Päiste lugemine: kust see kiri tegelikult tuli?

Moodul 1: Kuidas e-post töötab · Lugemisaeg: 11 minutit

Õpieesmärk: pärast seda tundi oskad avada kirja päiseid, lugeda Received-ridu õiges järjekorras ja leida Authentication-Results reast, kas SPF, DKIM ja DMARC õnnestusid.

Põhimõisted: päised (headers), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, X-päised, lähtekood ehk algne kiri

Mida sa tavaliselt ei näe

Sinu meiliprogramm näitab kirjast paari rida: saatja, teema, kuupäev, saajad. Tegelikult on igal kirjal tekstist eespool kümneid päiseid (headers). Need lisab saatja programm ja iga server, mis kirja teel edasi suunab. Koos moodustavad need kirja reisikirjelduse.

Kes oskab päiseid lugeda, saab paljudele küsimustele ise vastata: kas see kiri on tõesti minu pangast? Miks jõudis see kohale alles kahe tunni pärast? Miks on see rämpspostis? Kas minu enda DKIM on korras? Paljud selle kursuse ülesanded paluvad sul päiseid vaadata. Selles tunnis õpid, kuidas seda teha.

Päiste avamine

Igal programmil on selleks oma nupp:

Telefonis see tavaliselt ei õnnestu. Saada siis kiri endale manusena edasi või ava see veebipostis.

Üks näide

Jan saab kirja Annalt. Nii näevad välja kõige olulisemad päised (lühendatult):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Received-read: alt üles

Iga server, mis kirja edasi annab, lisab Received:-rea kõige ülemisse otsa. Kõige vanem rida on seega kõige all, uusim kõige üleval. Loe neid alt üles, et jälgida kirja teekonda:

1. Alumine rida: Anna sülearvuti (IP 198.51.100.77, tema kodune internet) annab kirja üle serverile out.hosting.example, kasutades ESMTPSA (A tähendab authenticated: ta logis sisse) ja TLS 1.3. Kell 10:15:04.
2. Keskmine rida: out.hosting.example (192.0.2.25) annab kirja üle serverile mx1.mailprovider.example, mis on example.net MX. Kell 10:15:07.
3. Ülemine rida: meiliserver paneb kirja sisemiselt Jani postkasti (LMTP). Kell 10:15:09.

Received-real on alati kuju from <kes pakkus> by <kes võttis vastu> with <protokoll>; <aeg>. Sulgudes pärast from on see, mida vastuvõttev server ise nägi: tegelik nimi (PTR) ja tegelik IP-aadress. See osa on usaldusväärne niivõrd, kuivõrd sa usaldad seda vastuvõtvat serverit. Seda, mida saatja ise enda kohta väitis (helo=), ei saa kontrollida.

Kaks praktilist nippi:

• Viivituse otsimine: võrdle aegu. Kui kahe rea vahel on kaks tundi, siis on kiri seal nii kaua järjekorras seisnud. Jälgi ajavööndeid (+0100, +0000).
• Tegeliku saatjaserveri leidmine: otsi kõige ülemine Received-rida, mille on kirjutanud vastuvõtja enda server, ja vaata, mis seal pärast from on. Kõik selle all on kirjutanud saatev pool ja võib teoreetiliselt olla väljamõeldud. Näites on 192.0.2.25 server, mis andis kirja üle vastuvõtjale; selle põhjal hinnatakse SPF-i ja mainet.

Aadressid

Petturite tuntud nipp: From, mis näeb välja nagu sinu pank, aga Reply-To viitab hoopis muule aadressile. Kahtluse korral vaata alati domeeni väljadel From ja Return-Path ning kontrolli Authentication-Results rida.

Authentication-Results: vastuvõtja hinnang

Vastuvõttev server kirjutab Authentication-Results ritta (RFC 8601), mida tema kontrollid näitasid:

• spf=pass smtp.mailfrom=example.com: kirja üle andnud serveri IP on kirjas domeeni SPF-kirjes, mis on Return-Path väljal.
• dkim=pass header.d=example.com header.s=x: domeeni example.com DKIM-allkiri, võtmega (selector) x, on korrektne.
• dmarc=pass header.from=example.com: From väljal olev domeen on joondatud õnnestunud SPF-i või DKIM-iga, seega DMARC õnnestus.

