Lese avsender og headere

Modul 2: Lese e-post · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du skille visningsnavnet fra den ekte adressen til en avsender, åpne headerne i en melding og lese Return-Path, Received, Authentication-Results og List-Unsubscribe. Du vet også hva eksterne bilder og lesebekreftelser avslører om deg.

Nøkkelbegreper: visningsnavn, Svar til, Hoder, Vis kilde, Authentication-Results, samsvar, List-Unsubscribe, eksterne ressurser, sporingspiksel, lesebekreftelse

Et navn er ikke en adresse

I meldingslisten ser du ved de fleste e-postene ingen e-postadresse, men et navn: "Ahmed", "Bloemenatelier Example", "Kundeservice". Det er visningsnavnet. I headeren From står det foran adressen:

From: Sanne de Vries <sanne@example.com>

Visningsnavnet velger avsenderen selv, og hvem som helst kan skrive inn hvilket navn som helst. En svindler kan altså sende e-post som "Sanne de Vries" fra en helt annen adresse. I leksjon 4.1 setter du opp ditt eget visningsnavn. Nå handler det om at du ikke stoler blindt på det hos andre.

Klikk på Detaljer over en åpnet melding i webmailen. Da ser du i tillegg til navnet også hele adressen til avsenderen og alle mottakerne. Når en e-post ber deg om noe, ser du alltid på adressen, og særlig på delen etter @.

Svar til: hvor svaret ditt egentlig går

En e-post kan ha en header Reply-To, i webmailen Svar til. Klikker du på Svar, går svaret ditt til den adressen og ikke til From. Det finnes gode grunner til det. En nettbutikk sender for eksempel fra noreply@ og setter kundeservice i Svar til.

Men det er også et kjent triks. En e-post ser ut til å komme fra direktøren, med riktig adresse i From, men Svar til peker til en adresse som tilhører svindleren. Den som svarer, snakker fra da av med svindleren. Ved en uventet forespørsel ser du derfor i skrivevinduet etter hvilken adresse svaret ditt går til, før du klikker på Send.

Åpne headerne

Visningen av en e-post viser bare noen få headere. Resten åpner du på to måter:

• Hoder over meldingen: webmailen åpner et vindu med alle headerne i meldingen, slik du ser på bildet.
• Mer > Vis kilde: webmailen åpner hele meldingen i en ny fane slik den ligger på serveren, altså headerne, en tom linje, og deretter innholdet og vedleggene som tekst.

I menyen Mer finner du også Eksporter.... Med den laster du ned meldingen som .eml-fil, for eksempel for å gi den til leverandøren din eller en kollega som skal se på headerne.

Headerne ser rotete ut på begynnelsen. Du trenger ikke kjenne alle. Let målrettet etter fire typer.

Fire headere som forteller noe

Ahmed får et nyhetsbrev fra grossisten sin, "Groothandel Example". I headerne står blant annet dette (forkortet):

Return-Path: <bounce-7731@mailer.example.org>
Received: from mailer.example.org (mailer.example.org [198.51.100.40])
        by mx.example.net with ESMTPS
        for <ahmed@example.net>; Mon, 09 Nov 2026 07:02:11 +0100
Authentication-Results: mx.example.net;
        spf=pass smtp.mailfrom=mailer.example.org;
        dkim=pass header.d=example.org;
        dmarc=pass header.from=example.org
From: Groothandel Example <nieuws@example.org>
List-Unsubscribe: <https://www.example.org/afmelden?id=7731>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Return-Path er konvoluttavsenderadressen fra leksjon 1.1. Feilmeldinger går dit. Ved nyhetsbrev er det ofte en egen adresse per mottaker, slik at avsenderen kan se hvilken adresse som ikke virker lenger.

Received forteller hvilken server som ga e-posten videre til hvilken server. Den øverste linjen er laget av Ahmeds egen server. Den linjen stoler du mest på: her ser du fra hvilken server og hvilken IP-adresse e-posten faktisk kom inn.

Authentication-Results er rapporten fra mottakerserveren om kontrollene fra leksjon 1.1:

• spf=pass med smtp.mailfrom: serveren som leverte e-posten, har lov til å sende på vegne av domenet til konvoluttavsenderen.
• dkim=pass med header.d: den digitale signaturen stemmer, og er satt av det domenet.
• dmarc=pass med header.from: domenet i From hører til en vellykket SPF- eller DKIM-kontroll. Det kalles samsvar. Her er DKIM signert av example.org, og From er også example.org. Også mailer.example.org regnes som i samsvar, fordi det hører under det samme domenet.

Viktig: bare Authentication-Results fra din egen mottakerserver teller. En avsender kan selv legge en falsk linje med "pass" inn i meldingen. Se derfor etter hvilken server som skrev linjen (det første ordet, her mx.example.net). Ikke alle servere legger til denne linjen. Ser du den ikke, kan du likevel se om det finnes en header DKIM-Signature, og for hvilket domene (d=).

