cabeçalho de e-mail e rota
Um cabeçalho de e-mail carrega mais do que remetente e assunto: cada servidor que a mensagem atravessa acrescenta uma linha Received no topo do cabeçalho, então a lista inteira precisa ser lida de baixo para cima para reconstruir o caminho real, do servidor de origem até a sua caixa de entrada. É nesse conjunto de campos, junto com Return-Path e Authentication-Results, que mora a maior parte dos sinais de que uma mensagem foi forjada.
O endereço dentro das aspas do nome de exibição nunca é validado, é só texto; o endereço que importa é o que está entre os sinais de menor e maior, e aqui ele aponta para outro domínio.
O smtp.mailfrom no resultado do SPF mostra o domínio real do envelope (evil.tld), diferente do header.from que o DMARC compara (bank.com); a falha nos dois ao mesmo tempo é o veredito do próprio servidor receptor, não uma suposição da ferramenta.
Isso é rotina em e-mail marketing, que costuma usar um serviço terceirizado só para o envio técnico; a diferença vira suspeita real apenas quando combinada com outros sinais, como Authentication-Results ausente ou hostname genérico no Received.
No Gmail, abra a mensagem, clique nos três pontos (⋮) e escolha “Mostrar original”. No Outlook, abra a mensagem, vá em Arquivo › Propriedades e copie os “Cabeçalhos da Internet”. No Apple Mail, use Visualização › Mensagem › Todos os cabeçalhos. Cole o bloco inteiro aqui.
Eles não estão na ordem errada, cada servidor novo insere sua linha no topo do cabeçalho ao processar a mensagem; por isso o Received mais recente fica primeiro na lista, e é preciso ler de baixo para cima para reconstruir a rota do remetente até você.
From é o remetente exibido na caixa de entrada; Return-Path é o endereço de envelope técnico para onde mensagens não entregues retornam, e é ele, não o From, que o SPF verifica contra o IP do servidor de envio.
É o veredito que o próprio servidor que recebeu a mensagem escreveu depois de checar SPF, DKIM e DMARC; como quem escreve essa linha é o receptor, não o remetente, ela é bem mais confiável do que qualquer campo que o autor da mensagem controla.
Compare o endereço real, entre os sinais de menor e maior no campo From, com qualquer e-mail que apareça escrito dentro do nome de exibição; se forem domínios diferentes, a mensagem está usando um nome plausível para esconder o remetente verdadeiro.
Cole o cabeçalho original (no Gmail: ⋮ › “Mostrar original”; no Outlook: Arquivo › Propriedades › Cabeçalhos da Internet). Linhas dobradas e a linha em branco antes do corpo são tratadas automaticamente.
A ferramenta reconstrói o caminho que a mensagem percorreu (cadeia Received), calcula o atraso em cada salto, extrai os campos principais e mostra os resultados de SPF, DKIM e DMARC. Nada sai do seu navegador.
Por segurança e privacidade, esta ferramenta não envia nada para lugar nenhum: você cola o cabeçalho e toda a análise, parsing, rota e autenticação, roda 100% no seu navegador. Nenhum servidor é usado como intermediário.