Læsning af headere: hvor kom denne mail fra?

Modul 1: Sådan virker e-mail · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du åbne headerne i en mail, læse Received-linjerne i den rigtige rækkefølge og se i Authentication-Results om SPF, DKIM og DMARC var korrekte.

Nøglebegreber: headere, RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, X-headere, kilde eller original besked

Det du normalt ikke ser

Dit mailprogram viser kun nogle få linjer af en mail: afsender, emne, dato, modtagere. I virkeligheden har hver mail snesevis af headere øverst, før selve teksten. De bliver tilføjet af afsenderens program og af hver server, mailen rører undervejs. Tilsammen udgør de rejseberetningen for mailen.

Den, der kan læse headere, kan selv svare på mange spørgsmål: er denne mail virkelig fra min bank? Hvorfor ankom den først efter to timer? Hvorfor ligger den i spam? Stemmer min egen DKIM? Mange opgaver i dette kursus beder dig om at se på headere. I denne lektion lærer du hvordan.

Åbning af headere

Hvert program har sin egen knap til det:

På en telefon kan det som regel ikke lade sig gøre. Videresend i stedet mailen til dig selv som vedhæftning, eller åbn den i webmailen.

Et eksempel

Jan modtager en mail fra Anna. Sådan ser de vigtigste headere ud (forkortet):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Received-linjer: fra bunden og op

Hver server, der sender mailen videre, sætter en Received:-linje øverst. Den ældste står altså nederst, den nyeste øverst. Læs dem fra bunden og op for at følge rejsen:

1. Nederste linje: Annas bærbare (IP 198.51.100.77, hendes hjemmeforbindelse) afleverer til out.hosting.example, med ESMTPSA (A'et står for authenticated: hun loggede ind) og TLS 1.3. Kl. 10:15:04.
2. Midterste linje: out.hosting.example (192.0.2.25) afleverer til mx1.mailprovider.example, MX'en for example.net. Kl. 10:15:07.
3. Øverste linje: mailserveren lægger mailen internt i Jans mailboks (LMTP). Kl. 10:15:09.

En Received-linje har altid formen from <hvem der tilbød den> by <hvem der modtog den> with <protokol>; <tidspunkt>. I parentes efter from står det, den modtagende server selv så: det rigtige navn (PTR) og den rigtige IP-adresse. Den del kan du stole på, i den udstrækning du stoler på den modtagende server. Det, afsenderen selv angav (helo=), kan ikke kontrolleres.

To praktiske tricks:

• Find forsinkelser: sammenlign tidspunkterne. Er der to timer mellem to linjer, har mailen stået i en kø så længe dér. Vær opmærksom på tidszoner (+0100, +0000).
• Find den rigtige afsenderserver: find den øverste Received-linje, der er skrevet af en server hos modtageren selv, og se hvad der står efter from dér. Alt derunder er skrevet af den afsendende side og kan i teorien være opdigtet. I eksemplet er 192.0.2.25 den server, der afleverede hos modtageren; det er den, SPF og omdømmet bliver bedømt ud fra.

Adresserne

Et kendt trick blandt svindlere: en From, der ligner din bank, med en Reply-To til en helt anden adresse. Kig i tvivlstilfælde altid på domænet i From og i Return-Path, og på Authentication-Results.

Authentication-Results: modtagerens vurdering

Den modtagende server sætter i Authentication-Results (RFC 8601) resultatet af sine kontroller:

• spf=pass smtp.mailfrom=example.com: IP'en for den server, der afleverede, står i SPF-recordet for domænet i Return-Path.
• dkim=pass header.d=example.com header.s=x: DKIM-signaturen for domænet example.com, med nøgle (selector) x, stemmer.
• dmarc=pass header.from=example.com: domænet i From er afstemt (aligned) med en bestået SPF eller DKIM, så DMARC er bestået.

Andre resultater, du kan se: fail (stemmer ikke), softfail (SPF ender på ~all, og IP'en står ikke i recordet), neutral, none (intet record), temperror (midlertidig DNS-fejl) og permerror (recordet er i stykker, for eksempel to SPF-records). Hvad de præcis betyder, og hvordan du retter dem, står i modul 4.

Vær opmærksom på: stol kun på Authentication-Results fra modtagerens egen server (navnet forrest, her mx1.mailprovider.example). En forfalsket mail kan medsende sin egen, opdigtede Authentication-Results. Gode servere fjerner den, men ikke alle gør det.

DKIM-Signature: selve underskriften

Headeren DKIM-Signature er selve underskriften. To felter har du ofte brug for:

• d= domænet, der underskriver (her example.com);
• s= selectoren, navnet på nøglen (her x).

Dermed finder du den offentlige nøgle i DNS'en: x._domainkey.example.com. I opgaver og ved problemer skal du ofte slå præcis disse to værdier op. En mail kan have flere DKIM-underskrifter, for eksempel en fra dit domæne og en fra afsendertjenesten. I lektion 4.3 går vi nærmere ind på det.

Nogle gange ser du også ARC-Seal, ARC-Message-Signature og ARC-Authentication-Results. ARC (RFC 8617) er en måde, hvorpå mellemstationer, som en mailingliste eller en videresendelsesserver, registrerer, hvad kontrollerne viste, før de selv ændrede mailen. Du behøver ikke kunne læse dem nu.

X-headere

Headere, der starter med X-, er ikke standardiserede. Spamfiltre sætter deres score i dem, som X-Spam-Status: No, score=1.2 eller X-Spam-Flag: YES. Det hjælper med at se, hvorfor noget havnede i spam. De varierer fra udbyder til udbyder.

Opsummering

• Headere er rejseberetningen for en mail. Åbn dem med "vis original", "beskedkilde" eller noget tilsvarende.
• Læs Received-linjer fra bunden og op. Linjen, som modtagerens egen server skrev, fortæller hvilken IP der afleverede.
• Return-Path er envelope-afsenderen (envelope sender) (SPF), From er den synlige afsender (DMARC), Reply-To er hvor svar skal hen.
• Authentication-Results giver vurderingen af SPF, DKIM og DMARC; stol kun på den fra den modtagende server.
• I DKIM-Signature står d= (domæne) og s= (selector); tilsammen angiver de placeringen af nøglen: s._domainkey.d.

Quiz

Opgave

Opgave Z1.5: Få headere analyseret. Send dig selv en mail fra en anden adresse (for eksempel fra din arbejdsadresse til din private adresse, eller omvendt), åbn headerne og indsæt dem i formularen. Har du ikke en anden adresse, så brug eksempelfilen kopregels-1.txt, der følger med opgaven. Udfyld derefter selv: IP-adressen for den server, der afleverede hos modtageren, domænet i Return-Path, domænet og selectoren for DKIM-underskriften, samt resultatet af SPF, DKIM og DMARC. Programmet analyserer de samme headere, slår DKIM-nøglen op live og sætter sit resultat ved siden af dit. Dine headere bliver ikke gemt.

Læs mere

Trinene i disse artikler gælder for panelerne i WebOké; hos andre udbydere fungerer det på tilsvarende vis.

• Kontroller, om en e-mail er kommet frem, med e-mailsporing i DirectAdmin
• DirectAdmin vejledning 9.3: E-mailsporing: hvor er min mail blevet af?
• Er denne mail virkelig fra WebOké? Sådan genkender du phishing og bruger kampagnekoden
• Gratis DNS-kursus 4.4: DKIM: underskriften under din mail
• RFC 5322 (opbygning af en mail), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)
• Se og læs mailens kopteksten (headers)