邮件头分析与故障排除指南：掌握 Received 追踪技巧

你是否好奇过当你发送或接收一封电子邮件时，幕后发生了什么？虽然邮件正文包含你的消息，但 邮件头 (Email Header) 包含了关键的“信封”信息，记录了邮件从发件人服务器到你收件箱的完整旅程。掌握邮件头分析是 IT 专业人员、开发人员和安全分析师的一项必备技能。

什么是邮件头？

邮件头是随每封电子邮件一起的一组元数据。它包含了关于发件人、收件人、邮件经过的路线以及各种安全检查结果的技术细节。虽然大多数邮件客户端默认隐藏邮件头以提供简洁的阅读体验，但它始终存在，可以通过“查看源代码”或“查看原始邮件”等选项访问。

一封邮件由三部分组成：

1. 信封 (Envelope)：邮件服务器用来路由邮件（在最终消息中不可见）。
2. 邮件头 (Header)：我们看到的（并分析的）元数据。
3. 正文 (Body)：消息的实际内容。

核心原理：关键邮件头字段

要排查投递问题或识别伪造邮件，你需要理解以下关键字段：

1. "Received" 追踪

Received 字段是追踪邮件路径最重要的部分。处理该邮件的每个邮件服务器都会在邮件头 顶部 添加自己的 Received 行。要追踪一封邮件，你需要从下往上阅读这些行。

示例：

Received: from mail-ej1-x62c.google.com (mail-ej1-x62c.google.com. [209.85.218.44])
        by mx.google.com with ESMTPS id ...
        for <[email protected]>;
        Fri, 12 Apr 2026 10:00:01 -0700 (PDT)

2. Return-Path vs. From

• From：邮件客户端中显示的地址（“友好型”发件人）。
• Return-Path：用于退信消息的实际地址（“信封”发件人）。
• 排障技巧：在网络钓鱼邮件中，From 地址通常显示为 "[email protected]"，而 Return-Path 可能是某个黑客的随机地址。

3. Authentication-Results

此字段显示 SPF、DKIM 和 DMARC 检查的结果。

• spf=pass：发送方 IP 已获得授权。
• dkim=pass：加密签名有效。
• dmarc=pass：邮件符合发件人的策略。

实际应用：故障排查

案例 1：为什么我的邮件延迟了？

通过查看每个 Received 头中的时间戳，你可以计算跳点之间的延迟。如果第一跳是在 10:00，第二跳是在 10:15，你就知道延迟发生在第二个服务器上。

案例 2：识别邮件伪造

如果 Authentication-Results 显示 spf=fail 或 dkim=fail，这是一个强烈的信号，表明该邮件可能是欺诈性的。始终检查 From 域名是否与 Authentication-Results 中的域名匹配。

对比：关键字段差异

字段	用途	是否可伪造？
From	显示的发件人地址	是（极易伪造）
Return-Path	退信地址	是（但通常会暴露真实来源）
Received	服务器跳点和时间戳	否（只有最底层可能被发件人伪造）
Message-ID	消息的唯一 ID	是

常见问题 (FAQ)

问：为什么我会看到多个 "Received" 字段？

答：邮件经过的每个邮件服务器 (MTA) 都会添加一个。典型的旅程包括发件人服务器、几个中间过滤器/中继，最后是收件人服务器。

问：什么是 .eml 文件？

答：.eml 文件是电子邮件的标准文件格式。它以纯文本形式包含完整的邮件头和正文。你可以用任何文本编辑器打开它们来查看邮件头。

问：如何修复 "Authentication-Results: spf=softfail"？

答：这通常意味着发送方 IP 未明确列在你的 SPF 记录中，但也没有被严格禁止。请在你的 DNS 提供商处更新 SPF TXT 记录，以包含正确的 IP 地址或 include 声明。

相关工具

• 邮件头分析器：粘贴你的邮件头以获取可视化追踪（即将上线）。
• SPF/DKIM/DMARC 生成器：创建正确的 DNS 记录以保护你的域名。