Afzender a čtení hlaviček

Modul 3: Rozpoznání phishingu · Doba čtení: 13 minut

Cíl lekce: Po této lekci dokážete posoudit odesílatele e-mailu na základě zobrazovaného jména, adresy From, Reply-To, Return-Path, řádků Received a výsledku SPF, DKIM a DMARC v Authentication-Results.
Klíčové pojmy: zobrazované jméno, From, Reply-To, Return-Path, Received, Authentication-Results, výsledek SPF/DKIM/DMARC, uitlijning (shoda domén)

Co vidíte a co tam skutečně je

E-mailový program Vám obvykle ukáže jen malou část odesílatele: jméno, někdy adresu. Za tím se skrývá blok technických řádků, který nevidíte, tzv. hlavičky. V nich je uvedeno, za koho se zpráva vydává, kam chce dostávat odpovědi, přes jaké servery prošla a co ověřil Váš e-mailový server.

Nemusíte být technik, abyste je uměli číst. Potřebujete znát šest z nich:

První tři si odesílatel může napsat, jak chce. Teprve u posledních tří dochází ke kontrole.

Zobrazované jméno nic neříká

Zobrazované jméno je pouhý text. Kdokoliv může jako jméno použít „Mijnbank Klantenservice“ nebo jméno Vašeho ředitele. Mnoho e-mailových programů, zejména na telefonu, zobrazuje jen toto jméno. Známým trikem je uvést adresu uvnitř jména:

From: "info@mijnbank.example" <noreply@aanvaller.example>

Vidíte info@mijnbank.example, ale skutečná adresa je mezi lomenými závorkami. Vždy proto na jméno klikněte nebo klepněte, abyste viděli celou adresu.

I samotnou adresu From lze podvrhnout: v e-mailovém protokolu smí server uvést jakoukoliv adresu From. Zda se to podaří bez skončení ve spamu, závisí na SPF, DKIM a DMARC domény, za kterou se zpráva vydává. O tom je zbytek této lekce.

Reply-To: odpověď někomu jinému

Pomocí Reply-To zpráva říká: „neodpovídejte mně, ale na tuto adresu“. Newslettery a webové formuláře to běžně používají. Podvodníci to využívají k převzetí konverzace. Zpráva přijde ze skutečné nebo důvěryhodně vypadající adresy, ale Vaše odpověď, s požadovanými údaji nebo potvrzením platby, jde útočníkovi.

From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>

Při žádosti o peníze nebo údaje si vždy před stisknutím tlačítka Odeslat všimněte adresy v okně odpovědi.

Return-Path, Received a trasa

Return-Path je adresa, kam jdou chybová hlášení. Nazývá se také envelope odesílatel: adresa na vnější straně obálky, zatímco From je na samotném dopisu. Na této doméně kontroluje SPF. U newsletterů a faktur z účetního programu bývá Return-Path doménou rozesílací služby. To je normální.

Každý server, který zprávu předá dál, přidá nahoru řádek Received. Čtete je tedy odzdola nahoru: spodní řádek je začátek trasy, horní poslední stanice (Váš vlastní e-mailový server). Pozor: důvěřovat lze jen horním řádkům, které přidal Váš vlastní poskytovatel. Pod nimi může odesílatel poslat i smyšlené řádky.

Authentication-Results: výsledek kontroly

Váš vlastní e-mailový server při přijetí kontroluje tři věci (více vysvětlení v modulu 4 a v kurzu o DNS):

• SPF: smí tento server posílat e-maily za doménu uvedenou v Return-Path?
• DKIM: sedí digitální podpis a z jaké domény pochází (d= nebo header.d=)?
• DMARC: patří alespoň jedna z těchto dvou úspěšných kontrol k doméně v From? Tomu se říká shoda (uitlijning). „Patří k“ znamená: stejná registrovatelná doména (lekce 3.2). mail.mijnbank.example je ve shodě s mijnbank.example (stejná registrovatelná doména).

