Leggere il mittente e gli header
Modulo 3: Riconoscere il phishing · Tempo di lettura: 13 minuti
Obiettivo della lezione: Dopo questa lezione sarà in grado di valutare il mittente di un'e-mail in base al nome visualizzato, all'indirizzo From, al Reply-To, al Return-Path, alle righe Received e all'esito di SPF, DKIM e DMARC in Authentication-Results.
Concetti chiave: nome visualizzato, From, Reply-To, Return-Path, Received, Authentication-Results, esito SPF/DKIM/DMARC, allineamento
Ciò che vede e ciò che c'è scritto davvero
Un programma di posta mostra di solito solo una piccola parte del mittente: un nome, a volte un indirizzo. Dietro di esso si trova un blocco di righe tecniche che non vede, gli header. Lì è indicato chi dichiara di essere il mittente, dove vuole ricevere le risposte, attraverso quali server è passata la mail e cosa ha controllato il Suo server di posta.
Non deve essere un tecnico per leggerli. Ne servono sei:
| Header | Che cos'è | Chi lo compila |
|---|---|---|
| Nome visualizzato | Il nome prima dell'indirizzo, per esempio Mijnbank | Il mittente, liberamente scelto |
From | L'indirizzo del mittente che vede | Il mittente |
Reply-To | Dove va la Sua risposta se clicca su Rispondi | Il mittente |
Return-Path | L'indirizzo tecnico del mittente per le notifiche di errore (mittente della busta) | Il Suo server di posta, in base a quanto indicato dal mittente |
Received | Una riga per ogni server che ha inoltrato la mail | Ogni server lungo il percorso |
Authentication-Results | L'esito di SPF, DKIM e DMARC | Il Suo server di posta |
I primi tre li può scrivere il mittente come preferisce. Solo sugli ultimi tre viene effettuato un controllo.
Il nome visualizzato non dice nulla
Il nome visualizzato è semplicemente testo. Chiunque può usare come nome "Servizio clienti Mijnbank" o il nome del Suo direttore. Molti programmi di posta, specialmente sul telefono, mostrano solo quel nome. Un trucco noto è inserire un indirizzo dentro il nome:
From: "info@mijnbank.example" <noreply@aanvaller.example>Vede info@mijnbank.example, ma l'indirizzo reale si trova tra le parentesi angolari. Tocchi o clicchi quindi sempre sul nome per vedere l'indirizzo completo.
Anche l'indirizzo From stesso può essere falsificato: nel protocollo di posta un server può indicare qualsiasi indirizzo From. Se questo riesca senza finire nella cartella spam dipende da SPF, DKIM e DMARC del dominio imitato. Il resto di questa lezione tratta proprio questo.
Reply-To: risposte a qualcun altro
Con Reply-To una mail dice: "non rispondere a me, ma a questo indirizzo". Newsletter e moduli web lo usano normalmente. I truffatori lo usano per impossessarsi di una conversazione. La mail proviene da un indirizzo reale o che sembra reale, ma la Sua risposta, con i dati richiesti o la conferma del pagamento, va all'aggressore.
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>In caso di richiesta di denaro o dati, controlli sempre l'indirizzo nella finestra di risposta, prima di premere Invia.
Return-Path, Received e il percorso
Il Return-Path è l'indirizzo a cui vanno le notifiche di errore. Viene anche chiamato mittente della busta: l'indirizzo sull'esterno della busta, mentre From si trova sulla lettera stessa. Su quel dominio effettua il controllo SPF. Per newsletter e fatture provenienti da un programma di contabilità, il Return-Path è spesso un dominio del servizio di invio. Questo è normale.
Ogni server che inoltra la mail aggiunge sopra una riga Received. Le legge quindi dal basso verso l'alto: quella in fondo è l'inizio del percorso, quella in cima l'ultima tappa (il Suo stesso server di posta). Attenzione: solo le righe superiori, aggiunte dal Suo provider, sono attendibili. Sotto di esse un mittente può aver inserito righe inventate.
Authentication-Results: l'esito del controllo
Il Suo server di posta, all'arrivo, controlla tre cose (maggiori spiegazioni nel modulo 4 e nel corso DNS):
- SPF: questo server era autorizzato a inviare mail per il dominio nel Return-Path?
- DKIM: la firma digitale è corretta, e a quale dominio appartiene (
d=oheader.d=)? - DMARC: almeno uno di questi due controlli riusciti appartiene al dominio in From? Questo si chiama allineamento. "Appartiene a" significa: stesso dominio registrabile (lezione 3.2).
mail.mijnbank.exampleè allineato conmijnbank.example(stesso dominio registrabile).
