Il testo visibile di un’email racconta solo una parte della sua storia. Per capire da quali server è passata, quando è stata realmente consegnata e se il mittente è stato verificato, bisogna consultare le intestazioni, chiamate anche header. Sono informazioni tecniche aggiunte dai sistemi di posta durante il trasferimento del messaggio e normalmente nascoste nell’interfaccia dei client.

Le intestazioni sono utili per analizzare messaggi sospetti, riconoscere tentativi di phishing, verificare ritardi nella consegna e fornire dati più precisi all’assistenza tecnica. Non permettono però di ricostruire sempre l’identità reale di una persona: mostrano soprattutto il percorso seguito dal messaggio attraverso i server e i risultati dei controlli eseguiti.

Come visualizzare le intestazioni complete

La procedura varia in base al servizio utilizzato, ma il principio è sempre lo stesso: bisogna aprire i dettagli del messaggio e cercare una voce come “Mostra originale”, “Visualizza sorgente”, “Visualizza intestazioni” o “Proprietà messaggio”. Nei client installati sul computer l’opzione può trovarsi nel menu del messaggio, mentre nei servizi web è spesso accessibile dal menu con tre puntini o dalla sezione dedicata ai dettagli.

È importante visualizzare le intestazioni complete e non limitarsi ai dati riassuntivi mostrati dall’applicazione. Una schermata con mittente, destinatario e oggetto non contiene infatti le informazioni necessarie per ricostruire il percorso. Per un’analisi tecnica, può essere utile copiare tutto il blocco delle intestazioni in un file di testo, senza modificare righe o spaziature.

Le intestazioni non includono normalmente il contenuto dell’email, ma possono contenere indirizzi IP, nomi di dominio, identificativi del messaggio e informazioni sull’infrastruttura utilizzata. Per questo è prudente non pubblicarle integralmente online: anche se non mostrano la password o il testo privato, possono rivelare dati tecnici e personali.

Le righe Received: il percorso del messaggio

La parte più importante per ricostruire il tragitto è costituita dalle righe Received:. Ogni server di posta che riceve il messaggio può aggiungere una nuova riga all’intestazione. La regola fondamentale è leggere queste righe dal basso verso l’alto: quella più in basso rappresenta in genere il passaggio più vicino all’origine conosciuta, mentre quella più in alto documenta il passaggio più recente prima della consegna alla casella.

Una riga Received può contenere il nome del server che ha ricevuto il messaggio, il server o il dispositivo che lo ha consegnato, un indirizzo IP, un identificativo interno e un orario. La sintassi non è sempre identica, perché dipende dal software e dal provider. Un esempio semplificato potrebbe indicare che un server chiamato “mail.esempio.net” ha ricevuto il messaggio da “smtp.altrodominio.net”, seguito da un indirizzo IP e da una data.

La presenza di più righe non significa automaticamente che il messaggio sia fraudolento. Un’email legittima può attraversare diversi server: il servizio del mittente, sistemi antispam, gateway aziendali e il provider del destinatario. Al contrario, una singola riga o un percorso apparentemente semplice non dimostrano che l’email sia autentica.

Quando si confrontano le date, occorre considerare il fuso orario indicato. Le intestazioni usano spesso il formato numerico dell’offset, come +0100 o +0000. Un messaggio può quindi sembrare inviato a un’ora diversa rispetto a quella mostrata nell’interfaccia. Se una riga presenta un orario molto distante da quella successiva, può esserci stato un ritardo, un problema di sincronizzazione dell’orologio o una manipolazione nei dati non ancora verificati.

Quali campi controllare oltre a Received

Il campo From: mostra il mittente visualizzato all’utente, ma non è sufficiente per confermare chi abbia realmente inviato il messaggio. Può essere alterato o imitare un indirizzo conosciuto. Anche Reply-To: merita attenzione: se è diverso dal mittente visualizzato, le risposte potrebbero essere indirizzate a un altro account. Questo non è sempre un segnale di truffa, ma va valutato insieme al contesto.

