本工具如何工作
从邮件客户端复制邮件的完整邮件头并粘贴到输入框。服务器解析它们并生成报告；不需要邮件正文。工具免费，无需账号。
每台处理邮件的服务器都在邮件头顶部添加一行 Received:，记录它从哪台服务器收到邮件、自己的名称、协议、通常还有连接 IP 地址和时间戳。邮件到达您时，邮件头中包含一串这样的行，最新的在前。分析器按顺序读取它们，把链条反转为从来源到您的邮箱，从每行提取发送主机和 IP，并计算相邻时间戳之间的延迟。
然后读取您的接收服务器添加的 Authentication-Results: 头，它记录了 SPF、DKIM 和 DMARC 检查的结果，并连同评估所依据的域名一起呈现每项结果。最后识别来源 IP（链中第一个公网地址）并查询它：国家/地区和城市估算、宣告它的自治系统、反向 DNS 名称，以及指向完整 IP 查询和黑名单检查的链接。
请把粘贴内容中的 From、Return-Path、Reply-To、Message-ID 和 Date 行与报告对照阅读；再加上服务商特有的垃圾邮件评分行，就是完整画面。
如何解读结果
跳列表
每行是一台处理过邮件的服务器，从顶部的来源到底部的您的邮箱。各列显示传递邮件的主机、接收它的主机、协议、时间戳和自上一跳以来的延迟。
第一跳最有意思。如果它显示属于邮件服务商的主机名和公网 IP，邮件是通过该服务商发送的，地址告诉您是哪家，而不是发件人是谁。如果第一跳显示家庭或企业连接的 IP，发件人的邮件客户端直接连接到了记录客户端地址的服务器，IP 查询能给出大致位置和运营商。
最后几跳是您自己服务商的服务器。中间的一切是中转：转发服务、邮件列表、垃圾邮件过滤器和中继。从另一个邮箱转发来的邮件会在中间多出一组转发邮箱服务商的跳。
延迟揭示邮件在哪里停留。每跳几秒是正常的。单一跳几分钟通常意味着灰名单或垃圾邮件扫描。几小时可能是服务器宕机、队列或时钟错误——后者也会产生负延迟，因为每台服务器盖的是自己的本地时间。
认证结果
| 结果 | 含义 |
|---|---|
| SPF 通过 | 把邮件投递给您服务商的服务器列在信封发件人域名的 SPF 记录中。 |
| SPF 失败或软失败 | 未列在其中。转发会正当地破坏 SPF，转发邮件的失败是预期的；直接邮件的失败则可疑。 |
| SPF 无 | 发件人域名未发布 SPF 记录。 |
| DKIM 通过 | 邮件中的签名与签名域名在 DNS 发布的公钥验证一致。被签名的部分在传输中未被改动。 |
| DKIM 失败 | 签名未能验证。邮件在签名后被修改、密钥已轮换，或签名是伪造的。 |
| DMARC 通过 | SPF 或 DKIM 以与可见 From 域名对齐的域名通过。这是说明 From 地址合法的结果。 |
| DMARC 失败 | 两项对齐检查都未通过。接下来取决于 From 域名的策略：none、quarantine 或 reject。 |
邮件可能对一个域名通过 SPF 和 DKIM，而 From 行显示另一个。这正是 DMARC 对齐要捕捉的，也是两者不一致时该信任 DMARC 行的原因。
来源 IP 区块
国家/地区和城市是地理定位数据库的估算，描述发送时的服务器或发件人连接。ASN 告诉您是哪种网络：邮件服务商、托管公司或家庭运营商。直接投递、来源是没有反向 DNS 的托管网络、且 DMARC 失败的邮件，是垃圾邮件或钓鱼的典型特征。
接下来怎么做
您怀疑是钓鱼或伪造
- 把 From 域名与 DMARC 结果比较。失败，或对完全不同于 From 行的域名通过，意味着可见的发件人不是它声称的那个。
- 检查 Reply-To 和 Return-Path 头。钓鱼常显示可信的 From 和无关的 Reply-To。