Og vær obs: pass betyr bare at e-posten virkelig kommer fra det domenet. En svindler med eget domene, som example-betaling.example, kan fint få pass på alle tre. Kontrollen sier hvem som sender, ikke om avsenderen er til å stole på.

List-Unsubscribe er en avmeldingsadresse som e-postprogrammer kan bruke til en avmeldingsknapp. Med List-Unsubscribe-Post i tillegg kan det skje med ett klikk, uten at du først må bekrefte på et nettsted. For et nyhetsbrev du selv har meldt deg på, er avmelding riktig vei. For ekte spam ikke: der bekrefter du bare at adressen din eksisterer (leksjon 8.2).

Bilder utenfra og sporingspiksler

Mange nyhetsbrev henter bildene sine fra internett i det øyeblikket du åpner e-posten. Det er eksterne ressurser. Et slikt bilde kan ha en unik kode i adressen, eller til og med være et usynlig bilde på én piksel: en sporingspiksel. Så snart du åpner e-posten og bildet lastes, vet avsenderen at du åpnet e-posten, når, og fra hvilken IP-adresse.

Webmailen til WebOké laster ikke eksterne ressurser som standard. Du ser da en linje med beskjed om at de er blokkert, og en knapp for å laste dem likevel for akkurat denne meldingen. Under Innstillinger > Innstillinger > Visning av meldinger kan du ved Tillat eksterne ressurser velge Aldri, fra mine kontakter, fra pålitelige avsendere eller alltid. Alltid frarådes: da ser alle avsendere, også en spammer, at adressen din eksisterer og blir lest.

Lesebekreftelser

En avsender kan be om en lesebekreftelse: en melding når du åpner e-posten. Webmailen spør deg da om du vil sende den. Du er ikke forpliktet. Bekreftelsen sier dessuten bare at meldingen var på skjermen din, ikke at du leste eller forsto den. Under Visning av meldinger stiller du inn hva webmailen gjør med slike forespørsler. Er du i tvil, lar du den alltid spørre deg. Til en ukjent avsender sender du ingen.

I praksis: slik fungerer det i webmailen

Over en åpnet melding finner du Detaljer, Hoder og Ren tekst. Vis kilde og Eksporter... finner du under Mer. Eksterne ressurser stiller du inn under Innstillinger > Innstillinger > Visning av meldinger. Roundcube-håndboken beskriver knappene under Lese en melding. Hvordan du leser headere, står også i kunnskapsbasen. I annen webmail, som Gmail eller Outlook.com, fungerer det på lignende måte, selv om knappen for kilden heter noe annet der.

Sammendrag

• Visningsnavnet velger avsenderen selv. Bruk Detaljer for å se den ekte adressen og domenet.
• Svar til bestemmer hvor svaret ditt går, og kan peke til et annet domene.
• Med Hoder eller Mer > Vis kilde ser du alle headerne. Les Return-Path, den øverste Received, Authentication-Results og List-Unsubscribe.
• Bare Authentication-Results fra din egen server teller, og pass sier hvem som sender, ikke om avsenderen er til å stole på.
• Eksterne ressurser og lesebekreftelser forteller avsenderen at du åpnet e-posten.

Quiz

Oppgave

Oppgave A2.2: Analyser en ekte e-post. Velg en e-post du har fått, for eksempel et nyhetsbrev. Åpne den, velg Mer > Vis kilde, og kopier bare headerne: alt frem til den første tomme linjen. Lim dem inn i skjemaet, og fyll inn domenet til avsenderen (From) og domenet i Return-Path. Programmet analyserer de innlimte headerne i minnet (ingenting lagres), sammenligner svarene dine og viser hva det fant: Received-kjeden, DKIM-domenet og om domenene er i samsvar. Grønt: begge svarene er riktige. Oransje: ett er riktig. Rødt: ingen av dem.

Les mer

Der det står trinn i webmailen, gjelder de webmailen til WebOké. I annen webmail fungerer det på lignende måte.

• Roundcube Webmail 3.1: Lese en melding
• Se og les kopteksten (headers) i en e-post
• Gratis kurs E-post på stell: sette opp og sørge for god levering 1.5: Lese headere: hvor kom denne e-posten fra?
• Gratis kurs Trygt på nett for bedrifter 3.3: Avsender og headere: slik leser du dem
• Gratis kurs E-post på stell: sette opp og sørge for god levering 7.2: Samtykke, avmelding og en ren liste
• RFC 5322, Internet Message Format (engelsk): https://www.rfc-editor.org/rfc/rfc5322
• RFC 2369, List-Unsubscribe og andre listeheadere (engelsk): https://www.rfc-editor.org/rfc/rfc2369
• RFC 8058, avmelding med ett klikk (engelsk): https://www.rfc-editor.org/rfc/rfc8058