Trình phân tích tiêu đề email

Tiêu đề email có thể và không thể cho biết điều gì

Email Internet gồm các trường tiêu đề có tên, một dòng trống rồi đến nội dung thư. RFC 5322 quy định định dạng thư, trong đó có việc gập trường: dòng bắt đầu bằng khoảng trắng là phần tiếp theo của trường trước. Trình phân tích nối lại các dòng này trước khi diễn giải dữ liệu. Công cụ dừng ở dòng trống đầu tiên nên không phân tích nội dung hay tệp đính kèm.

Máy chủ chuyển thư thường thêm một trường Received lên đầu mỗi khi thư đi qua máy chủ. Vì vậy, nguồn thô hiển thị trường mới nhất trước. Báo cáo đảo thứ tự để tạo dòng thời gian bắt đầu từ nguồn. Chênh lệch chỉ được hiển thị khi cả hai mốc thời gian liền kề đều đọc được. Chênh lệch âm được báo là khả năng lệch đồng hồ và khiến tổng thời gian vận chuyển không được tính; công cụ không âm thầm đổi thành 0.

Cách đọc phần xác thực

RFC 8601 định nghĩa Authentication-Results, trường do hệ thống nhận thêm vào để ghi kết quả như spf=pass, dkim=pass hoặc dmarc=fail. Trình phân tích giữ các Authentication-Results trùng lặp vì thư có thể đi qua nhiều miền quản trị. Các thuộc tính liên quan như smtp.mailfrom, header.d và header.from cũng được giữ đúng như báo cáo.

DKIM-Signature chứa siêu dữ liệu như miền ký (d=), selector (s=), thuật toán (a=), danh tính (i=) và các giá trị mật mã lớn (b= và bh=). Báo cáo ghi lại các thẻ hữu ích và việc giá trị chữ ký có tồn tại hay không, nhưng chủ ý loại blob chữ ký khỏi tệp JSON. Không có truy vấn DNS hay xác minh mật mã.

RFC 8617 định nghĩa Authenticated Received Chain (ARC). Một phiên bản ARC đầy đủ về cấu trúc khi có ARC-Seal, ARC-Message-Signature và ARC-Authentication-Results cùng giá trị i=. “Đầy đủ” ở đây chỉ mô tả ba thành phần đó, không có nghĩa chuỗi hợp lệ hoặc đáng tin.

Ví dụ định tuyến

Giả sử nguồn thô có hai trường Received. Trường dưới cho biết nguồn chuyển thư đến máy chủ trung chuyển lúc 10:00:03 +0000; trường trên cho biết máy chủ trung chuyển tới người nhận lúc 10:00:10 +0000. Báo cáo hiển thị sự kiện nguồn trước và tính khoảng thời gian quan sát là 7 giây. Độ lệch múi giờ được tính đúng: từ 10:00:03 +0000 đến 12:00:06 +0200 là 3 giây, không phải hai giờ. Nếu mốc thứ hai sau chuẩn hóa sớm hơn năm giây, báo cáo đánh dấu lệch đồng hồ và để tổng thời gian ở trạng thái không có.

Ranh giới tin cậy và lỗi thường gặp

RFC 5321 mô tả vận chuyển SMTP và thông tin truy vết do máy chủ thêm vào. Tiêu đề từ bên ngoài hệ thống thư tin cậy có thể bị bịa đặt. Hãy bắt đầu tin cậy tại hệ thống nhận do bạn kiểm soát, rồi chỉ đi xuống đến mức hồ sơ và chính sách của hệ thống đó cho phép. Miền From hiển thị khác miền Return-Path là điều thường gặp với danh sách thư, dịch vụ chuyển tiếp và nền tảng gửi thư giao dịch; đó là một quan sát, không phải bằng chứng giả mạo.

Tiêu đề thư và tên hiển thị được mã hóa có thể dùng encoded-word RFC 2047. Trình phân tích giải mã các dạng Base64 hoặc quoted-printable phổ biến bằng UTF-8, ISO-8859-1 và Windows-1252; kiểu mã hóa không hỗ trợ vẫn hiển thị cùng cảnh báo. Số lượng trường và chặng quá lớn bị giới hạn để trình duyệt luôn phản hồi. Khi ứng phó sự cố, hãy giữ riêng thư gốc: tệp xuất là báo cáo ngắn gọn và chủ ý không chứa dữ liệu thô, nội dung, tệp đính kèm hay blob chữ ký DKIM.

Quyền riêng tư và xuất dữ liệu

Việc phân tích, lựa chọn, sao chép và tạo tệp xuất diễn ra cục bộ trong thẻ hiện tại. Các bước funnel dùng bộ nhớ phiên theo thẻ thay vì URL, nên tiêu đề thô không được gửi qua Livewire hay lộ trong tham số điều hướng. Giới hạn đầu vào là 512 KiB. CSV dòng thời gian dùng UTF-8 kèm dấu thứ tự byte và các dòng CRLF; ô bắt đầu bằng ký tự công thức bảng tính được vô hiệu hóa. JSON chứa các quan sát đã phân tích và lưu ý của báo cáo thay vì tiêu đề gốc.