Läsa rubrikrader: varifrån kom det här mejlet?

Modul 1: Hur e-post fungerar · Lästid: 11 minuter

Lärandemål: Efter den här lektionen kan du öppna rubrikraderna i ett mejl, läsa Received-raderna i rätt ordning och utifrån Authentication-Results avgöra om SPF, DKIM och DMARC stämde.

Nyckelbegrepp: rubrikrader (e-posthuvud), RFC 5322, Received, Return-Path, From, Reply-To, Message-ID, DKIM-Signature (d=, s=), Authentication-Results, ARC, X-rubrikrader, källa eller originalmeddelande

Det du normalt inte ser

Ditt e-postprogram visar bara några rader av ett mejl: avsändare, ämne, datum, mottagare. I verkligheten har varje mejl flera tiotal rubrikrader (headers) överst, före själva texten. De läggs till av avsändarens program och av varje server som mejlet passerar på vägen. Tillsammans bildar de mejlets reseberättelse.

Den som kan läsa rubrikrader kan själv svara på många frågor: är det här mejlet verkligen från min bank? Varför kom det fram först efter två timmar? Varför hamnade det i skräpposten? Stämmer min egen DKIM? Många uppgifter i den här kursen ber dig titta på rubrikrader. I den här lektionen lär du dig hur.

Öppna rubrikraderna

Varje program har en egen knapp för det:

På en mobil går det oftast inte. Vidarebefordra då mejlet till dig själv som bilaga, eller öppna det i webbmejlen.

Ett exempel

Jan får ett mejl från Anna. Så här ser de viktigaste rubrikraderna ut (förkortade):

Return-Path: <anna@example.com>
Delivered-To: jan@example.net
Received: from mx1.mailprovider.example (localhost [127.0.0.1])
        by mailbox3.mailprovider.example with LMTP; Sun, 08 Nov 2026 10:15:09 +0100
Received: from out.hosting.example (out.hosting.example [192.0.2.25])
        by mx1.mailprovider.example with ESMTPS id 4F2A1B
        for <jan@example.net>; Sun, 08 Nov 2026 10:15:07 +0100
Received: from [198.51.100.77] (helo=[10.0.0.12])
        by out.hosting.example with ESMTPSA (TLS1.3)
        (authenticated as anna@example.com); Sun, 08 Nov 2026 10:15:04 +0100
Authentication-Results: mx1.mailprovider.example;
        spf=pass smtp.mailfrom=example.com;
        dkim=pass header.d=example.com header.s=x;
        dmarc=pass header.from=example.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=x;
        h=From:To:Subject:Date:Message-ID; bh=...; b=...
From: Anna <anna@example.com>
To: Jan <jan@example.net>
Subject: Offerte
Date: Sun, 8 Nov 2026 10:15:00 +0100
Message-ID: <a1b2c3@example.com>

Received-rader: nerifrån och upp

Varje server som skickar vidare mejlet lägger till en Received:-rad överst. Den äldsta hamnar alltså längst ner, den nyaste längst upp. Läs dem nerifrån och upp för att följa resan:

1. Nedersta raden: Annas laptop (IP 198.51.100.77, hennes hemuppkoppling) levererar till out.hosting.example, med ESMTPSA (A:et står för authenticated: hon loggade in) och TLS 1.3. Klockan 10:15:04.
2. Mellersta raden: out.hosting.example (192.0.2.25) levererar till mx1.mailprovider.example, MX:en för example.net. Klockan 10:15:07.
3. Översta raden: mejlservern lägger mejlet internt i Jans brevlåda (LMTP). Klockan 10:15:09.

En Received-rad har alltid formen from <vem som erbjöd det> by <vem som tog emot det> with <protokoll>; <tid>. Inom parentes efter from står vad den mottagande servern själv observerade: det verkliga namnet (PTR) och den verkliga IP-adressen. Den delen är pålitlig i den mån du litar på den mottagande servern. Det avsändaren själv angav (helo=) går inte att kontrollera.

Två praktiska knep:

• Hitta fördröjningar: jämför tiderna. Är det två timmar mellan två rader har mejlet legat så länge i en kö där. Tänk på tidszonerna (+0100, +0000).
• Hitta den verkliga avsändarservern: leta upp den översta Received-raden som skrivits av en server hos mottagaren själv, och se vad som står efter from där. Allt därunder har skrivits av den sändande sidan och kan i teorin vara hittat på. I exemplet är 192.0.2.25 servern som levererade hos mottagaren; det är den som SPF och rykte bedöms på.

