E-mailheaderanalyse: wie heeft deze e-mail echt verstuurd?

Zo kopieer je de headers van een e-mail

• Mail op de Mac: selecteer het bericht, kies View ▸ Message ▸ All Headers (Shift-Command-H), selecteer en kopieer dan de regels boven de berichttekst. Of kies View ▸ Message ▸ Raw Source en kopieer het bovenste deel, tot de eerste lege regel.
• Gmail: open het bericht, klik op de drie puntjes naast Beantwoorden, kies Origineel weergeven en kopieer alles boven het bericht.
• Outlook: open het bericht, kies Bestand ▸ Eigenschappen (Windows) of Bron weergeven (Mac, web) en kopieer de internetheaders.

Wat SPF, DKIM en DMARC je vertellen

• SPF controleert of de server die de e-mail heeft bezorgd mail mag versturen voor het domein in de envelop (het Return-Path).
• DKIM controleert een handtekening die het verzendende domein heeft toegevoegd en bewijst dat het bericht onderweg niet is gewijzigd.
• DMARC koppelt die twee aan het adres dat je bij From: ziet: het slaagt alleen als SPF of DKIM voor datzelfde domein is geslaagd. Een DMARC-fail bij een e-mail van je bank betekent dat iemand anders hem heeft geschreven.

De resultaten worden door je eigen mailprovider in de Authentication-Results-header gezet zodra de e-mail binnenkomt, en deze tool leest ze uit. Een pass bewijst welk domein het bericht heeft verstuurd, niet dat dat domein eerlijk is: oplichters registreren domeinen die erop lijken en stellen ook SPF en DKIM in, dus lees het From-domein goed.

Wat de headers nog meer verraden

• Een Reply-To op een ander domein, waardoor je antwoord naar de oplichter gaat in plaats van naar het bedrijf.
• Een weergavenaam die een ander e-mailadres bevat, om in je inbox een vertrouwd adres te tonen.
• Een gratis mailbox (Gmail, Outlook, Yahoo) die verstuurt namens een bank, een webwinkel of een overheidsinstantie.
• De keten van Received-regels, van onder naar boven gelezen: de eerste server waar de e-mail doorheen kwam.