignes écrites par tes propres serveurs sont fiables ; tout ce qui est en dessous peut avoir été inventé par l’expéditeur. Le délai est l’écart entre deux horodatages. Les gros sauts viennent en général du greylisting, des files d’attente ou des filtres antispam, parfois d’horloges fausses.
SPF, DKIM et DMARC
- SPF vérifie si le serveur qui livre peut envoyer pour le domaine du Return-Path.
- DKIM vérifie une signature sur les en-têtes et le contenu. Elle survit en général au transfert.
- DMARC exige en plus que SPF ou DKIM corresponde au domaine du From visible. C’est seulement cela qui protège contre l’usurpation.
Le résultat figure dans Authentication-Results, écrit par le serveur de réception. S’il manque un « pass », vérifie les enregistrements du domaine avec la vérification SPF, DMARC et DKIM et les IP des étapes en DNS inverse avec la recherche DNS.
Signes typiques d’hameçonnage
Adresse de réponse chez un webmail gratuit, nom affiché ressemblant à une autre adresse, DMARC « fail » pour une marque connue ou première étape dans un réseau inhabituel. Aucun de ces points ne prouve seul quelque chose ; plusieurs ensemble sont un signal fort.
FAQ
Mes e-mails sont-ils envoyés quelque part ?
Non. L’analyse se fait entièrement en JavaScript dans ton navigateur. Seul un clic sur une IP ou un domaine ouvre l’outil correspondant avec cette valeur.
Pourquoi DMARC est-il « fail » alors que SPF et DKIM sont « pass » ?
SPF et DKIM valent alors pour un autre domaine que celui du From visible, souvent celui d’un service d’envoi. Pour que DMARC réussisse, au moins l’un doit correspondre au domaine expéditeur, p. ex. via une signature DKIM avec ton propre domaine chez le service d’envoi.
Que signifie SCL chez Microsoft 365 ?
Le Spam Confidence Level va de −1 (fiable) à 0–1 (pas de spam) puis 5–9 (spam). À partir de 5, le mail va en général dans le dossier courrier indésirable.
Pourquoi la première étape montre-t-elle une IP privée ?
Beaucoup d’expéditeurs transmettent le mail en interne d’un serveur applicatif à leur passerelle mail. Pour l’origine, c’est la première étape avec une adresse publique qui compte.
Un expéditeur peut-il falsifier les lignes Received ?
Celles en dessous du premier serveur étranger, oui. Celles écrites par ton propre serveur mail et par le serveur qui livre directement, non.