Čítanie hlavičiek: odkiaľ prišiel tento e-mail?

Modul 1: Ako funguje e-mail · Čas čítania: 11 minút

Cieľ lekcie: Po tejto lekcii dokážete otvoriť hlavičky e-mailu, prečítať Received-záznamy v správnom poradí a z Authentication-Results zistiť, či SPF, DKIM a DMARC vyhoveli.

Kľúčové pojmy: hlavičky (headers), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, X-hlavičky, zdroj alebo pôvodná správa

Čo bežne nevidíte

Váš e-mailový program vám z e-mailu zobrazí len niekoľko riadkov: odosielateľ, predmet, dátum, príjemcovia. V skutočnosti má každý e-mail na začiatku, pred samotným textom, niekoľko desiatok hlavičiek (headers). Pridáva ich program odosielateľa a každý server, ktorý sa e-mailu po ceste dotkne. Spolu tvoria cestovný denník e-mailu.

Kto vie čítať hlavičky, dokáže si sám odpovedať na veľa otázok: je tento e-mail naozaj od mojej banky? Prečo prišiel až po dvoch hodinách? Prečo skončil v spame? Vyhovuje môj vlastný DKIM? Mnohé úlohy v tomto kurze vás žiadajú pozrieť sa na hlavičky. V tejto lekcii sa naučíte ako na to.

Otvorenie hlavičiek

Každý program má na to iné tlačidlo:

Na telefóne to väčšinou nejde. V takom prípade si e-mail pošlite sám sebe ako prílohu, alebo ho otvorte vo webmaili.

Príklad

Ján dostane e-mail od Anny. Takto vyzerajú najdôležitejšie hlavičky (skrátené):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Received-záznamy: zdola nahor

Každý server, ktorý e-mail posúva ďalej, pridá riadok Received: navrchu. Najstarší teda stojí úplne dole, najnovší úplne hore. Čítajte ich zdola nahor, aby ste sledovali cestu e-mailu:

1. Spodný riadok: Annin notebook (IP 198.51.100.77, jej domáce pripojenie) odovzdáva e-mail serveru out.hosting.example, cez ESMTPSA (A znamená authenticated: prihlásila sa) a TLS 1.3. O 10:15:04.
2. Prostredný riadok: out.hosting.example (192.0.2.25) odovzdáva e-mail serveru mx1.mailprovider.example, MX záznamu domény example.net. O 10:15:07.
3. Horný riadok: mailový server uloží e-mail interne do Jánovej schránky (LMTP). O 10:15:09.

Received-riadok má vždy tvar from <kto to ponúkol> by <kto to prijal> with <protokol>; <čas>. V zátvorke za from stojí to, čo prijímajúci server sám videl: skutočný názov (PTR) a skutočnú IP adresu. Táto časť je dôveryhodná v miere, v akej dôverujete danému prijímajúcemu serveru. To, čo o sebe uviedol samotný odosielateľ (helo=), sa overiť nedá.

Dva praktické triky:

• Hľadanie oneskorenia: porovnajte časy. Ak je medzi dvoma riadkami rozdiel dvoch hodín, e-mail tam tak dlho čakal vo fronte. Dávajte pozor na časové pásma (+0100, +0000).
• Nájdenie skutočného odosielajúceho servera: nájdite najvyšší Received-riadok, ktorý zapísal server samotného príjemcu, a pozrite sa, čo stojí za from. Všetko pod tým napísala odosielajúca strana a teoreticky to môže byť vymyslené. V príklade je 192.0.2.25 server, ktorý doručoval priamo príjemcovi; práve na tomto sa posudzuje SPF a reputácia.

Adresy

Známy trik podvodníkov: From, ktoré sa podobá na vašu banku, s Reply-To smerujúcim na úplne inú adresu. V prípade pochybností sa vždy pozrite na doménu v From a v Return-Path, ako aj na Authentication-Results.

Authentication-Results: posúdenie príjemcu

Prijímajúci server zapisuje do Authentication-Results (RFC 8601), aký výsledok priniesli jeho kontroly:

• spf=pass smtp.mailfrom=example.com: IP adresa servera, ktorý doručoval, je uvedená v SPF zázname domény z Return-Path.
• dkim=pass header.d=example.com header.s=x: DKIM podpis domény example.com, s kľúčom (selektorom) x, je v poriadku.
• dmarc=pass header.from=example.com: doména v From je zarovnaná s úspešným SPF alebo DKIM, takže DMARC prešlo.

