Galveņu rindu lasīšana: no kurienes šī vēstule atnāca?

1. modulis: Kā darbojas e-pasts · Lasīšanas laiks: 11 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet atvērt vēstules galveņu rindas, izlasīt Received rindas pareizā secībā un no Authentication-Results noteikt, vai SPF, DKIM un DMARC bija pareizi.

Pamatjēdzieni: galveņu rindas (headers), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, X-galveņu rindas, pirmavots jeb oriģinālā vēstule

Ko parasti neredzat

Jūsu pasta programma parāda no vēstules dažas rindas: sūtītāju, tēmu, datumu, saņēmējus. Patiesībā katrai vēstulei augšpusē, pirms teksta, ir desmitiem galveņu rindu (headers). Tās pievieno sūtītāja programma un katrs serveris, kas vēstuli ceļā apstrādā. Kopā tās veido vēstules ceļojuma aprakstu.

Tas, kurš prot lasīt galveņu rindas, var pats atbildēt uz daudziem jautājumiem: vai šī vēstule tiešām ir no manas bankas? Kāpēc tā pienāca tikai pēc divām stundām? Kāpēc tā nonāca mēstulēs? Vai mans paša DKIM ir pareizs? Daudzi šīs kursa uzdevumi lūdz Jums apskatīt galveņu rindas. Šajā nodarbībā Jūs iemācīsieties, kā to darīt.

Galveņu rindu atvēršana

Katrai programmai šim nolūkam ir sava poga:

Tālrunī to parasti nevar izdarīt. Tādā gadījumā pāradresējiet vēstuli sev kā pielikumu vai atveriet to tīmekļa pastā.

Piemērs

Jānis saņem vēstuli no Annas. Šādi izskatās svarīgākās galveņu rindas (saīsinātā veidā):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Received rindas: no apakšas uz augšu

Katrs serveris, kas vēstuli nodod tālāk, pievieno Received: rindu augšpusē. Tātad vecākā rinda ir apakšā, jaunākā augšā. Lasiet tās no apakšas uz augšu, lai izsekotu ceļojumam:

1. Apakšējā rinda: Annas klēpjdators (IP 198.51.100.77, viņas mājas pieslēgums) nogādā vēstuli serverim out.hosting.example, izmantojot ESMTPSA (burts A nozīmē authenticated: viņa bija pieslēgusies) un TLS 1.3. Plkst. 10:15:04.
2. Vidējā rinda: out.hosting.example (192.0.2.25) nogādā vēstuli serverim mx1.mailprovider.example, kas ir example.net MX serveris. Plkst. 10:15:07.
3. Augšējā rinda: pasta serveris iekšēji novieto vēstuli Jāņa pastkastē (LMTP). Plkst. 10:15:09.

Received rindai vienmēr ir šāda forma: from <kas vēstuli piedāvāja> by <kas to pieņēma> with <protokols>; <laiks>. Iekavās aiz from ir redzams tas, ko saņēmošais serveris pats novēroja: patiesais nosaukums (PTR) un patiesā IP adrese. Šī daļa ir uzticama tiktāl, cik Jūs uzticaties šim saņēmošajam serverim. To, ko pats nosaucis sūtītājs (helo=), nav iespējams pārbaudīt.

Divi praktiski paņēmieni:

• Kavējuma meklēšana: salīdziniet laikus. Ja starp divām rindām ir divu stundu starpība, vēstule tik ilgi atradusies rindā. Ņemiet vērā laika joslas (+0100, +0000).
• Patiesā sūtītāja servera atrašana: atrodiet augšējo Received rindu, ko ir uzrakstījis saņēmēja paša serveris, un paskatieties, kas tur rakstīts aiz from. Visu, kas zemāk, ir uzrakstījusi sūtītāja puse, un teorētiski tas var būt izdomāts. Piemērā 192.0.2.25 ir serveris, kas nogādāja vēstuli pie saņēmēja; pēc tā tiek vērtēts SPF un reputācija.

Adreses

Krāpnieku labi pazīstams paņēmiens: From, kas izskatās pēc Jūsu bankas, bet Reply-To norāda uz pavisam citu adresi. Šaubu gadījumā vienmēr apskatiet domēnu laukā From un Return-Path, kā arī Authentication-Results.

Authentication-Results: saņēmēja spriedums

Saņemošais serveris laukā Authentication-Results (RFC 8601) ieraksta savu pārbaužu rezultātu:

• spf=pass smtp.mailfrom=example.com: nogādājošā servera IP adrese ir ierakstīta tā domēna SPF ierakstā, kas norādīts Return-Path.
• dkim=pass header.d=example.com header.s=x: domēna example.com DKIM paraksts ar atslēgu (selektoru) x ir pareizs.
• dmarc=pass header.from=example.com: domēns laukā From ir saskaņots (aligned) ar veiksmīgu SPF vai DKIM, tāpēc DMARC ir izturēts.