- 查看来源 IP 的网络和黑名单状态。托管网络或被列入的地址支持这一怀疑。
- 不要点击邮件中的链接。通过服务商的钓鱼举报选项举报，它会自动把完整邮件头发给他们。
您想知道匿名或骚扰邮件是谁发的
- 识别链中第一个公网 IP 及其网络。如果属于网页邮箱服务商，邮件头到此为止；只有服务商持有该账号的连接记录，并且只在法律要求下提供。
- 如果第一跳是家庭运营商地址，WHOIS 查询给出运营商的滥用投诉联系人。运营商能根据 IP 和带时区的精确时间戳识别用户，同样只通过法律程序。
- 保留带完整邮件头的原始邮件。转发会去除或改写它们；使用客户端的导出或“另存为”功能。
您自己的邮件被标为垃圾邮件
- 向您在大型服务商控制的邮箱发一封邮件并分析其邮件头。
- 把发送服务器加入域名的 SPF 记录以修复 SPF 失败；用 DNS 查询检查记录。在邮件服务商或服务器上启用签名并发布选择器的密钥以修复 DKIM 失败。
- SPF 和 DKIM 通过后发布 DMARC 记录，从 none 策略开始并开启报告。
- 确认发送 IP 有正向确认的反向 DNS 名称且不在黑名单中。
从常见客户端获取邮件头
- Gmail（网页版）： 打开邮件，点击三点菜单，选择“显示原始邮件”，然后“复制到剪贴板”。
- Outlook（桌面版）： 在独立窗口打开邮件，文件 → 属性，复制 Internet 邮件头框。Outlook 网页版：打开邮件菜单 → 查看 → 查看邮件源。
- Apple Mail： 选中邮件，显示 → 邮件 → 所有标头，或“原始来源”获取完整邮件。
- Yahoo Mail： 打开邮件，更多 → 查看原始邮件。
- Thunderbird： 查看 → 邮件头 → 全部，或查看 → 邮件源代码。
- 移动应用： 大多数不显示邮件头；请改在服务商的网页界面打开邮件。
从第一行邮件头粘贴到正文之前的空行。包含正文无妨，但不需要。
自己阅读 Received 链
Received 行形如 Received: from mail.example.net (mail.example.net [203.0.113.10]) by mx.yourprovider.com with ESMTPS id abc123; Tue, 1 Oct 2024 10:15:22 +0000。from 部分是发送服务器自报的身份，括号中是接收方看到的真实主机名和 IP；by 部分是写下这一行的服务器。从邮件头底部向上读，就是沿着邮件从来源到目的地。分析器替您完成这一步，但了解格式能让您发现由发件人而非服务器写的行：声称一个不合理服务器的 Received 行，或时间戳与其余行顺序不符的行。
本工具的局限
- 第一个可信跳之下的邮件头可能伪造。发件人可以插入假的 Received 行；只有您的服务商及其接收来源的服务器添加的行是可靠的。
- 网页邮箱和大多数服务商不透露发件人的设备地址。来源 IP 往往是数百万用户共用的服务商服务器。
- 来源 IP 的地理定位至多是城市级估算，描述的是服务器或连接，不是人。
- 认证结果来自您的接收服务器写入的头。如果服务商不添加 Authentication-Results 头或将其去除，工具无法评估 SPF、DKIM 或 DMARC，报告为不可用。工具本身不重新运行检查。
- 时间戳来自每台服务器自己的时钟。负的或不合理的延迟通常意味着时钟有误，而不是邮件穿越了时间。
- 转发、邮件列表和某些安全网关会改写邮件头，可能破坏合法邮件的 SPF 和 DKIM 并隐藏原始路径。
- 工具解析标准格式的邮件头。从重排或翻译过它们的客户端复制的邮件头，或导出为截图的邮件，无法分析。
- 链中的私有 IP 地址是内部跳，不查询。