Bag hver mail ligger en header: en række tekniske linjer, der viser, hvilke servere mailen har passeret, hvornår, og hvordan afsenderen blev kontrolleret. Headeren er ofte det, der afgør, om en mail er ægte, og hvornår den faktisk blev sendt. Den forsvinder, hvis mailen videresendes eller printes.
Hvad står der i en header?
- From · Afsenderen, som den vises for modtageren. Kan forfalskes.
- To, Cc · Modtagere
- Date · Det tidspunkt, afsenderens program angav
- Message-ID · Et unikt ID for mailen, lavet af afsenderens system
- Received · Én linje for hver server, mailen passerede, med tidspunkt
- Return-Path · Hvor fejlmeddelelser sendes hen. Kan afsløre den reelle afsender.
- Authentication-Results · Resultatet af kontrollen af afsenderdomænet (SPF, DKIM, DMARC)
- In-Reply-To, References · Hvilken mail der svares på, og hvilken tråd den hører til
Sådan læser du "Received"-linjerne
Linjerne læses nedefra og op. Den nederste viser, hvor mailen startede, og den øverste, hvor den endte. Hvert led har et tidspunkt. Passer tidspunkterne ikke sammen, eller mangler der led, kan det være tegn på, at noget er galt. Men forsinkelser og tidszoner kan også forklare uoverensstemmelser, så det skal vurderes samlet.
Hvad kan en header bevise?
- At mailen kom fra et bestemt domænes servere, hvis kontrollen af afsenderdomænet bestod.
- Hvornår mailen passerede serverne, uafhængigt af afsenderens eget ur.
- At to mails hører til samme tråd, og hvilken der kom først.
- At en mail er forfalsket, for eksempel hvis afsenderen påstås at være en kollega, men mailen kom fra en fremmed server.
Hvad kan en header ikke bevise?
- Hvem der sad ved tastaturet. Den viser kontoen, ikke personen.
- At indholdet ikke er ændret bagefter hos modtageren. Det kræver, at mailen sikres fra postkassen.
- Tidspunktet for skrivningen, kun for afsendelsen.
Sådan finder du headeren
- Outlook (skrivebord): Åbn mailen, vælg Filer › Egenskaber, og se feltet "Internetheadere".
- Outlook på nettet: Åbn mailen, vælg de tre prikker › Vis › Vis meddelelsesdetaljer.
- Gmail: Åbn mailen, vælg de tre prikker › Vis original.
- Apple Mail: Vælg Vis › Besked › Alle headere.
Menunavnene kan ændre sig mellem versioner.
Pas på: videresendelse ødelægger headeren
Når du videresender en mail, laver dit program en ny mail med din header. Den oprindelige header er væk eller kun delvist med i teksten. Det samme gælder, hvis du kopierer teksten ind i en ny mail eller printer den. → Sådan gemmer du en mail korrekt
Forfalskede afsendere
Det er teknisk let at skrive et andet navn i feltet "From". Derfor findes kontrollen af afsenderdomænet: SPF, DKIM og DMARC. Står der "fail" i resultatet, er der grund til at være varsom. Er domænet ikke sat op korrekt, kan kontrollen ikke bruges til meget. Du kan teste et domænes opsætning med Nielco IT's gratis SPF- og DMARC-tjek.
Når headeren skal bruges i en sag
Headeren skal komme fra den originale mail i postkassen, sikret med metoder der bevarer alle oplysninger. En IT-sagkyndig kan vurdere, om mailen er ægte, og forklare det i en rapport. → Microsoft 365 · Gmail og Google Workspace
Ofte stillede spørgsmål
Kan jeg sende headeren til min advokat? Ja, men send hellere hele mailen som fil. Så følger headeren med, og der kan beregnes en hashværdi. → Hashværdier
Hvorfor er der flere tidspunkter i headeren? Hver server tilføjer sit eget tidspunkt. Forskellene viser, hvor lang tid mailen var undervejs, og kan afsløre uoverensstemmelser.
Kan modparten ændre en header? I en mail, de selv har modtaget, kan de ændre en kopi. Derfor sammenlignes med serverens egne data og med afsenderens kopi, når det er muligt.