Adresserna

Ett känt knep bland bedragare: ett From som liknar din bank, med en Reply-To till en helt annan adress. Vid tveksamhet, titta alltid på domänen i From och i Return-Path, samt på Authentication-Results.

Authentication-Results: mottagarens bedömning

Den mottagande servern skriver i Authentication-Results (RFC 8601) vad dess kontroller gav för resultat:

• spf=pass smtp.mailfrom=example.com: IP-adressen för servern som levererade finns i SPF-posten för domänen i Return-Path.
• dkim=pass header.d=example.com header.s=x: DKIM-signaturen för domänen example.com, med nyckel (selector) x, stämmer.
• dmarc=pass header.from=example.com: domänen i From är uppriktad med en godkänd SPF eller DKIM, så DMARC har godkänts.

Andra utfall du kan se: fail (stämmer inte), softfail (SPF slutar på ~all och IP:t finns inte med), neutral, none (ingen post), temperror (tillfälligt DNS-fel) och permerror (trasig post, till exempel två SPF-poster). Vad de exakt betyder och hur du åtgärdar dem står i modul 4.

Tänk på: lita bara på Authentication-Results från mottagarens egen server (namnet först, här mx1.mailprovider.example). Ett förfalskat mejl kan skicka med ett eget, hittat på Authentication-Results. Bra servrar tar bort det, men inte alla.

DKIM-Signature: signaturen

Rubrikraden DKIM-Signature är själva signaturen. Två fält behöver du ofta:

• d= domänen som signerar (här example.com);
• s= selectorn, namnet på nyckeln (här x).

Med dessa hittar du den publika nyckeln i DNS: x._domainkey.example.com. I uppgifter och vid problem behöver du ofta slå upp exakt dessa två värden. Ett mejl kan ha flera DKIM-signaturer, till exempel en från din domän och en från skickningstjänsten. I lektion 4.3 går vi djupare in på det.

Ibland ser du även ARC-Seal, ARC-Message-Signature och ARC-Authentication-Results. ARC (RFC 8617) är ett sätt för mellanstationer, som en sändlista eller en vidarebefordringsserver, att dokumentera vilka kontroller som gjordes innan de själva ändrade mejlet. Du behöver inte kunna läsa dem nu.

X-rubrikrader

Rubrikrader som börjar med X- är inte standardiserade. Skräppostfilter lägger sin poäng där, till exempel X-Spam-Status: No, score=1.2 eller X-Spam-Flag: YES. Det hjälper dig att se varför något hamnade i skräpposten. De skiljer sig åt mellan leverantörer.

Sammanfattning

• Rubrikrader är mejlets reseberättelse. Öppna dem med "visa original", "meddelandekälla" eller något liknande.
• Läs Received-raderna nerifrån och upp. Raden som mottagarens server skrev berättar vilket IP som levererade.
• Return-Path är envelope-avsändaren (envelope sender) (SPF), From den synliga avsändaren (DMARC), Reply-To dit svar går.
• Authentication-Results ger bedömningen av SPF, DKIM och DMARC; lita bara på den från den mottagande servern.
• I DKIM-Signature finns d= (domän) och s= (selector); tillsammans visar de var nyckeln finns: s._domainkey.d.

Quiz

Uppgift

Uppgift Z1.5: Låt rubrikrader tolkas. Skicka dig själv ett mejl från en annan adress (till exempel från din arbetsadress till din privata adress, eller tvärtom), öppna rubrikraderna och klistra in dem i formuläret. Har du ingen andra adress, använd då exempelfilen kopregels-1.txt som hör till uppgiften. Fyll sedan själv i: IP-adressen för servern som levererade hos mottagaren, domänen i Return-Path, domänen och selectorn för DKIM-signaturen, samt utfallet av SPF, DKIM och DMARC. Programmet tolkar samma rubrikrader, slår upp DKIM-nyckeln live och lägger sitt resultat bredvid ditt. Dina rubrikrader sparas inte.

Läs mer

Stegen i dessa artiklar gäller för WebOkés kontrollpaneler; hos andra leverantörer fungerar det på liknande sätt.

• Kontrollera om e-post har kommit fram med e-postspårning i DirectAdmin
• DirectAdmin-guide 9.3: E-postspårning: vart tog mitt mejl vägen?
• Är det här mejlet verkligen från WebOké? Så känner du igen nätfiske och använder kampanjkoden
• Gratis DNS-kurs 4.4: DKIM: signaturen under din e-post
• RFC 5322 (uppbyggnaden av ett mejl), RFC 8601 (Authentication-Results), RFC 6376 (DKIM), RFC 8617 (ARC)
• Visa och läsa e-postens headerrader (headers)