Teisi tulemusi, mida võid näha: fail (ei õnnestunud), softfail (SPF lõpeb väärtusega ~all ja IP ei ole kirjes), neutral, none (kirjet pole), temperror (ajutine DNS-viga) ja permerror (kirje on katki, näiteks kaks SPF-kirjet). Mida need täpselt tähendavad ja kuidas neid parandada, loed moodulist 4.

Tähelepanu: usalda ainult vastuvõtja enda serveri Authentication-Results rida (nimi reas kõige ees, siin mx1.mailprovider.example). Võltsitud kiri võib kaasa saata enda väljamõeldud Authentication-Results rea. Head serverid eemaldavad need, aga mitte kõik.

DKIM-Signature: allkiri

DKIM-Signature päis on allkiri ise. Kaht välja läheb sul tihti vaja:

• d= domeen, mis allkirjastab (siin example.com);
• s= selector, võtme nimi (siin x).

Nende abil leiad avaliku võtme DNS-ist: x._domainkey.example.com. Ülesannete tegemisel ja probleemide lahendamisel pead sageli otsima täpselt neid kahte väärtust. Kirjal võib olla mitu DKIM-allkirja, näiteks üks sinu domeenilt ja üks saatmisteenuselt. Tunnis 4.3 vaatame seda täpsemalt.

Vahel näed ka ARC-Seal, ARC-Message-Signature ja ARC-Authentication-Results ridu. ARC (RFC 8617) on viis, kuidas vahejaamad, näiteks meililistid või edastusserverid, jäädvustavad, millised olid kontrollitulemused enne, kui nad kirja muutsid. Praegu ei pea sa neid veel lugema oskama.

X-päised

Päised, mis algavad tähega X-, ei ole standarditud. Rämpspostifiltrid panevad sinna oma hinde, näiteks X-Spam-Status: No, score=1.2 või X-Spam-Flag: YES. See aitab mõista, miks miski rämpsposti sattus. Need erinevad pakkujate lõikes.

Kokkuvõte

• Päised on kirja reisikirjeldus. Ava need valikuga „kuva originaal“, „kirja lähtekood“ vms.
• Loe Received-ridu alt üles. Rida, mille kirjutas vastuvõtja server, näitab, milline IP kirja üle andis.
• Return-Path on envelope sender (SPF), From nähtav saatja (DMARC), Reply-To see, kuhu vastused lähevad.
• Authentication-Results annab hinnangu SPF-ile, DKIM-ile ja DMARC-ile; usalda ainult vastuvõtva serveri oma.
• DKIM-Signature väljadel on d= (domeen) ja s= (selector); koos annavad need võtme asukoha: s._domainkey.d.

Test

Ülesanne

Ülesanne Z1.5: Lase päiserid analüüsida. Saada endale kiri teiselt aadressilt (näiteks töö aadressilt isiklikule aadressile või vastupidi), ava päised ja kleebi need vormi. Kui sul pole teist aadressi, kasuta ülesandega kaasasolevat näidisfaili kopregels-1.txt. Täida seejärel ise ära: vastuvõtjale kirja üle andnud serveri IP-aadress, Return-Path väljal olev domeen, DKIM-allkirja domeen ja selector ning SPF, DKIM ja DMARC tulemused. Programm analüüsib samu päiseid, otsib DKIM-võtme reaalajas üles ja seab oma tulemuse sinu omaga kõrvuti. Sinu päiseid ei salvestata.

Lisalugemist

Nende artiklite sammud kehtivad WebOké paneelide kohta; teistel pakkujatel toimib see sarnaselt.

• Kontrolli DirectAdmini funktsiooniga Email Tracking, kas e-kiri on kohale jõudnud
• DirectAdmin juhend 9.3: E-mail Tracking: kuhu mu kiri jäi?
• Kas see e-kiri on tõesti WebOkélt? Õngitsuskirjade äratundmine ja sooduskoodi kasutamine
• Tasuta DNS-kursus 4.4: DKIM: allkiri sinu e-kirja all
• RFC 5322 (kirja ülesehitus), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)
• E-kirja päiste (headers) vaatamine ja lugemine