Čtení hlaviček: odkud tento e-mail opravdu přišel?

Modul 1: Jak funguje e-mail · Doba čtení: 11 minut

Cíl lekce: Po této lekci budete umět otevřít hlavičky e-mailu, přečíst Received záznamy ve správném pořadí a z Authentication-Results zjistit, zda SPF, DKIM a DMARC vyšly.

Klíčové pojmy: hlavičky (headers), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, X-hlavičky, zdroj neboli originál zprávy

Co běžně nevidíte

Váš e-mailový program zobrazí ze zprávy jen několik řádků: odesílatele, předmět, datum, příjemce. Ve skutečnosti má každý e-mail nahoře, před samotným textem, desítky hlaviček (headers). Přidává je program odesílatele a také každý server, který se zprávou cestou pracuje. Dohromady tvoří cestovní deník e-mailu.

Kdo umí číst hlavičky, dokáže si sám odpovědět na spoustu otázek: je tento e-mail opravdu od mé banky? Proč dorazil až po dvou hodinách? Proč skončil ve spamu? Souhlasí moje vlastní DKIM? Mnoho úkolů v tomto kurzu Vás požádá, abyste se podívali na hlavičky. V této lekci se naučíte jak na to.

Otevření hlaviček

Každý program na to má jiné tlačítko:

V telefonu to většinou nejde. Pošlete si tedy e-mail jako přílohu sám sobě, nebo jej otevřete ve webmailu.

Příklad

Jan dostane e-mail od Anny. Takto vypadají nejdůležitější hlavičky (zkráceně):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Received záznamy: zdola nahoru

Každý server, který e-mail předává dál, přidá řádek Received: nahoru. Nejstarší záznam je tedy dole, nejnovější nahoře. Čtěte je zdola nahoru, abyste sledovali cestu:

1. Spodní řádek: Annin notebook (IP 198.51.100.77, její domácí připojení) doručuje zprávu na out.hosting.example, pomocí ESMTPSA (A znamená authenticated: přihlásila se) a TLS 1.3. V 10:15:04.
2. Prostřední řádek: out.hosting.example (192.0.2.25) doručuje na mx1.mailprovider.example, což je MX záznam domény example.net. V 10:15:07.
3. Horní řádek: mailový server uloží zprávu interně do Janovy schránky (LMTP). V 10:15:09.

Řádek Received má vždy tvar from <kdo nabídl zprávu> by <kdo ji přijal> with <protokol>; <čas>. V závorce za from stojí to, co přijímající server sám zjistil: skutečný název (PTR) a skutečná IP adresa. Tato část je spolehlivá do té míry, do jaké důvěřujete danému přijímajícímu serveru. To, co uvedl sám odesílatel (helo=), ověřit nelze.

Dva praktické triky:

• Hledání zpoždění: porovnejte časy. Pokud mezi dvěma řádky leží dvě hodiny, znamená to, že zpráva tam tak dlouho čekala ve frontě. Dejte pozor na časová pásma (+0100, +0000).
• Nalezení skutečného odesílajícího serveru: najděte nejvyšší řádek Received, který napsal server samotného příjemce, a podívejte se, co stojí za from. Všechno pod tím napsala odesílající strana a teoreticky to může být vymyšlené. V příkladu je 192.0.2.25 server, který doručil zprávu u příjemce; podle něj se posuzuje SPF a reputace.

Adresy

Známý trik podvodníků: From, které vypadá jako Vaše banka, s Reply-To směřujícím na úplně jinou adresu. Při pochybnostech se vždy podívejte na doménu v From a v Return-Path a na Authentication-Results.

Authentication-Results: posouzení příjemcem

Přijímající server zapisuje do Authentication-Results (RFC 8601), co ukázaly jeho kontroly:

• spf=pass smtp.mailfrom=example.com: IP adresa serveru, který zprávu doručil, je uvedena v SPF záznamu domény z Return-Path.
• dkim=pass header.d=example.com header.s=x: DKIM podpis domény example.com, s klíčem (selektorem) x, souhlasí.
• dmarc=pass header.from=example.com: doména v From je v souladu (alignment) s úspěšným SPF nebo DKIM, takže DMARC prošlo.

