Подателят може да лъже: проверете пълната заглавка в Gmail и Outlook

Показаният подател може да е подправен. В Gmail отворете писмото в браузър и изберете „Още“ до „Отговор“ → „Показване на оригинала“, както описват указанията на Google. В новия Outlook и Outlook в уеб пътят е „Още действия“ → „Преглед“ → „Преглед на подробните данни за съобщението“, а в класическия Outlook — „Файл“ → „Свойства“; инструкцията на Microsoft описва тези менюта и предупреждава, че показаният адрес може да прикрива подмяна.

Пълната заглавка дава повече от името във входящата поща: в нея можете да сравните адреса във From, адреса за доставка в Return-Path, записа за преминаване през сървъри и резултатите от удостоверяването. Преглеждайте тези данни, без да натискате връзки, да отваряте прикачени файлове или да отговаряте на подозрителното писмо. Самата заглавка е набор от технически следи, а не доказателство кой човек е написал съобщението.

Как да покажете и копирате заглавката в Gmail

Отворете Gmail на компютър в браузър и изберете точно съобщението, което ви тревожи. Ако то е част от разговор, разгънете конкретното писмо: менюто „Още“ до неговия бутон „Отговор“ се отнася до него, а не до всички съобщения в разговора.

1. Отворете писмото, без да следвате връзките в съдържанието му.
2. До „Отговор“ натиснете „Още“ и изберете „Показване на оригинала“.
3. В новия прозорец прегледайте пълната заглавка. За копие използвайте „Копиране в буферната памет“.

Копираният текст може да съдържа адреси, тема и други данни за кореспонденцията. Ако ще го изпращате за помощ, прегледайте какво споделяте и го предоставете само на човек или екип, на когото имате доверие. За първоначална проверка не е нужно да качвате заглавката в непознат сайт: можете да намерите основните полета направо в показания текст.

Къде са подробностите в новия, класическия и уеб Outlook

В Outlook първо установете коя версия използвате, защото менюто е различно. Новият Outlook за Windows и уеб версията водят до изглед с подробности за съобщението; класическият Outlook за Windows показва заглавката в прозореца със свойствата. И в трите случая работите с полученото писмо, без да е нужно да отваряте съдържащите се в него връзки.

• Нов Outlook за Windows: отворете съобщението и натиснете „Още действия“ в горната част. Изберете „Преглед“ → „Преглед на подробните данни за съобщението“.
• Класически Outlook за Windows: щракнете двукратно върху писмото, за да го отворите извън екрана за четене. Изберете „Файл“ → „Свойства“ и намерете полето „Заглавки за интернет“.
• Outlook в уеб и Outlook.com: отворете писмото и изберете „Още действия“ → „Преглед“ → „Преглед на подробните данни за съобщението“.

В класическия Outlook можете да маркирате текста в „Заглавки за интернет“, да го копирате с Ctrl+C и да го поставите в текстов редактор, където ще се вижда по-удобно. В новия Outlook и уеб версията превъртете подробностите до From и при нужда копирайте адреса между знаците < и >. Запазете целия адрес, включително домейна след @: показаното име само по себе си не посочва коя организация стои зад него.

Какво означават From, Return-Path и Received

Обяснението на Microsoft за удостоверяването разграничава видимия адрес във From от адреса, използван при предаването между пощенски сървъри, и описва как SPF, DKIM и DMARC проверяват различни части от това твърдение за произход. Затова търсете домейните до резултатите от проверките, а не само думата „pass“.

From съдържа адреса, който пощенското приложение представя като подател. Той може да стои след убедително име, например „Счетоводство“, но самото име може да бъде избрано свободно. Сравнете домейна във From с адрес, който вече знаете от надеждна кореспонденция или сте намерили независимо от подозрителното писмо.

Return-Path обикновено отразява адреса, използван при доставката между сървърите и за известия при недоставяне. Той може да се различава от From, когато фирма изпраща поща чрез външна услуга. Разликата е повод да погледнете резултатите от удостоверяването, но сама по себе си не доказва измама.

Received съдържа записи за преминаването на съобщението през пощенски сървъри. Те дават контекст за маршрута и могат да обяснят защо виждате непознат сървърен домейн. Името на такъв сървър не е непременно домейнът на човека или фирмата, посочени във From, затова не го приемайте като самостоятелен отговор за самоличността на подателя.

Как да прочетете SPF, DKIM и DMARC заедно

Потърсете Authentication-Results и домейните, изписани до отделните резултати. SPF проверява дали изпращащият сървър е разрешен за домейна, използван при предаването; резултатът често е придружен от smtp.mailfrom. DKIM проверява цифров подпис върху важни части от писмото, а header.d показва кой домейн е положил подписа. Успехът на която и да е от тези проверки не означава автоматично, че провереният домейн съвпада с адреса във From.

DMARC добавя именно тази връзка с видимия адрес: търси успешно преминала SPF или DKIM проверка за домейн, който съответства на домейна във From. В резултата header.from посочва домейна на видимия подател. Така „spf=pass“ и „dkim=pass“ могат да стоят до „dmarc=fail“, когато първите две проверки са успешни за друг домейн.

Условен пример: From е „Счетоводство“ <[email protected]>, а Authentication-Results съдържа „spf=pass“ за smtp.mailfrom=postach.example, „dkim=pass“ за header.d=postach.example и „dmarc=fail“ за header.from=firma.example. Сървърът и подписът са проверени за postach.example; тези резултати не удостоверяват заявения адрес от firma.example. Ако писмото иска плащане или парола, такова несъответствие е достатъчна причина да спрете и да потърсите организацията по вече известен контакт.

Какво остава за проверка след заглавката

Не всеки неуспешен резултат означава подмяна. Автоматичното препращане може да наруши SPF, а промяна на писмото по пътя му може да наруши DKIM и да повлияе на DMARC. При такава комбинация проверете искането чрез известен телефонен номер или с ново писмо до адрес, който сте използвали и преди, вместо да отговаряте в същия разговор.

И успешните проверки имат граница: те удостоверяват използван домейн или подпис, но не правят съдържанието безопасно. Измамник може да изпраща от собствен, подобен на познатия домейн и да получи успешни резултати за него. Ако писмото съдържа връзка, подходяща е проверка без отваряне на връзката; сравнете и точния домейн с този на организацията, намерен независимо от съобщението.

Прочетете също:

• „Безопасен“ резултат не оправдава подозрителен линк — проверете без кликване
• Turnstile Spin инсталира защитата, но сървърната проверка остава решаваща
• DNS през HTTPS във Firefox: максималната защита може да счупи локални адреси