Email Header 解析器

这个工具把你粘贴进来的邮件原始头部文本拆成一个个「字段名: 值」,把最常用的几项(发件人、收件人、主题、日期等)单独列出来,并把所有 Received 记录按顺序编号显示,方便你大致看出一封邮件经过了哪些服务器。它只做文本解析和整理:不会联网查询 IP 或域名,不会自己去验证 SPF、DKIM、DMARC,也不会判断邮件是不是钓鱼或垃圾邮件。如果头里带有 Authentication-Results、Received-SPF、DKIM-Signature 或 ARC 相关的字段,会在单独的区域里照实列出头里写了什么(例如 spf=pass),但那只是收件服务器写在头里的文字,不是本工具的验证结论。可以把它看作一个「让邮件头更好读」的工具,而不是安全检测工具。

操作步骤

1. 在邮件客户端里找到查看原始邮件的入口。不同客户端的叫法不同,常见的有「查看原始邮件」「显示邮件头」「查看源文件」等。
2. 复制其中的头部文本(从第一行字段开始,直到头部结束),粘贴到页面上的大文本框里。工具没有提供文件上传,只接受粘贴文本。
3. 粘贴后结果会立即出现,不需要点击按钮。「基本信息」区域会按固定顺序列出 From、To、Subject、Date、Message-ID、Return-Path、Reply-To 中存在的字段。
4. 如果头里有认证相关的字段,「认证相关的邮件头」区域会列出:每条 Authentication-Results 里写明的 spf、dkim、dmarc 结果(如 pass、fail、softfail、none;头里没写某一项就显示「头里未写明」)、Received-SPF 的结果和原文、DKIM-Signature 的签名域(d=)与选择器(s=),以及 ARC-Seal、ARC-Message-Signature、ARC-Authentication-Results 的序号等信息。一个相关字段都没有时会显示「未发现…(not present)」。
5. 往下看「投递路径」区域,里面是所有 Received 记录。编号 #1 对应你粘贴内容中最靠下的那一条,也就是最早经过的节点;编号最大的是最靠上的一条,最接近你的收件箱。
6. 如果页面提示没有识别出有效字段,请确认你粘贴的是邮件头本身,每行格式类似「字段名: 值」。

一个实际解析示例

下面的输出是用工具中相同的解析逻辑实际运行得到的。输入的头部包含两条 Received 记录(每条的第二行以空白缩进,表示续行)、From、To、Subject、Date 和 Message-ID。工具会先把缩进的续行合并到上一行,所以第一条 Received 解析为「from mx.example.net (mx.example.net [203.0.113.5]) by mail.example.org with ESMTPS; Tue, 2 Jan 2026 09:00:05 +0800」,第二条解析为「from sender-pc (unknown [198.51.100.7]) by mx.example.net with SMTP; Tue, 2 Jan 2026 09:00:02 +0800」。页面会把前者标为 #2,后者标为 #1,阅读时从 #1 看到 #2,就是邮件从发送端经 mx.example.net 到达 mail.example.org 的顺序。示例里的域名和 IP 都是文档保留用的地址,仅用于演示。

支持范围与已知限制

• 头部与正文之间的第一个空行会让解析停止,空行之后的内容(正文)会被忽略,所以连正文一起粘贴也不会产生多余字段。
• 「基本信息」会显示 From、To、Subject、Date、Message-ID、Return-Path、Reply-To 中每个字段出现的所有条目。X- 开头等其他字段虽然被解析了,但不会单独展示;认证相关字段则在单独的区域里展示。
• 认证区域只是读取头里的文字:用简单的文本匹配找出 spf=、dkim=、dmarc=、arc= 后面的结果词,原样显示,不会做任何签名校验,不会查询 DNS,也不会判断这些字段是不是由可信的服务器添加的。发件人可以在发出邮件时自己写入伪造的 Authentication-Results,所以不要把它当作邮件真实性的证明。同一封邮件里可能有多条 Authentication-Results(经过多台服务器),工具会分别列出,请自行判断哪一条来自你信任的收件服务器。
• 字段值中的 MIME 编码(形如 =?UTF-8?B?…?= 或 =?UTF-8?Q?…?=)会被自动解码;遇到不支持的字符集或损坏的编码时,保留原始文本。
• Received 记录是按文本顺序展示的,工具不会解析其中的时间、IP 或主机名,也不会计算每一跳的耗时。
• Received 等字段由中间服务器写入,发件人可以伪造最底部的几条记录,所以这些信息只能作为参考,不能作为确凿证据。
• 不会保存或上传粘贴的内容,刷新页面后文本框会清空。

为什么最下面的 Received 才是最早的?

每台服务器收到邮件时,会把自己的 Received 记录添加在头部的最上方,所以越靠下越早,越靠上越晚。这也是工具把最下面一条标为 #1 的原因。

From 和 Return-Path 不一样正常吗?

常见且不一定有问题。群发邮件、邮件列表或第三方发信服务经常使用不同的退信地址。但如果一封声称来自银行或公司的邮件,其来源信息明显对不上,就值得警惕。判断时请结合邮件客户端自带的验证结果和上面认证区域里头所写的内容,本工具只负责把字段摆在你面前。

能用它判断一封邮件是不是诈骗吗?

不能单独依靠它。工具只会把头里写的 SPF、DKIM、DMARC 结果摆出来,自己不会验证,也不会检查链接和附件。你可以把 From、Reply-To 和 Return-Path 放在一起对照,但是否可信仍要结合邮件内容、发信域名和邮箱服务商给出的安全提示。遇到涉及转账、密码的邮件,请通过官方渠道另行核实。

为什么我粘贴后没有任何显示?

如果文本框是空的或只有空白,不会显示结果。如果粘贴的内容中没有任何包含冒号的行,页面会显示红色提示。另外,从某些网页复制时,行首的缩进或换行可能丢失,导致字段被合并或拆开,可以尝试直接从客户端的「原始邮件」窗口复制。

隐私与处理方式

邮件头里可能含有邮箱地址、服务器主机名和 IP 地址等信息。这个工具的解析完全在你的浏览器里完成,页面里没有任何网络请求代码,也不保存你粘贴的内容。即便如此,在把邮件头发给别人求助之前,仍然建议先检查并删除不想公开的内容。