メールヘッダー解析ツール

メールヘッダーから分かること、分からないこと

インターネットメールは、名前付きのヘッダーフィールド、空行、本文の順で構成されます。RFC 5322では、空白で始まる行を直前のフィールドの続きとする「折り返し」も含め、メッセージ形式を定義しています。本ツールは継続行を展開してからデータを解釈します。最初の空行で処理を終了するため、本文や添付ファイルは解析しません。

メール転送エージェントは通常、サーバーを通過するたびにReceivedフィールドを先頭へ追加します。そのため、生のソースでは新しいものから並びます。レポートでは順序を反転し、送信元側からのタイムラインとして表示します。隣接する両方の日時を解釈できた場合だけ時間差を示します。負の時間差は時計のずれの可能性として報告し、合計配送時間は計算しません。黙って0秒に置き換えることはありません。

認証セクションの読み方

RFC 8601は、受信システムがspf=pass、dkim=pass、dmarc=failなどの結果を記録するAuthentication-Resultsを定義しています。メールが複数の管理ドメインを経由する場合があるため、本ツールは重複したAuthentication-Resultsも保持します。smtp.mailfrom、header.d、header.fromなどの関連プロパティも、記録されたまま表示します。

DKIM-Signatureには、署名ドメイン（d=）、セレクター（s=）、アルゴリズム（a=）、ID（i=）、大きな暗号値（b=とbh=）などがあります。レポートは有用なタグと署名値の有無を記録しますが、JSON出力から署名本体を意図的に除外します。DNS照会や暗号学的な検証は行いません。

RFC 8617はAuthenticated Received Chain（ARC）を定義しています。同じi=値を持つARC-Seal、ARC-Message-Signature、ARC-Authentication-Resultsが各1件あるとき、そのARCインスタンスを「構造的に完全」と表示します。これは3要素が揃っているという意味だけで、チェーンが有効または信頼できるという意味ではありません。

配送経路の例

生のソースにReceivedが2件あるとします。下側は送信元から中継サーバーへ10:00:03 +0000に渡され、上側は中継サーバーから受信先へ10:00:10 +0000に届いたことを示します。レポートは送信元側を先に表示し、観測時間を7秒と計算します。タイムゾーンのオフセットも反映するため、10:00:03 +0000から12:00:06 +0200までは2時間ではなく3秒です。正規化後の2番目の時刻が5秒前なら、時計のずれを警告し、合計は利用不可とします。

信頼境界とよくある誤解

RFC 5321はSMTP転送とサーバーが付加する追跡情報を説明しています。信頼するメールシステムの外から届いたヘッダーは捏造できます。自分が管理する受信システムを信頼の起点とし、そのシステムの記録とポリシーで裏付けられる範囲だけ下へたどってください。表示上のFromとReturn-Pathのドメイン差は、メーリングリスト、転送サービス、配信プラットフォームでよく発生します。これは所見であり、なりすましの証拠ではありません。

エンコードされた件名や表示名にはRFC 2047 encoded-wordが使われることがあります。本ツールはUTF-8、ISO-8859-1、Windows-1252の一般的なBase64またはquoted-printable形式を復号し、未対応の文字コードは警告付きで元のまま表示します。ブラウザーの応答性を保つため、極端に多いフィールドやホップには上限があります。インシデント対応では原本を別途保管してください。出力は簡潔なレポートで、生の入力、本文、添付ファイル、DKIM署名本体を意図的に含みません。

プライバシーと出力

解析、項目選択、コピー、ファイル生成は現在のタブ内でローカルに実行されます。ファネルの各手順ではURLではなくタブ単位のセッションストレージを使うため、生のヘッダーはLivewireへ送信されず、遷移パラメーターにも現れません。入力上限は512 KiBです。タイムラインCSVはBOM付きUTF-8とCRLF改行を使い、表計算ソフトで数式として扱われる文字から始まるセルを無害化します。JSONには元のヘッダーではなく、解析結果と注意事項が入ります。