Výsledek je uveden v Authentication-Results. Důvěřujte pouze řádku s názvem Vašeho vlastního e-mailového serveru na začátku; i odesílatel může sám takový řádek poslat.

Nejdůležitější ponaučení: dmarc=pass znamená pouze „tato zpráva skutečně pochází z domény uvedené ve From“. Neříká nic o tom, zda je té doméně možné důvěřovat. Útočník s vlastní lookalike doménou může mít vše pěkně nastavené na pass.

V praxi: takto to vypadá

Tři napodobené bloky hlaviček, zkrácené na řádky, na kterých záleží. Příjemcem je Bakkerij Example; vlastní e-mailový server se jmenuje mx1.example.com.

Příklad 1: skutečný.

Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mail.mijnbank.example;
	dkim=pass header.d=mijnbank.example header.s=sel2026;
	dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaar

Doména v From je mijnbank.example a DKIM je podepsaný doménou mijnbank.example a Return-Path pod ni spadá: obojí ve shodě, DMARC je úspěšné. Zpráva skutečně pochází z této domény. Pro roční přehled přesto jděte na web banky přes vlastní záložku.

Příklad 2: podvržený odesílatel.

Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
	by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mailer.aanvaller.example;
	dkim=none;
	dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummer

SPF je úspěšné, ale pro aanvaller.example, ne pro doménu v From. Podpis chybí. DMARC tedy selhává. Protože dodavatel má nastaveno p=none, byla zpráva přesto doručena. S p=reject by byla odmítnuta. K tomu se přidává ještě Reply-To na jinou doménu. Podvod.

Příklad 3: lookalike doména se vším na pass.

Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mijnbank-veilig.example;
	dkim=pass header.d=mijnbank-veilig.example header.s=k1;
	dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Potvrďte své údaje pro novou platební kartu

Vše je úspěšné, protože útočník má pro svou vlastní doménu vše správně nastavené. Ale mijnbank-veilig.example není mijnbank.example skutečné banky. Podvod.

Otevření hlaviček sami. Ve webmailu založeném na Roundcube (jako u WebOké) otevřete zprávu a v menu Více (tři tečky) zvolíte Zobrazit zdroj. Jiné programy to nazývají například „Zobrazit originál“ nebo „Zdroj zprávy“. V textu vyhledejte Authentication-Results. Na telefonu to často nejde; prohlédněte si tedy e-mail ve webmailu na počítači.

Shrnutí

• Zobrazované jméno, From a Reply-To si odesílatel vyplňuje sám. Před odpovědí se vždy podívejte na skutečnou adresu a na Reply-To.
• Return-Path je adresa obálky, na kterou kontroluje SPF. Řádky Received čtete odzdola nahoru; důvěřujte pouze těm od Vašeho vlastního poskytovatele.
• Authentication-Results uvádí výsledek SPF, DKIM a DMARC. DMARC zjišťuje, zda je SPF nebo DKIM ve shodě s doménou v From.
• dmarc=fail u známé domény je silným signálem podvržení.
• dmarc=pass dokazuje pouze to, že zpráva pochází z domény uvedené ve From. Vždy ověřte, zda jde o tu skutečnou doménu.

Kvíz

Úkol

Úkol A3.3: Čtení hlaviček. Dostanete tři bloky hlaviček. U každého vyplňte: doménu v Return-Path, doménu DKIM podpisu (d=), výsledek DMARC a zda je zpráva skutečná, nebo podvodná. Program to zkontroluje a u chyby ukáže řádek, kde je odpověď uvedena.

Další čtení

Kroky v článcích znalostní báze WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje podobně.

• Co je DMARC? Vysvětlení běžnou řečí
• Můj e-mail nedorazí nebo skončí ve spamu: takto to zjistíte
• Veřejná kontrola e-mailu (SPF, DMARC, MX) domény: https://www.weboke.cz/kontrola-e-mailu, a mailový test internet.nl: https://internet.nl
• Kurz DNS, lekce 4.3 SPF, 4.4 DKIM a 4.5 DMARC: https://www.weboke.cz/dns-cursus
• RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601