Avsender og headere: slik leser du dem

Modul 3: Gjenkjenne phishing · Lesetid: 13 minutter

Læringsmål: Etter denne leksjonen kan du vurdere avsenderen av en e-post ut fra visningsnavnet, From-adressen, Reply-To, Return-Path, Received-linjene og resultatet av SPF, DKIM og DMARC i Authentication-Results.
Nøkkelbegreper: visningsnavn, From, Reply-To, Return-Path, Received, Authentication-Results, SPF/DKIM/DMARC-resultat, samsvar (alignment)

Det du ser, og det som faktisk står der

Et e-postprogram viser deg som regel bare en liten del av avsenderen: et navn, noen ganger en adresse. Bak det ligger det en blokk med tekniske linjer du ikke ser, headerne. Der står det hvem avsenderen sier at den er, hvor den vil ha svar, via hvilke servere e-posten har kommet, og hva din egen e-postserver har kontrollert.

Du trenger ikke være tekniker for å lese dem. Du trenger seks av dem:

De tre første kan en avsender skrive akkurat det han vil i. Først ved de tre siste kommer det en reell kontroll inn i bildet.

Visningsnavnet sier ingenting

Et visningsnavn er bare tekst. Hvem som helst kan bruke navnet «Mijnbank Klantenservice» eller navnet til din egen daglige leder. Mange e-postprogrammer, spesielt på mobilen, viser bare dette navnet. Et kjent triks er å legge en adresse inni navnet:

From: "info@mijnbank.example" <noreply@aanvaller.example>

Du ser info@mijnbank.example, men den egentlige adressen står mellom vinkelparentesene. Trykk eller klikk derfor alltid på navnet for å se hele adressen.

Også selve From-adressen kan forfalskes: i e-postprotokollen kan en server oppgi hvilken som helst From-adresse. Om det lykkes uten å havne i søppelpostmappen, avhenger av SPF, DKIM og DMARC for domenet som blir etterlignet. Det er det resten av denne leksjonen handler om.

Reply-To: svar til noen andre

Med Reply-To sier en e-post: «ikke svar til meg, men til denne adressen». Nyhetsbrev og nettskjemaer bruker dette normalt. Svindlere bruker det til å overta en samtale. E-posten kommer fra en ekte eller ekte-utseende adresse, men svaret ditt, med de etterspurte opplysningene eller bekreftelsen av betalingen, går til angriperen.

From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>

Når noen ber om penger eller opplysninger, se alltid på adressen i svarvinduet før du trykker Send.

Return-Path, Received og ruten

Return-Path er adressen feilmeldinger går til. Den kalles også konvoluttavsender: adressen på utsiden av konvolutten, mens From står på selve brevet. Det er dette domenet SPF kontrollerer. Ved nyhetsbrev og fakturaer fra et regnskapsprogram er Return-Path ofte et domene som tilhører utsendingstjenesten. Det er normalt.

Hver server som sender e-posten videre, legger til en Received-linje øverst. Du leser dem derfor nedenfra og opp: den nederste er starten på ruten, den øverste er siste stasjon (din egen e-postserver). Legg merke til: du kan bare stole på de øverste linjene, dem din egen leverandør har lagt til. Under dem kan en avsender ha sendt med oppdiktede linjer.

Authentication-Results: resultatet av kontrollen

Din egen e-postserver kontrollerer tre ting ved mottak (mer forklaring i modul 4 og DNS-kurset):

• SPF: hadde denne serveren lov til å sende e-post for domenet i Return-Path?
• DKIM: stemmer den digitale signaturen, og hvilket domene tilhører den (d= eller header.d=)?
• DMARC: hører minst én av disse to vellykkede kontrollene til domenet i From? Dette kalles samsvar (alignment). «Hører til» betyr: samme registrerbare domene (leksjon 3.2). mail.mijnbank.example er i samsvar med mijnbank.example (samme registrerbare domene).

