Čitanje zaglavlja poruke: odakle je ova poruka zapravo stigla?

Modul 1: Kako funkcionira e-mail · Vrijeme čitanja: 11 minuta

Cilj učenja: Nakon ove lekcije moći ćete otvoriti zaglavlja poruke, pročitati Received retke pravilnim redoslijedom i iz Authentication-Results utvrditi jesu li SPF, DKIM i DMARC prošli.

Ključni pojmovi: zaglavlja (headers), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, X-zaglavlja, izvor ili izvorna poruka

Ono što obično ne vidite

Vaš program za e-poštu prikazuje samo nekoliko redaka poruke: pošiljatelja, predmet, datum, primatelje. U stvarnosti svaka poruka ima desetke zaglavlja (headers) na vrhu, prije teksta. Dodaje ih program pošiljatelja i svaki poslužitelj koji poruku usput dotakne. Zajedno čine putni dnevnik poruke.

Tko zna čitati zaglavlja, može sam odgovoriti na mnoga pitanja: je li ova poruka doista od moje banke? Zašto je stigla tek nakon dva sata? Zašto se našla u neželjenoj pošti? Je li moj DKIM ispravan? Mnogi zadaci u ovom tečaju traže da pregledate zaglavlja. U ovoj lekciji naučit ćete kako.

Otvaranje zaglavlja

Svaki program ima drugačiju tipku za to:

Na telefonu to obično nije moguće. U tom slučaju proslijedite poruku samoj/samome sebi kao privitak, ili je otvorite u webmailu.

Jedan primjer

Jan prima poruku od Anne. Ovako izgledaju najvažnija zaglavlja (skraćeno):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Received retci: odozdo prema gore

Svaki poslužitelj koji proslijedi poruku, dodaje redak Received: na vrh. Najstariji je dakle na dnu, a najnoviji na vrhu. Čitajte ih odozdo prema gore da biste pratili putovanje poruke:

1. Donji redak: Annin prijenosnik (IP 198.51.100.77, njezina kućna veza) predaje poruku poslužitelju out.hosting.example, putem ESMTPSA (slovo A označava authenticated: prijavila se) i TLS 1.3. U 10:15:04.
2. Srednji redak: out.hosting.example (192.0.2.25) predaje poruku poslužitelju mx1.mailprovider.example, MX zapisu domene example.net. U 10:15:07.
3. Gornji redak: mail poslužitelj interno pohranjuje poruku u Janovu mailbox (LMTP). U 10:15:09.

Redak Received uvijek ima oblik from <tko je ponudio> by <tko je primio> with <protokol>; <vrijeme>. U zagradi iza from nalazi se ono što je primajući poslužitelj sam vidio: stvarno ime (PTR) i stvarna IP adresa. Taj je dio pouzdan u mjeri u kojoj vjerujete tom primajućem poslužitelju. Ono što je sam pošiljatelj naveo (helo=) nije moguće provjeriti.

Dva praktična trika:

• Traženje kašnjenja: usporedite vremena. Ako između dva retka postoji razmak od dva sata, poruka je toliko dugo čekala u redu za slanje. Pazite na vremenske zone (+0100, +0000).
• Pronalaženje stvarnog poslužitelja pošiljatelja: potražite najviši redak Received koji je napisao poslužitelj samog primatelja, i pogledajte što stoji iza from. Sve ispod toga napisala je strana pošiljatelja i u teoriji može biti izmišljeno. U primjeru je 192.0.2.25 poslužitelj koji je isporučio poruku kod primatelja; na temelju toga ocjenjuju se SPF i reputacija.

Adrese

Poznati trik prevaranata: From koji sliči na Vašu banku, s Reply-To koji vodi na sasvim drugu adresu. U slučaju sumnje uvijek pogledajte domenu u From i u Return-Path, te Authentication-Results.

Authentication-Results: ocjena primatelja

Primajući poslužitelj u Authentication-Results (RFC 8601) bilježi rezultate svojih provjera:

• spf=pass smtp.mailfrom=example.com: IP adresa poslužitelja koji je isporučio poruku nalazi se u SPF zapisu domene iz Return-Path.
• dkim=pass header.d=example.com header.s=x: DKIM potpis domene example.com, s ključem (selektorom) x, ispravan je.
• dmarc=pass header.from=example.com: domena u From usklađena je s uspješnim SPF-om ili DKIM-om, pa je DMARC prošao.

