Tiny Online Tools
Was die Received-Kette ist
Jeder Server, der eine Nachricht bearbeitet, setzt eine Received:-Zeile oben in den Kopfzeilenblock; der Stapel liest sich also vom Neuesten zum Ältesten. Umgedreht ist er der Weg, den die Nachricht genommen hat. Jeder Sprung nennt den Rechner, von dem sie kam (from), den, der sie übernahm (by), meist die IP-Adresse der Gegenstelle und den per Reverse-DNS ermittelten Namen, das Protokoll und einen Zeitstempel. Die Differenz aufeinanderfolgender Zeitstempel ergibt die Verzögerung je Sprung — so verrät eine Nachricht, die sechs Minuten unterwegs war, wo diese sechs Minuten geblieben sind: fast immer eine Warteschlange oder ein Greylisting-Neuversuch.
Negative Verzögerungen sind normal, kein Fehler. Zwei Relays mit um Sekunden abweichenden Uhren erzeugen sie, ebenso ein Server, der in Ortszeit mit falschem Versatz stempelt.
Was das aussagen kann — und was nicht
Darüber schweigen die meisten Werkzeuge. Alles unterhalb der obersten Received:-Zeile hat eine Maschine geschrieben, die der Empfänger nicht kontrolliert. Eine gefälschte Kette sieht genau aus wie eine echte. Nur die Sprünge, die Ihre eigene Infrastruktur hinzugefügt hat — die obersten — und die Authentication-Results des letzten empfangenden Servers belegen überhaupt etwas.
Und diese Authentifizierungsergebnisse sind Protokolle, keine Prüfungen. Die hier gezeigten SPF-, DKIM- und DMARC-Urteile werden aus Kopfzeilen gelesen, die ein empfangender Server bereits geschrieben hat. Sie unabhängig zu prüfen erforderte DNS-Abfragen — den SPF-Eintrag des Absenders, den öffentlichen DKIM-Schlüssel des Selektors — und dieses Werkzeug stellt überhaupt keine Netzanfragen. Eine DKIM-Signature-Kopfzeile ohne passende Authentication-Results belegt nur, dass der Absender eine Signatur behauptet hat; genau deshalb wird sie als ungeprüft ausgewiesen.
Ausrichtung
DMARC besteht, wenn die von SPF oder DKIM authentifizierte Domain zur Domain im From: passt. Dieser Vergleich wird ausdrücklich gezeigt, denn eine Nachricht kann spf=pass tragen und trotzdem gefälscht sein: Der SPF-Pass kann zu einer Bounce-Domain gehören, die mit dem sichtbaren Absender nichts zu tun hat.
Nichts von dem, was Sie einfügen, wird hochgeladen. Die Analyse läuft in diesem Tab und lässt sich als JSON herunterladen.