Como ler cabeçalhos Received e acompanhar a rota de um e-mail

Cada servidor que aceita uma mensagem costuma acrescentar um campo Received acima dos anteriores. Lidos em conjunto, esses campos ajudam a reconstruir a rota e a localizar atrasos. Eles não são, sozinhos, prova da identidade humana do remetente.

Leia de baixo para cima

O salto mais antigo geralmente está no Received mais abaixo; o mais recente fica perto do topo. Para cada linha, identifique quem declarou ter recebido, de qual host ou IP, por qual protocolo e em qual horário.

Comece na parte superior, onde o provedor destinatário adicionou informação confiável, e desça até a fronteira em que os campos podem ter sido fornecidos por sistemas fora desse controle. Texto anterior a essa fronteira pode ser falsificado.

Normalize horários

Cabeçalhos podem usar fusos diferentes. Converta cada data para UTC antes de calcular intervalos. Um atraso grande entre dois saltos pode indicar fila, tentativa repetida, filtro ou indisponibilidade, mas precisa ser correlacionado com logs do sistema responsável.

O campo Date do corpo da mensagem é definido pelo emissor e não substitui a sequência Received. Compare os dois apenas como pistas.

Entenda nomes e endereços

Os valores from, by e with descrevem a visão de um servidor sobre a conexão. Nomes reversos, HELO e IP podem divergir. Infraestrutura em nuvem, gateways e encaminhadores também tornam a rota mais longa sem indicar problema.

Uma IP não identifica necessariamente uma pessoa; pode representar provedor compartilhado, NAT ou relay. Não publique endereços sem necessidade. Para suporte, mantenha os saltos relevantes e remova destinatários, IDs e tokens.

Relacione com autenticação

Authentication-Results registra avaliações feitas por um servidor. Verifique onde esse cabeçalho entrou na rota e compare domínios de SPF, DKIM e DMARC. O guia de autenticação explica por que um pass é evidência técnica, não garantia de conteúdo seguro.

Resultados inseridos por sistemas não confiáveis podem ser apenas texto. Dê maior peso à avaliação criada na fronteira do provedor que entregou a mensagem ao usuário.

Diagnóstico sem conclusões excessivas

Use a cadeia para responder perguntas limitadas: em que ordem os servidores participaram, onde aparece um intervalo anormal e qual sistema deve ser consultado. Não use para afirmar localização exata, autoria ou intenção.

O analisador local de cabeçalhos organiza campos sem consulta DNS e sem enviar o texto para um servidor de análise. Ele reduz trabalho manual, mas cabeçalhos incompletos ou forjados ainda exigem contexto e logs de origem.

Compartilhamento seguro

Antes de enviar um cabeçalho a outra equipe, remova endereços pessoais, IDs de mensagem, tokens, nomes internos e IPs que não participam do diagnóstico. Preserve a ordem e marque cada remoção para não parecer que o dado estava ausente. Em incidentes formais, mantenha a cópia original em local restrito e compartilhe uma versão minimizada para a análise cotidiana.