Drugi rezultati koje možete vidjeti: fail (nije ispravno), softfail (SPF završava na ~all i IP adresa nije navedena), neutral, none (nema zapisa), temperror (privremena DNS greška) i permerror (zapis je neispravan, na primjer dva SPF zapisa). Što to točno znači i kako to popraviti, nalazi se u modulu 4.

Pazite: vjerujte samo onom Authentication-Results koji je postavio poslužitelj samog primatelja (ime na početku, ovdje mx1.mailprovider.example). Krivotvorena poruka može sadržavati vlastiti, izmišljeni Authentication-Results. Dobri poslužitelji ga uklanjaju, ali ne svi.

DKIM-Signature: potpis

Zaglavlje DKIM-Signature sam je potpis. Dva polja su Vam često potrebna:

• d= domena koja potpisuje (ovdje example.com);
• s= selektor, naziv ključa (ovdje x).

Pomoću toga pronalazite javni ključ u DNS-u: x._domainkey.example.com. U zadacima i kod problema često morate potražiti upravo te dvije vrijednosti. Poruka može imati više DKIM potpisa, na primjer jedan od Vaše domene i jedan od usluge slanja. U lekciji 4.3 ulazimo u to dublje.

Ponekad ćete vidjeti i ARC-Seal, ARC-Message-Signature i ARC-Authentication-Results. ARC (RFC 8617) je način na koji posrednici, poput mailing liste ili poslužitelja za preusmjeravanje, bilježe kakvi su rezultati provjera bili prije nego što su sami promijenili poruku. Sada ih ne morate znati čitati.

X-zaglavlja

Zaglavlja koja počinju s X- nisu standardizirana. Filteri za neželjenu poštu u njih upisuju svoj rezultat, na primjer X-Spam-Status: No, score=1.2 ili X-Spam-Flag: YES. To pomaže razumjeti zašto je nešto završilo u neželjenoj pošti. Razlikuju se ovisno o pružatelju usluge.

Sažetak

• Zaglavlja su putni dnevnik poruke. Otvorite ih putem "prikaži izvornik", "izvor poruke" ili slično.
• Čitajte Received retke odozdo prema gore. Redak koji je napisao poslužitelj primatelja govori koja je IP adresa izvršila isporuku.
• Return-Path je pošiljatelj omotnice (SPF), From vidljivi pošiljatelj (DMARC), Reply-To kamo idu odgovori.
• Authentication-Results daje ocjenu za SPF, DKIM i DMARC; vjerujte samo onoj koju je postavio primajući poslužitelj.
• U DKIM-Signature nalaze se d= (domena) i s= (selektor); zajedno pokazuju mjesto ključa: s._domainkey.d.

Kviz

Zadatak

Zadatak Z1.5: Analiza zaglavlja poruke. Pošaljite sami sebi poruku s druge adrese (na primjer s poslovne adrese na privatnu, ili obrnuto), otvorite zaglavlja i zalijepite ih u obrazac. Ako nemate drugu adresu, upotrijebite primjer datoteke kopregels-1.txt koja se nalazi uz zadatak. Zatim sami popunite: IP adresu poslužitelja koji je isporučio poruku primatelju, domenu u Return-Path, domenu i selektor DKIM potpisa, te rezultat SPF-a, DKIM-a i DMARC-a. Program analizira ista zaglavlja, uživo pronalazi DKIM ključ i svoj rezultat stavlja uz Vaš. Vaša zaglavlja se ne pohranjuju.

Dalje za čitanje

Koraci u ovim člancima vrijede za panele WebOké; kod drugih pružatelja usluga postupak je sličan.

• Provjera je li e-pošta stigla pomoću funkcije Email Tracking u DirectAdminu
• DirectAdmin priručnik 9.3: E-mail Tracking: gdje je nestala moja pošta?
• Je li ovaj e-mail doista od WebOké? Prepoznavanje phishinga i korištenje akcijskog koda
• Besplatni DNS tečaj 4.4: DKIM: digitalni potpis ispod Vaše pošte
• RFC 5322 (struktura poruke), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)