Header delle e-mail: quali informazioni contiene?

La sezione intestazione dell’e-mail si suddivide in due parti: gli header generati direttamente dal mittente corrispondente e l’invio al destinatario. Una volta inviato, al messaggio elettronico viene aggiunta la cosiddetta busta, envelope header, che viene generata dai mail server coinvolti durante la trasmissione. Queste informazioni aggiunte successivamente alla “busta”, le cosiddette righe received, sono di fondamentale importanza per rintracciare le e-mail. Ogni riga dell’header comincia con una parola chiave (il nome), seguita da due punti e dal contenuto.   

Indicazioni nascoste nell’header

Return-Path: questa riga (se presente) si trova quasi sempre all’inizio e indica le opzioni di re-invio per il mail server, nel caso in cui non sia stato possibile consegnare l’e-mail. L’indirizzo mostrato è uguale a quello contenuto nel campo dell’“Envelope from”.

Esempio: Return-Path: <indirizzo-return@mail.it>

Received: le righe received vengono generate dai mail server coinvolti nella trasmissione. Logicamente esistono in ogni header almeno due di queste righe, dato che è indispensabile un server per l’invio e uno per la ricezione. Dal punto di vista del contenuto, nelle righe viene svelato il percorso dell’e-mail compresa la data e gli indirizzi dei mail server coinvolti (generalmente tra parantesi quadre).

Esempio: Received: from mx3.gmx.example (qmailr@mx3.gmx.example [195.63.104.129])

                by mailserver.destinatario.it with SMTP

                for <destinatario@mail.it>; Thu, 24 Dec 2015 17:36:20

                +0200 (MET DST)

Message-ID: ogni e-mail riceve questo identificativo, trasmesso in linea di massima dai mail server o già compreso nel programma e-mail del mittente. L’ID è composto da un codice numerico, il simbolo della chiocciola “@” e il nome del dominio.

Esempio: Message-ID: <434571BC.8070702@mail.it>

Content-Type: in questa riga sono contenute le informazioni sul tipo e sul codice del corpo del testo. I singoli parametri sono separati da un punto e virgola.

Esempio: Content-Type: text/plain; charset=UTF-8

Analisi dell’header: come funziona

Per iniziare ad analizzare la sezione intestazione, è necessario prima di tutto l’estratto completo. Dato che i programmi e-mail comuni nascondono i contenuti rilevanti per la trasmissione, è necessario renderli visibili. Su Microsoft Outlook 2010 aprite, ad esempio, il rispettivo messaggio e nella barra cliccate la tab “fileà proprietàà intestazioni internet”. Su Mozilla Thunderbird, invece, attivate le informazioni tramite il menu “visualizza” e selezionando la voce “sorgente del messaggio”. Anche i webmail online consentono di visualizzare l’header delle e-mail, ma le procedure variano a seconda dell’applicazione utilizzata.

Per individuare il destinatario, cercate nell’intestazione l’indirizzo IP e il nome del primo server coinvolto nella trasmissione del messaggio. Leggete semplicemente partendo dall’alto le diverse voci delle righe received (del mail server che avete utilizzato) fino all’indicazione del server di posta in uscita, che è generalmente la voce più bassa delle righe received. Se dopo questa compaiono altre voci, si tratta probabilmente di un tentativo di frode e in questo caso avete appena individuato il server di posta in uscita. Infine, copiate l’indirizzo IP in un qualsiasi tool online per il tracciamento dell’IP, come la pagina di Network-Tools.com. Otterrete così delle informazioni su dove si trova il server. Il risultato dovrebbe coincidere con il nome del server così come con la riga del fuso orario indicato.

Al posto di iniziare una caccia all’errore tra le informazioni delle righe received dell’header, si consiglia di utilizzare dei programmi gratuiti come eToolz. Qui potete inserire l’header completo alla voce “analisi header” nel campo “HTTP-Header” e iniziare la ricerca. L’applicazione elenca in ordine cronologico tutti i mail server coinvolti; alla voce “inviato da:” trovate l’indirizzo IP del primo server, verificabile anche manualmente su Network-Tools.com.

Come vengono manipolati gli header delle e-mail

Nella maggior parte dei casi i mittenti spam non hanno interesse a ricevere risposte al loro spam. Generalmente chi invia messaggi spam, vuole restare anonimo. Ne consegue che i campi “da” e “return-path” delle e-mail spam contengono di rado informazioni vere. Per questo motivo gli autori reali assumono delle false identità. Oggi capita che molti ricevano presunte e-mail da banche, dalla posta, da Paypal o addirittura da istituzioni ufficiali. Oltre al fatto che in questi messaggi viene sempre richiesto di cliccare su dei link esterni, gli indirizzi falsi utilizzati sono simili agli originali, ma tramite un’analisi dell’header vengono facilmente smascherati e contrassegnati come spam. Resta difficile sapere chi siano i reali fautori di queste e-mail spam. Infatti, tramite dei mail server configurati erroneamente o attraverso l’invio da computer infetti, utilizzati come stazione intermedia durante l’invio, molti mittenti spam riescono ad evitare di essere identificati tramite header.

Le voci delle righe received sono gli unici elementi dell’header che non possono essere contraffatti completamente. Ciò dipende dal fatto che gli spammer non hanno accesso all’ ultima voce delle righe received che contiene normalmente l’ip del server di posta in uscita, generato automaticamente dal mail server del destinatario. Una manipolazione delle righe aiuta i mittenti spam solo a causare confusione e a creare percorsi falsi: ad esempio invece che inserire il proprio server all’inizio della catena, viene mostrato come una parte del percorso.