Как просмотреть заголовки писем в Outlook

Быстрые ссылки

• Outlook — базовый просмотр заголовков
• Надстройка Message Header Analyzer

Фишинг и другие почтовые мошенничества участились. Один из надёжных способов распознать вредоносное письмо — посмотреть его заголовок. Заголовок содержит шаги маршрутизации, результаты проверки подлинности и метаданные отправителя. Ниже описаны два варианта: встроенный базовый просмотр и бесплатная надстройка, которая делает заголовки понятнее для человека.

Базовый просмотр заголовков в Outlook

Чтобы увидеть базовый заголовок письма в Outlook, откройте письмо и выберите Файл > Свойства.

В открывшемся окне «Свойства» заголовок отображается в текстовом поле «Internet Headers» внизу.

Это поле часто маленькое. Выделите весь текст и вставьте его в любой текстовый редактор, чтобы удобно просматривать. Однако информация идёт одной большой блок‑структурой и не всегда читабельна. Для удобного разбора используйте надстройку.

Важно: встроенный просмотр показывает данные так, как они есть. Он не интерпретирует результаты SPF/DKIM/DMARC — это нужно делать вручную или с помощью инструмента.

Надстройка Message Header Analyzer

Если вы ранее не устанавливали надстройки в Outlook, процесс простой. Надстройки проходят проверку Microsoft и устанавливаются безопасно.

Если установить надстройку в настольном приложении Outlook, она автоматически появится и в веб‑версии Outlook при входе через браузер.

Откройте Outlook и нажмите Home > Get Add‑Ins. В поле поиска в правом верхнем углу начните вводить «message header» и выберите надстройку «Message Header Analyzer».

Нажмите кнопку Add, чтобы установить надстройку.

После установки кнопка изменится на Added. Закройте окно нажатием «X» в правом верхнем углу.

При выделенном письме в меню появится кнопка View Headers. Нажмите её, чтобы открыть надстройку. В ней есть вкладки:

• Summary — сводная информация (открывается по умолчанию).
• Received — маршрутизация сообщения: откуда и когда получили письмо.
• Antispam — результаты проверки антиспам‑сканером Exchange Online Protection.
• Other — остальные элементы заголовка, разбитые на блоки.

Где возможны релевантные веб‑страницы, надстройка даёт ссылки на них: секции спецификации заголовков (например, Authentication‑Results) и материалы Microsoft о антиспам‑элементах.

Что искать в заголовке

Короткий чек‑лист признаков мошенничества:

• Несоответствие полей From и Return‑Path/Envelope‑From. Если видимый отправитель отличается от реального маршрутизируемого адреса — это подозрительно.
• Сопадение/неудача SPF, DKIM и DMARC. Ищите строки Authentication‑Results и значения pass/fail.
• Неправдоподобный маршрут в Received: чужая почтовая инфраструктура в начале цепочки или обратный порядок получения.
• Использование редиректов через прокси/теневые SMTP‑серверы.
• Заголовки X‑Spam или X‑Antivirus с высоким баллом.

Ниже — краткая шпаргалка по основным полям заголовка:

• From — адрес, видимый получателю.
• Return‑Path / Envelope‑From — реальный почтовый обратный адрес.
• Received — каждая строка показывает, какой сервер принял сообщение и когда; строки идут сверху вниз в обратном порядке доставки.
• Authentication‑Results — результаты SPF/DKIM/DMARC для сообщения.

Простая методология разбора заголовка

1. Скопируйте весь заголовок в текстовый редактор.
2. Проверьте Authentication‑Results на предмет pass/fail для SPF, DKIM, DMARC.
3. Сверьте From и Return‑Path; при расхождении — проверьте домен отправителя.
4. Проанализируйте Received‑цепочку: последний сервер в цепочке — ближайший к отправителю.
5. Ищите X‑Spam и подозрительные метки.
6. При сомнении откройте отдельную вкладку в браузере и выполните ручную проверку отправляющего домена (WHOIS, MX‑записи) или передайте сообщение в IT‑службу.

Чек‑лист по ролям

Администратор безопасности:

• Проверить SPF/DKIM/DMARC на стороне домена отправителя.
• Анализировать Received‑цепочку и логировать подозрительные IP.
• Настроить SCL‑политику и оповещения.

Обычный сотрудник:

• Не кликать ссылки и не открывать вложения из сомнительных писем.
• Скопировать заголовки и переслать в IT при подозрении.

IT‑помощь:

• Верифицировать IP и домены через публичные сервисы.
• При необходимости пометить отправителя как фишинговый и обновить правила почтового шлюза.

Альтернативные подходы

• Ручной анализ в текстовом редакторе (для продвинутых пользователей). Подходит, если не хотите устанавливать надстройки.
• Онлайн‑анализаторы заголовков (например, специализированные веб‑сервисы). Удобно, но отправка заголовков третьим лицам раскрывает метаданные — учитывайте конфиденциальность.
• Использовать встроенные средства администратора Exchange для агрегированного анализа и кореляции инцидентов.

Когда заголовки не помогут

• Если злоумышленник полностью контролирует инфраструктуру отправителя (например, отправка с компрометированных корпоративных почтовых серверов), заголовки могут выглядеть легитимно.
• Если в письме используются взломанные или поддельные учётные записи внутри вашей организации, заголовки покажут внутренняя рассылка, и нужна дополнительная внутренняя расследовательская работа.

Безопасность и конфиденциальность

Заголовки содержат IP‑адреса и информацию о серверах, которые могут считаться персональными данными в некоторых юрисдикциях. Не публикуйте полные заголовки публично. При передаче заголовков третьим лицам удаляйте или маскируйте чувствительные элементы, если это необходимо для соответствия требованиям конфиденциальности.

Однострочный глоссарий

• SPF — проверка разрешённых отправителей домена.
• DKIM — криптографическая подпись сообщения.
• DMARC — политика, которая указывает, что делать при провале SPF/DKIM.
• Received — запись о маршруте сообщения.

Критерии приёмки

• Пользователь может открыть свойства письма и скопировать весь заголовок.
• Надстройка Message Header Analyzer корректно отображает сводную информацию для выбранного письма.
• Идентифицированы базовые признаки подделки (несовпадение From и Envelope‑From или провалы SPF/DKIM/DMARC).

Краткое резюме

Outlook даёт быстрый способ получить исходные заголовки через Файл > Свойства, но это неудобно для чтения. Надстройка Message Header Analyzer упрощает разбор: она структурирует данные и даёт ссылки на релевантные спецификации. Используйте чек‑лист и методологию выше, чтобы последовательно оценивать подозрительные письма. Если заголовки не дают однозначного ответа — привлекайте IT или команду безопасности.

Примечание: если вы не уверены в результате анализа, не выполняйте никаких действий по ссылкам или вложениям из сомнительных писем и пересылайте их в службу поддержки безопасности.