Il campo Return-Path: indica l’indirizzo utilizzato per la gestione dei messaggi non consegnabili. È spesso collegato al cosiddetto envelope sender, cioè al mittente tecnico usato durante la transazione SMTP. Una differenza tra Return-Path e From può essere normale, soprattutto per newsletter e piattaforme di invio, ma può anche fornire un indizio da verificare.

Il campo Message-ID: contiene un identificativo normalmente generato dal sistema di invio. Può aiutare l’assistenza a cercare il messaggio nei log, ma non costituisce una prova autonoma di autenticità. Il campo Date:, invece, rappresenta la data dichiarata dal sistema che ha composto o inviato il messaggio e non va confuso con le date aggiunte dai server nelle righe Received.

Altri campi, come Subject:, To: e CC:, sono utili per il contesto, ma possono essere modificati o non riflettere completamente la consegna reale. Per questo l’analisi deve dare più peso alle informazioni aggiunte dai server riceventi e ai controlli di autenticazione.

SPF, DKIM e DMARC: verificare l’autenticità

Molti provider inseriscono nelle intestazioni un riepilogo dei controlli di autenticazione. SPF verifica se il server che ha effettuato l’invio è autorizzato dal dominio del mittente. Un risultato “pass” indica che il server è autorizzato secondo la politica SPF pubblicata dal dominio, ma non dimostra da solo che il contenuto sia affidabile.

DKIM applica una firma crittografica a parti del messaggio. Il server destinatario può verificarla usando una chiave pubblica pubblicata nel DNS del dominio. Se la firma risulta valida, alcune informazioni del messaggio non sono state alterate dopo la firma e il dominio indicato nella firma è coerente con il controllo eseguito.

DMARC combina i risultati di SPF e DKIM e verifica anche l’allineamento tra il dominio autenticato e quello mostrato al destinatario. Un risultato “pass” è un elemento positivo, mentre “fail”, “softfail”, “neutral” o “none” richiedono interpretazione. Le etichette possono essere presentate con sintassi diversa a seconda del provider, quindi è preferibile leggere anche il dominio coinvolto e il campo relativo alla policy.

Un controllo superato non rende automaticamente sicuro un messaggio. Un truffatore potrebbe inviare posta da un dominio compromesso o da un dominio creato appositamente. Al contrario, un fallimento può dipendere da inoltri, mailing list o configurazioni imperfette. SPF, DKIM e DMARC sono indicatori tecnici da combinare con il contenuto, il link indicato, il contesto e la richiesta contenuta nell’email.

Come ricostruire il percorso senza farsi ingannare

Per prima cosa, individuare tutte le righe Received e ordinarle dal basso verso l’alto. Poi annotare, per ogni passaggio, il server ricevente, il server mittente, l’indirizzo IP disponibile e l’orario con il relativo fuso. A questo punto è possibile confrontare la sequenza con il dominio dichiarato dal mittente e con i risultati di SPF, DKIM e DMARC.

Non bisogna considerare automaticamente il primo indirizzo IP trovato come quello del mittente. I servizi moderni nascondono spesso l’indirizzo del dispositivo dell’utente e mostrano soltanto i server del provider. Inoltre, alcune righe possono essere aggiunte da sistemi interni e non essere visibili all’esterno. Le righe più affidabili, per la ricostruzione, sono generalmente quelle inserite dai server sotto il controllo del destinatario, mentre le informazioni dichiarate dai sistemi precedenti vanno trattate con maggiore cautela.

Se il messaggio è sospetto, non rispondere e non aprire i collegamenti mentre si esegue l’analisi. Salvare le intestazioni complete e, se necessario, inoltrarle come allegato originale al reparto IT o al supporto del provider. Un inoltro normale può alterare o perdere parte delle intestazioni, rendendo più difficile l’indagine.

Le intestazioni sono quindi uno strumento diagnostico, non un certificato d’identità. Letto dal basso verso l’alto, il blocco Received mostra la catena dei server; i campi tecnici aiutano a interpretare mittente e tempi; SPF, DKIM e DMARC forniscono indizi sull’autenticazione. Insieme, questi elementi permettono di valutare un’email con maggiore precisione e di riconoscere molte anomalie prima di compiere azioni rischiose.