Další výsledky, se kterými se setkáte: fail (nesouhlasí), softfail (SPF končí na ~all a dané IP v něm není uvedeno), neutral, none (žádný záznam), temperror (dočasná chyba DNS) a permerror (záznam je vadný, například dva SPF záznamy). Co přesně znamenají a jak je opravit, se dozvíte v modulu 4.

Pozor: důvěřujte pouze Authentication-Results ze serveru samotného příjemce (název na začátku, zde mx1.mailprovider.example). Podvržený e-mail může obsahovat svůj vlastní, vymyšlený Authentication-Results. Dobré servery jej odstraňují, ale ne všechny.

DKIM-Signature: podpis

Hlavička DKIM-Signature je samotný podpis. Často budete potřebovat dvě pole:

• d= doména, která podepisuje (zde example.com);
• s= selektor, název klíče (zde x).

Pomocí nich najdete veřejný klíč v DNS: x._domainkey.example.com. V úkolech a při řešení problémů budete tyto dvě hodnoty často muset přesně dohledat. E-mail může mít více DKIM podpisů, například jeden od Vaší domény a jeden od odesílací služby. V lekci 4.3 se tomu budeme věnovat podrobněji.

Někdy uvidíte také ARC-Seal, ARC-Message-Signature a ARC-Authentication-Results. ARC (RFC 8617) je způsob, jakým mezičlánky, například e-mailová konference nebo přesměrovávací server, zaznamenávají, jaké byly kontroly předtím, než zprávu změnily. Teď je ještě nemusíte umět číst.

X-hlavičky

Hlavičky začínající na X- nejsou standardizované. Spamové filtry do nich zapisují své skóre, například X-Spam-Status: No, score=1.2 nebo X-Spam-Flag: YES. To pomáhá zjistit, proč něco skončilo ve spamu. Liší se podle poskytovatele.

Shrnutí

• Hlavičky jsou cestovní deník e-mailu. Otevřete je pomocí „zobrazit originál“, „zdroj zprávy“ nebo podobné volby.
• Čtěte Received záznamy zdola nahoru. Řádek, který napsal server příjemce, Vám řekne, jaká IP adresa zprávu doručila.
• Return-Path je obálkový odesílatel (SPF), From je viditelný odesílatel (DMARC), Reply-To určuje, kam jdou odpovědi.
• Authentication-Results uvádí výsledek SPF, DKIM a DMARC; důvěřujte pouze tomu z přijímajícího serveru.
• V DKIM-Signature stojí d= (doména) a s= (selektor); společně udávají místo klíče: s._domainkey.d.

Kvíz

Úkol

Úkol Z1.5: Nechat rozebrat hlavičky. Pošlete si e-mail z jiné adresy (například z pracovní adresy na soukromou, nebo naopak), otevřete hlavičky a vložte je do formuláře. Pokud nemáte druhou adresu, použijte vzorový soubor kopregels-1.txt, který je u úkolu přiložený. Poté sami vyplňte: IP adresu serveru, který zprávu doručil u příjemce, doménu z Return-Path, doménu a selektor DKIM podpisu a výsledek SPF, DKIM a DMARC. Program rozebere stejné hlavičky, živě vyhledá DKIM klíč a svůj výsledek porovná s Vaším. Vaše hlavičky se neukládají.

Další čtení

Postupy v těchto článcích platí pro panely WebOké; u jiných poskytovatelů to funguje podobně.

• Kontrola doručení e-mailu pomocí sledování e-mailů v DirectAdmin
• Příručka k DirectAdmin 9.3: E-mailové sledování: kam zmizela moje zpráva?
• Je jedná o e-mail skutečně od WebOké? Jak rozpoznat phishing a použít akční kód
• Bezplatný kurz DNS 4.4: DKIM: podpis pod Vaší poštou
• RFC 5322 (struktura e-mailu), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)