L'esito è indicato in Authentication-Results. Si fidi solo della riga con il nome del Suo server di posta in testa; anche un mittente può inserire autonomamente una riga simile.
| Esito | Significato |
|---|---|
pass | Il controllo è riuscito |
fail | Il controllo non è riuscito: non autorizzato o firma non corretta |
softfail (SPF) | Probabilmente non autorizzato, ma il dominio non vuole rifiutare in modo rigido (~all) |
none | Non c'era nulla da controllare: nessun record o nessuna firma |
La lezione più importante: dmarc=pass significa solo "questa mail proviene davvero dal dominio in From". Non dice nulla sul fatto che quel dominio sia affidabile. Un aggressore con il proprio dominio lookalike può avere tutto correttamente impostato su pass.
In pratica: ecco come appare
Tre blocchi di header simulati, ridotti alle righe che contano. Il destinatario è Bakkerij Example; il proprio server di posta si chiama mx1.example.com.
Esempio 1: autentico.
Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mail.mijnbank.example;
dkim=pass header.d=mijnbank.example header.s=sel2026;
dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaarIl dominio From è mijnbank.example e DKIM è firmato da mijnbank.example e il Return-Path rientra sotto di esso: entrambi allineati, DMARC riesce. La mail proviene davvero da quel dominio. Per il rendiconto annuale, vada comunque alla banca tramite il Suo segnalibro personale.
Esempio 2: mittente falsificato.
Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mailer.aanvaller.example;
dkim=none;
dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummerSPF riesce, ma per aanvaller.example, non per il dominio From. Non c'è firma. DMARC quindi fallisce. Poiché il fornitore ha impostato p=none, la mail è stata comunque recapitata. Con p=reject sarebbe stata rifiutata. A questo si aggiunge il Reply-To verso un altro dominio. Falsa.
Esempio 3: lookalike con tutto su pass.
Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mijnbank-veilig.example;
dkim=pass header.d=mijnbank-veilig.example header.s=k1;
dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Conferma i Suoi dati per la nuova carta di pagamentoTutto riesce, perché l'aggressore ha configurato correttamente tutto per il proprio dominio. Ma mijnbank-veilig.example non è mijnbank.example, la banca reale. Falsa.
Aprire gli header da sé. Nella webmail basata su Roundcube (come presso WebOké) apra il messaggio e scelga nel menu Di più (i tre puntini) l'opzione Mostra sorgente. Altri programmi la chiamano per esempio "Mostra originale" o "Sorgente del messaggio". Cerchi nel testo Authentication-Results. Sul telefono spesso non è possibile; in tal caso consulti la mail nella webmail su un computer.
Riepilogo
- Nome visualizzato, From e Reply-To li scrive il mittente stesso. Controlli sempre l'indirizzo reale e il Reply-To prima di rispondere.
- Return-Path è l'indirizzo della busta su cui controlla SPF. Le righe Received si leggono dal basso verso l'alto; si fidi solo di quella del Suo provider.
- Authentication-Results indica l'esito di SPF, DKIM e DMARC. DMARC verifica se SPF o DKIM è allineato con il dominio From.
dmarc=failsu un dominio noto è un segnale forte di falsificazione.dmarc=passdimostra solo che la mail proviene dal dominio From. Verifichi sempre che quel dominio sia quello reale.
Quiz
Esercizio
Esercizio A3.3: Leggere gli header. Le vengono forniti tre blocchi di header. Compili per ciascun blocco: il dominio nel Return-Path, il dominio della firma DKIM (d=), l'esito DMARC e se la mail è autentica o falsa. Il programma esegue la verifica e, in caso di errore, indica la riga in cui si trova la risposta.
Per approfondire
I passaggi descritti negli articoli WebOké si riferiscono all'ambiente WebOké; presso altri fornitori il funzionamento è simile.
- Che cos'è il DMARC? Spiegazione in parole semplici
- La mia email non arriva o finisce nello spam: ecco come scoprirne il motivo
- Verifica e-mail pubblica (SPF, DMARC, MX) di un dominio: https://www.weboke.it/verifica-email, e il test e-mail di internet.nl: https://internet.nl
- Corso DNS, lezioni 4.3 SPF, 4.4 DKIM e 4.5 DMARC: https://www.weboke.it/dns-cursus
- RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601