Resultatet står i Authentication-Results. Stol bare på linjen som har navnet til din egen e-postserver foran; en avsender kan også sende med en slik linje selv.

Den viktigste leksjonen: dmarc=pass betyr bare «denne e-posten kommer virkelig fra domenet i From». Det sier ingenting om hvorvidt det domenet er til å stole på. En angriper med sitt eget lookalike-domene kan ha alt pent på pass.

I praksis: slik ser det ut

Tre etterlignede headerblokker, forkortet til linjene som betyr noe. Mottakeren er Bakkerij Example; den egne e-postserveren heter mx1.example.com.

Eksempel 1: ekte.

Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mail.mijnbank.example;
	dkim=pass header.d=mijnbank.example header.s=sel2026;
	dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaar

From-domenet er mijnbank.example, og DKIM er signert av mijnbank.example, og Return-Path hører til under det samme: begge i samsvar, DMARC lykkes. E-posten kommer virkelig fra det domenet. Gå likevel via din egen bokmerke til banken for å se årsoversikten.

Eksempel 2: forfalsket avsender.

Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
	by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mailer.aanvaller.example;
	dkim=none;
	dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummer

SPF lykkes, men for aanvaller.example, ikke for From-domenet. Det finnes ingen signatur. DMARC feiler dermed. Fordi leverandøren har p=none, ble e-posten likevel levert. Med p=reject hadde den blitt avvist. I tillegg kommer Reply-To til et annet domene. Falsk.

Eksempel 3: lookalike med alt på pass.

Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mijnbank-veilig.example;
	dkim=pass header.d=mijnbank-veilig.example header.s=k1;
	dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Bekreft opplysningene dine for det nye betalingskortet

Alt lykkes, fordi angriperen har satt opp alt riktig for sitt eget domene. Men mijnbank-veilig.example er ikke mijnbank.example som tilhører den ekte banken. Falsk.

Åpne headerne selv. I webmail basert på Roundcube (som hos WebOké) åpner du meldingen og velger More (de tre prikkene) i menyen, deretter Source. Andre programmer kaller det for eksempel «Vis original» eller «Meldingskilde». Søk i teksten etter Authentication-Results. På mobilen går dette ofte ikke; se da på e-posten i webmail på en datamaskin i stedet.

Oppsummering

• Visningsnavn, From og Reply-To skriver avsenderen selv. Se alltid på den egentlige adressen og på Reply-To før du svarer.
• Return-Path er konvoluttadressen som SPF kontrollerer mot. Received-linjer leser du nedenfra og opp; stol bare på dem fra din egen leverandør.
• Authentication-Results viser resultatet av SPF, DKIM og DMARC. DMARC sjekker om SPF eller DKIM er i samsvar med From-domenet.
• dmarc=fail for et kjent domene er et sterkt tegn på forfalskning.
• dmarc=pass beviser bare at e-posten kommer fra From-domenet. Kontroller alltid om det domenet er det ekte.

Quiz

Oppgave

Oppgave A3.3: Lese headere. Du får tre headerblokker. Fyll inn for hver blokk: domenet i Return-Path, domenet til DKIM-signaturen (d=), DMARC-resultatet og om e-posten er ekte eller falsk. Programmet kontrollerer svarene og peker ved en feil på linjen der svaret står.

Les mer

Stegene i WebOké-artiklene gjelder for WebOkés eget miljø; hos andre leverandører fungerer det på lignende måte.

• Hva er DMARC? Forklart på en enkel måte
• Min e-post kommer ikke frem eller havner i spam: slik finner du ut hvorfor
• Offentlig e-postsjekk (SPF, DMARC, MX) for et domene: https://www.weboke.no/e-postsjekk, og e-posttesten til internet.nl: https://internet.nl
• DNS-kurs, leksjon 4.3 SPF, 4.4 DKIM og 4.5 DMARC: https://www.weboke.no/dns-cursus
• RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601