Citi rezultāti, kurus varat redzēt: fail (nepareizs), softfail (SPF beidzas ar ~all, un IP adreses tajā nav), neutral, none (ieraksta nav), temperror (pagaidu DNS kļūda) un permerror (bojāts ieraksts, piemēram, divi SPF ieraksti). Kas tie tieši nozīmē un kā tos labot, aprakstīts modulī 4.

Ņemiet vērā: uzticieties tikai tai Authentication-Results rindai, ko ierakstījis pats saņēmēja serveris (nosaukums priekšā, šeit mx1.mailprovider.example). Viltota vēstule var ietvert savu, izdomātu Authentication-Results rindu. Labi serveri to noņem, bet ne visi.

DKIM-Signature: parakstš

Galveņu rinda DKIM-Signature ir pats paraksts. Bieži nepieciešami divi lauki:

• d= domēns, kas paraksta (šeit example.com);
• s= selektors, atslēgas nosaukums (šeit x).

Ar to Jūs varat atrast publisko atslēgu DNS: x._domainkey.example.com. Uzdevumos un problēmu gadījumos bieži vajadzēs uzmeklēt tieši šīs divas vērtības. Vēstulei var būt vairāki DKIM paraksti, piemēram, viens no Jūsu domēna un viens no sūtīšanas pakalpojuma. 4.3. nodarbībā mēs to aplūkosim sīkāk.

Dažkārt redzēsiet arī ARC-Seal, ARC-Message-Signature un ARC-Authentication-Results. ARC (RFC 8617) ir veids, kā starpstacijas, piemēram, adresātu saraksts vai pāradresācijas serveris, fiksē, kādi bija pārbaužu rezultāti, pirms tās vēstuli izmainīja. Pagaidām Jums nav jāprot tās lasīt.

X-galveņu rindas

Galveņu rindas, kas sākas ar X-, nav standartizētas. Mēstuļu filtri tajās ieraksta savu novērtējumu, piemēram, X-Spam-Status: No, score=1.2 vai X-Spam-Flag: YES. Tas palīdz saprast, kāpēc kaut kas nonāca mēstulēs. Tās atšķiras atkarībā no pakalpojumu sniedzēja.

Kopsavilkums

• Galveņu rindas ir vēstules ceļojuma apraksts. Atveriet tās ar "rādīt oriģinālu", "ziņojuma pirmkods" vai kaut ko līdzīgu.
• Lasiet Received rindas no apakšas uz augšu. Rinda, ko uzrakstīja saņēmēja serveris, pastāsta, kura IP adrese veica nogādi.
• Return-Path ir envelope sūtītāja adrese (SPF), From ir redzamais sūtītājs (DMARC), Reply-To norāda, kur dodas atbildes.
• Authentication-Results sniedz spriedumu par SPF, DKIM un DMARC; uzticieties tikai tai rindai, ko ierakstījis saņemošais serveris.
• DKIM-Signature ietver d= (domēns) un s= (selektors); kopā tie norāda atslēgas atrašanās vietu: s._domainkey.d.

Tests

Uzdevums

Uzdevums Z1.5: Likt sadalīt galvenes. Nosūtiet sev vēstuli no citas adreses (piemēram, no sava darba adreses uz privāto adresi vai otrādi), atveriet galveņu rindas un ielīmējiet tās formā. Ja Jums nav otras adreses, izmantojiet parauga failu kopregels-1.txt, kas pievienots uzdevumam. Pēc tam pats aizpildiet: tā servera IP adresi, kas nogādāja vēstuli saņēmējam, domēnu laukā Return-Path, domēnu un selektoru DKIM parakstā, kā arī SPF, DKIM un DMARC rezultātu. Programma sadala tās pašas galveņu rindas, dzīvajā režīmā uzmeklē DKIM atslēgu un uzrāda savu rezultātu blakus Jūsu norādītajam. Jūsu galveņu rindas netiek saglabātas.

Papildu lasāmviela

Šajos rakstos aprakstītie soļi attiecas uz WebOké vadības paneļiem; citiem pakalpojumu sniedzējiem process ir līdzīgs.

• Pārbaude, vai e-pasts ir piegādāts, ar Email Tracking DirectAdmin
• DirectAdmin rokasgrāmata 9.3: E-mail Tracking: kur palikusi mana vēstule?
• Vai šis e-pasts tiešām ir no WebOké? Pikšķerēšanas atpazīšana un akcijas koda izmantošana
• Bezmaksas DNS kurss 4.4: DKIM: paraksts zem Jūsu e-pasta
• RFC 5322 (vēstules uzbūve), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)
• Apskatīt un lasīt e-pasta ziņojuma galvenes (headers)