محلل رؤوس البريد الإلكتروني

ما الذي يمكن أن يكشفه رأس البريد الإلكتروني، وما الذي لا يمكنه كشفه؟

يستخدم البريد الإلكتروني عبر الإنترنت حقول رأس مسماة، يليها سطر فارغ ثم نص الرسالة. يعرّف RFC 5322 تنسيق الرسالة، بما في ذلك طي الحقول: فالسطر الذي يبدأ بمسافة بيضاء يُعد امتدادًا للحقل السابق. يفك هذا المحلل تلك الامتدادات قبل تفسير البيانات. ويتوقف عند أول سطر فارغ، لذلك لا يحلل نص الرسالة أو المرفقات.

تضيف خوادم نقل البريد عادةً حقل Received في أعلى الرأس كلما عبرت الرسالة خادمًا. لذا تظهر هذه الحقول في المصدر الخام من الأحدث إلى الأقدم. يعكس التقرير ترتيبها ليعرض خطًا زمنيًا يبدأ من المصدر. لا يظهر فرق التوقيت إلا إذا أمكن تفسير الطابعين الزمنيين المتجاورين بنجاح. ويُبلّغ عن الفرق السالب بوصفه احتمالًا لعدم تزامن الساعات، ويمنع حساب إجمالي زمن النقل؛ ولا يُحوّل إلى صفر بصمت.

قراءة قسم المصادقة

يعرّف RFC 8601 حقل Authentication-Results الذي يضيفه نظام الاستقبال لتسجيل نتائج مثل spf=pass أو dkim=pass أو dmarc=fail. يحتفظ المحلل بحقول Authentication-Results المكررة لأن الرسالة قد تمر بأكثر من نطاق إداري. كما يحتفظ بالخصائص المرتبطة، مثل smtp.mailfrom وheader.d وheader.from، كما وردت.

يحتوي DKIM-Signature على بيانات وصفية مثل نطاق التوقيع (d=) والمحدد (s=) والخوارزمية (a=) والهوية (i=) والقيم التشفيرية الكبيرة (b= وbh=). يسجل التقرير الوسوم المفيدة وما إذا كانت قيم التوقيع موجودة، لكنه يستبعد عمدًا كتل التوقيع من صادرات JSON. ولا يجري أي استعلام DNS أو تحقق تشفيري.

يعرّف RFC 8617 سلسلة النقل الموثقة ARC. تكون نسخة ARC مكتملة بنيويًا عندما تحتوي على ARC-Seal وARC-Message-Signature وARC-Authentication-Results تحمل قيمة i= نفسها. وتعني كلمة «مكتملة» هنا وجود هذه العناصر الثلاثة فقط، ولا تعني أن السلسلة صحيحة أو جديرة بالثقة.

مثال عملي لمسار الرسالة

لنفترض أن المصدر الخام يحتوي على حقلي Received. يفيد الحقل السفلي بأن المصدر سلّم الرسالة إلى خادم وسيط عند 10:00:03 +0000، ويفيد الحقل العلوي بأن الخادم الوسيط وصل إلى المستلم عند 10:00:10 +0000. يعرض التقرير حدث المصدر أولًا ويحسب فاصلًا مرصودًا قدره 7 ثوانٍ. وتُراعى فروق المناطق الزمنية: فالانتقال من 10:00:03 +0000 إلى 12:00:06 +0200 يستغرق 3 ثوانٍ لا ساعتين. وإذا كان الطابع الزمني الثاني بعد توحيده أسبق بخمس ثوانٍ، ينبه التقرير إلى عدم تزامن الساعات ويترك الإجمالي غير متاح.

حدود الثقة والأخطاء الشائعة

يصف RFC 5321 نقل SMTP ومعلومات التتبع التي تضيفها الخوادم. يمكن اختلاق الرؤوس الواردة من خارج نظام بريد موثوق. ابدأ الثقة من نظام استقبال تتحكم فيه، ثم انتقل إلى الأسفل فقط بقدر ما تبرره سجلات ذلك النظام وسياساته. اختلاف نطاق From الظاهر عن نطاق Return-Path شائع في القوائم البريدية وخدمات إعادة التوجيه ومنصات الرسائل الآلية؛ وهو ملاحظة لا دليل على انتحال الهوية.

قد تستخدم الموضوعات وأسماء العرض المشفرة كلمات RFC 2047. يفك المحلل صيغ Base64 أو quoted-printable الشائعة بترميزات UTF-8 وISO-8859-1 وWindows-1252، ويترك الترميزات غير المدعومة ظاهرة مع تحذير. كما يضع حدًا للمجموعات الكبيرة جدًا من الحقول والمحطات حتى يظل المتصفح مستجيبًا. وفي الاستجابة للحوادث، احتفظ بالرسالة الأصلية منفصلة: فالصادرات تقارير موجزة ولا تتضمن عمدًا الإدخال الخام أو النص أو المرفقات أو كتل توقيع DKIM.

الخصوصية والتصدير

تتم عمليات التحليل والاختيار والنسخ وإنشاء الصادرات محليًا داخل علامة التبويب الحالية. تستخدم خطوات المسار التخزين الخاص بعلامة التبويب، لا عنوان URL، لذلك لا يُرسل الرأس الخام عبر Livewire ولا يظهر في معاملات التنقل. الحد الأقصى للإدخال 512 KiB. يستخدم ملف CSV للخط الزمني ترميز UTF-8 مع علامة ترتيب البايت وصفوف CRLF، وتُحيّد الخلايا التي تبدأ برموز صيغ جداول البيانات. ويتضمن JSON الملاحظات المحللة والتنبيه الخاص بالتقرير بدلًا من الرأس الأصلي.