Ďalšie výsledky, ktoré môžete vidieť: fail (nevyhovuje), softfail (SPF končí na ~all a IP adresa tam nie je uvedená), neutral, none (žiadny záznam), temperror (dočasná chyba DNS) a permerror (poškodený záznam, napríklad dva SPF záznamy). Čo presne znamenajú a ako ich opraviť, nájdete v module 4.

Pozor: dôverujte iba Authentication-Results servera samotného príjemcu (meno na začiatku, tu mx1.mailprovider.example). Falšovaný e-mail môže obsahovať svoj vlastný, vymyslený Authentication-Results. Dobré servery ho odstraňujú, ale nie všetky.

DKIM-Signature: podpis

Hlavička DKIM-Signature je samotný podpis. Často potrebujete dve polia:

• d= doména, ktorá podpisuje (tu example.com);
• s= selektor, názov kľúča (tu x).

Pomocou toho nájdete verejný kľúč v DNS: x._domainkey.example.com. V úlohách aj pri riešení problémov budete tieto dve hodnoty často potrebovať presne vyhľadať. E-mail môže mať viacero DKIM podpisov, napríklad jeden z vašej domény a jeden z odosielacej služby. Podrobnejšie sa tomu venujeme v lekcii 4.3.

Niekedy uvidíte aj ARC-Seal, ARC-Message-Signature a ARC-Authentication-Results. ARC (RFC 8617) je spôsob, akým medzistanice, napríklad mailová konferencia alebo presmerovací server, zaznamenávajú, aké boli výsledky kontrol predtým, než e-mail zmenili. Teraz ich nemusíte vedieť čítať.

X-hlavičky

Hlavičky začínajúce na X- nie sú štandardizované. Spamové filtre si do nich zapisujú svoje skóre, napríklad X-Spam-Status: No, score=1.2 alebo X-Spam-Flag: YES. To pomáha zistiť, prečo niečo skončilo v spame. Líšia sa podľa poskytovateľa.

Zhrnutie

• Hlavičky sú cestovný denník e-mailu. Otvorte ich cez „zobraziť originál“, „zdroj správy“ alebo niečo podobné.
• Received-riadky čítajte zdola nahor. Riadok, ktorý zapísal server príjemcu, prezrádza, ktorá IP adresa doručovala.
• Return-Path je odosielateľ obálky (SPF), From je viditeľný odosielateľ (DMARC), Reply-To určuje, kam idú odpovede.
• Authentication-Results udáva výsledok SPF, DKIM a DMARC; dôverujte iba tej, ktorú zapísal prijímajúci server.
• V DKIM-Signature sa nachádzajú d= (doména) a s= (selektor); spolu udávajú miesto kľúča: s._domainkey.d.

Kvíz

Úloha

Úloha Z1.5: Nechať analyzovať hlavičky. Pošlite si e-mail z inej adresy (napríklad z pracovnej adresy na súkromnú, alebo naopak), otvorte hlavičky a vložte ich do formulára. Ak nemáte druhú adresu, použite vzorový súbor kopregels-1.txt, ktorý je priložený k úlohe. Potom sami doplňte: IP adresu servera, ktorý doručoval príjemcovi, doménu z Return-Path, doménu a selektor DKIM podpisu, a výsledok SPF, DKIM a DMARC. Program ten istý obsah hlavičiek analyzuje, vyhľadá DKIM kľúč naživo a jeho výsledok porovná s vaším. Vaše hlavičky sa neukladajú.

Ďalšie čítanie

Kroky v týchto článkoch platia pre panely WebOké; u iných poskytovateľov to funguje podobne.

• Kontrola doručenia e-mailu pomocou funkcie Email Tracking v DirectAdmine
• Návod na DirectAdmin 9.3: E-mailové sledovanie: kam zmizla moja pošta?
• Je skutočne tento e-mail od spoločnosti WebOké? Ako rozpoznať phishing a použiť akčný kód
• Bezplatný kurz DNS 4.4: DKIM: podpis pod vašou poštou
• RFC 5322 (štruktúra e-mailu), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)