Afsender og headers, sådan læser du dem

Modul 3: Genkend phishing · Læsetid: 13 minutter

Læringsmål: Efter denne lektion kan du vurdere afsenderen af en mail ud fra visningsnavnet, From-adressen, Reply-To, Return-Path, Received-linjerne og resultatet af SPF, DKIM og DMARC i Authentication-Results.
Nøglebegreber: visningsnavn, From, Reply-To, Return-Path, Received, Authentication-Results, SPF/DKIM/DMARC-resultat, alignment

Det du ser, og det der reelt står

Et mailprogram viser dig som regel kun en lille del af afsenderen: et navn, nogle gange en adresse. Bag det ligger en blok tekniske linjer, som du ikke ser, headers. Her står hvem mailen hævder at være fra, hvor svar skal sendes hen, via hvilke servere den er kommet, og hvad din mailserver har kontrolleret.

Du behøver ikke være tekniker for at læse dem. Du skal bruge seks:

De første tre kan en afsender skrive, hvad han vil. Først ved de sidste tre kommer der kontrol ind i billedet.

Visningsnavnet siger ingenting

Visningsnavnet er bare tekst. Alle kan bruge "Mijnbank Kundeservice" eller navnet på din direktør som navn. Mange mailprogrammer, især på telefonen, viser kun det navn. Et kendt trick er en adresse i navnet:

From: "info@mijnbank.example" <noreply@aanvaller.example>

Du ser info@mijnbank.example, men den rigtige adresse står mellem de spidse parenteser. Tryk eller klik derfor altid på navnet for at se den fulde adresse.

Også selve From-adressen kan forfalskes: i mailprotokollen må en server angive hvilken som helst From-adresse. Om det lykkes uden at havne i spammappen, afhænger af SPF, DKIM og DMARC for det domæne, der efterlignes. Det handler resten af denne lektion om.

Reply-To: svar til en anden

Med Reply-To siger en mail: "svar ikke til mig, men til denne adresse". Nyhedsbreve og webformularer bruger det normalt. Svindlere bruger det til at overtage en samtale. Mailen kommer fra en ægte eller ægte-lignende adresse, men dit svar, med de ønskede oplysninger eller bekræftelsen af betalingen, går til angriberen.

From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>

Vær altid opmærksom på adressen i svarvinduet ved en anmodning om penge eller oplysninger, før du trykker på Send.

Return-Path, Received og ruten

Return-Path er den adresse, fejlmeddelelser sendes til. Det kaldes også envelope-afsender: adressen på kuvertens yderside, mens From står på selve brevet. Det er det domæne, SPF kontrollerer. Ved nyhedsbreve og fakturaer fra et bogføringsprogram er Return-Path ofte et domæne tilhørende udsendelsestjenesten. Det er normalt.

Hver server, der sender mailen videre, tilføjer en Received-linje øverst. Du læser dem altså nedefra og op: den nederste er begyndelsen af ruten, den øverste er sidste station (din egen mailserver). Bemærk: kun de øverste linjer, som din egen udbyder har tilføjet, kan du stole på. Under dem kan en afsender have sendt opdigtede linjer med.

Authentication-Results: resultatet af kontrollen

Din egen mailserver kontrollerer ved modtagelsen tre ting (mere forklaring i modul 4 og DNS-kurset):

• SPF: måtte denne server sende mail for domænet i Return-Path?
• DKIM: stemmer den digitale signatur, og hvilket domæne tilhører den (d= eller header.d=)?
• DMARC: hører mindst en af de to godkendte kontroller til domænet i From? Det kaldes alignment. "Hører til" betyder: samme registrerbare domæne (lektion 3.2). mail.mijnbank.example er alignet med mijnbank.example (samme registrerbare domæne).

Resultatet står i Authentication-Results. Stol kun på den linje, hvor navnet på din egen mailserver står forrest; en afsender kan selv sende sådan en linje med.

Den vigtigste lektion: dmarc=pass betyder kun "denne mail kommer virkelig fra domænet i From". Det siger ingenting om, hvorvidt det domæne kan stoles på. En angriber med sit eget lookalike-domæne kan have alt pænt sat til pass.

I praksis: sådan ser det ud

Tre efterlignede headerblokke, forkortet til de linjer, der betyder noget. Modtageren er Bakkerij Example; den egen mailserver hedder mx1.example.com.

Eksempel 1: ægte.

Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mail.mijnbank.example;
	dkim=pass header.d=mijnbank.example header.s=sel2026;
	dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Dit årsoverblik 2026 er klar

From-domænet er mijnbank.example, og DKIM er signeret af mijnbank.example, og Return-Path hører under det: begge alignede, DMARC bestået. Mailen kommer virkelig fra det domæne. Gå alligevel til banken via din egen bogmærke for at se årsoverblikket.

Eksempel 2: forfalsket afsender.

Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
	by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mailer.aanvaller.example;
	dkim=none;
	dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nyt kontonummer

SPF bestås, men for aanvaller.example, ikke for From-domænet. Der er ingen signatur. DMARC fejler derfor. Fordi leverandøren har p=none, blev mailen alligevel leveret. Med p=reject var den blevet afvist. Dertil kommer Reply-To til et andet domæne. Falsk.

Eksempel 3: lookalike med alt på pass.

Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mijnbank-veilig.example;
	dkim=pass header.d=mijnbank-veilig.example header.s=k1;
	dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Bekræft dine oplysninger til det nye betalingskort

Alt bestås, fordi angriberen har sat alt rigtigt op for sit eget domæne. Men mijnbank-veilig.example er ikke mijnbank.example fra den rigtige bank. Falsk.

Åbn selv headers. I webmail baseret på Roundcube (som hos WebOké) åbner du beskeden og vælger i menuen Mere (de tre prikker) Vis kilde. Andre programmer kalder det f.eks. "Vis original" eller "Vis besked-kilde". Søg i teksten efter Authentication-Results. På telefonen kan det ofte ikke lade sig gøre; se da mailen i webmail på en computer.

Opsummering

• Visningsnavn, From og Reply-To skriver afsenderen selv. Kig altid på den rigtige adresse og på Reply-To, før du svarer.
• Return-Path er envelope-adressen, som SPF kontrollerer. Received-linjer læses nedefra og op; stol kun på dem fra din egen udbyder.
• Authentication-Results viser resultatet af SPF, DKIM og DMARC. DMARC tjekker, om SPF eller DKIM er aligned med From-domænet.
• dmarc=fail ved et kendt domæne er et stærkt tegn på forfalskning.
• dmarc=pass beviser kun, at mailen kommer fra From-domænet. Kontrollér altid, om det domæne er det rigtige.

Quiz

Opgave

Opgave A3.3: Læs headers. Du får tre headerblokke. Udfyld for hver blok: domænet i Return-Path, domænet for DKIM-signaturen (d=), DMARC-resultatet, og om mailen er ægte eller falsk. Programmet retter og peger ved en fejl på den linje, hvor svaret står.

Læs mere

Trinnene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på tilsvarende vis.

• Hvad er DMARC? Forklaring i almindeligt sprog
• Min e-mail kommer ikke frem eller havner i spam: sådan finder du ud af det
• Offentligt e-mailtjek (SPF, DMARC, MX) af et domæne: https://www.weboke.dk/e-mail-tjek, og mailtesten fra internet.nl: https://internet.nl
• DNS-kursus, lektion 4.3 SPF, 4.4 DKIM og 4.5 DMARC: https://www.weboke.dk/dns-cursus
• RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601