Leggere il mittente e le intestazioni

Modulo 2: Leggere la posta · Tempo di lettura: 10 minuti

Obiettivo della lezione: Dopo questa lezione saprà distinguere il nome visualizzato dall'indirizzo reale di un mittente, aprire le intestazioni di un messaggio e leggere Return-Path, Received, Authentication-Results e List-Unsubscribe, e saprà che cosa rivelano di Lei le immagini esterne e le conferme di lettura.

Concetti chiave: nome visualizzato, Rispondi a, Intestazioni, Visualizza sorgente messaggio, Authentication-Results, allineamento, List-Unsubscribe, risorse esterne, pixel di tracciamento, conferma di lettura

Un nome non è un indirizzo

Nell'elenco dei messaggi, per la maggior parte delle e-mail non vede un indirizzo e-mail, ma un nome: "Youssef", "Atelier floreale Example", "Servizio clienti". Questo è il nome visualizzato. Nell'intestazione From compare prima dell'indirizzo:

From: Chiara Esposito <chiara@example.com>

Il nome visualizzato lo sceglie il mittente stesso, e chiunque può inserire qualsiasi nome. Un truffatore può quindi scrivere come "Chiara Esposito" da un indirizzo completamente diverso. Nella lezione 4.1 imposterà il Suo nome visualizzato; ora l'importante è non fidarsi ciecamente di quello degli altri.

Nella webmail, sopra un messaggio aperto, faccia clic su Dettagli. Accanto al nome vedrà anche l'indirizzo completo del mittente e di tutti i destinatari. Quando un'e-mail Le chiede qualcosa, guardi sempre l'indirizzo, e soprattutto la parte dopo la @.

Rispondi a: dove va davvero la Sua risposta

Un'e-mail può avere un'intestazione Reply-To, nella webmail Rispondi a. Se fa clic su Rispondi, la Sua risposta va a quell'indirizzo e non a quello in From. Ci sono buoni motivi per farlo. Un negozio online, per esempio, invia da noreply@ e inserisce il servizio clienti in Rispondi a.

Ma è anche un trucco noto. Un'e-mail sembra arrivare dal direttore, con l'indirizzo giusto in From, ma Rispondi a punta a un indirizzo del truffatore. Chi risponde, da quel momento parla con il truffatore. Davanti a una richiesta inattesa, controlli quindi nella finestra di composizione a quale indirizzo va la Sua risposta, prima di fare clic su Invia.

Aprire le intestazioni

La visualizzazione di un'e-mail mostra solo alcune intestazioni. Le altre può aprirle in due modi:

• Intestazioni sopra il messaggio: la webmail apre una finestra con tutte le intestazioni del messaggio, come vede nell'immagine.
• Azioni > Visualizza sorgente messaggio: la webmail apre in una nuova scheda l'intero messaggio così come si trova sul server, cioè le intestazioni, una riga vuota e poi il contenuto e gli allegati in forma di testo.

Nel menu Azioni trova anche Esporta.... Con questa voce scarica il messaggio come file .eml, per esempio per consegnarlo al Suo provider o a un collega che deve esaminare le intestazioni.

All'inizio le intestazioni sembrano un gran disordine. Non è necessario conoscerle tutte. Cerchi in modo mirato quattro tipi.

Quattro intestazioni che dicono qualcosa

Youssef riceve una newsletter dal suo grossista, "Ingrosso Example". Nelle intestazioni compare, tra l'altro, quanto segue (abbreviato):

Return-Path: <bounce-7731@mailer.example.org>
Received: from mailer.example.org (mailer.example.org [198.51.100.40])
        by mx.example.net with ESMTPS
        for <youssef@example.net>; Mon, 09 Nov 2026 07:02:11 +0100
Authentication-Results: mx.example.net;
        spf=pass smtp.mailfrom=mailer.example.org;
        dkim=pass header.d=example.org;
        dmarc=pass header.from=example.org
From: Ingrosso Example <notizie@example.org>
List-Unsubscribe: <https://www.example.org/afmelden?id=7731>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Return-Path è l'indirizzo del mittente della busta visto nella lezione 1.1. I messaggi di errore vengono inviati lì. Nelle newsletter è spesso un indirizzo diverso per ogni destinatario, così il mittente può vedere quale indirizzo non funziona più.

Received indica quale server ha consegnato l'e-mail a quale altro server. La riga più in alto è stata creata dal server di Youssef stesso. È la riga di cui fidarsi di più: qui vede da quale server e da quale indirizzo IP l'e-mail è davvero arrivata.

Authentication-Results è il resoconto del server ricevente sui controlli visti nella lezione 1.1:

• spf=pass con smtp.mailfrom: il server che ha consegnato l'e-mail è autorizzato a inviare per conto del dominio del mittente della busta.
• dkim=pass con header.d: la firma digitale è corretta ed è stata apposta da quel dominio.
• dmarc=pass con header.from: il dominio in From corrisponde a un controllo SPF o DKIM superato. Questo si chiama allineamento. Qui la firma DKIM è di example.org, e anche From è example.org. Anche mailer.example.org conta come allineato, perché rientra nello stesso dominio.

Importante: contano solo gli Authentication-Results del Suo server ricevente. Un mittente può inserire da sé nel messaggio una riga falsa con "pass". Controlli quindi quale server ha scritto la riga (la prima parola, qui mx.example.net). Non tutti i server aggiungono questa riga. Se non la vede, può comunque controllare se c'è un'intestazione DKIM-Signature e per quale dominio (d=).

E faccia attenzione: pass significa soltanto che l'e-mail proviene davvero da quel dominio. Un truffatore con un proprio dominio, come example-payment.example, può ottenere senza problemi un pass in tutti e tre i controlli. Il controllo dice chi invia, non se è affidabile.

List-Unsubscribe è un indirizzo di disiscrizione che i programmi di posta possono usare per un pulsante di annullamento dell'iscrizione. Se c'è anche List-Unsubscribe-Post, basta un solo clic, senza dover prima confermare su un sito web. Per una newsletter a cui si è iscritto Lei stesso, disiscriversi è la strada giusta. Per lo spam vero no: in quel caso conferma soltanto che il Suo indirizzo esiste (lezione 8.2).

Immagini esterne e pixel di tracciamento

Molte newsletter scaricano le immagini da internet nel momento in cui apre l'e-mail. Si tratta di risorse esterne. Un'immagine del genere può contenere un codice univoco nell'indirizzo, o addirittura essere un'immagine invisibile di un solo pixel: un pixel di tracciamento. Appena apre l'e-mail e l'immagine viene caricata, il mittente sa che ha aperto l'e-mail, quando, e da quale indirizzo IP.

La webmail di WebOké, per impostazione predefinita, non carica le risorse esterne. Vede allora una barra con l'avviso che sono state bloccate e un pulsante per caricarle comunque per quel solo messaggio. In Impostazioni > Preferenze > Visualizzazione messaggi, alla voce Consenti risorse esterne, può scegliere tra mai, dai miei contatti, da mittenti attendibili o sempre. Sempre è sconsigliato: in quel caso qualsiasi mittente, anche uno spammer, vede che il Suo indirizzo esiste e viene letto.

Conferme di lettura

Un mittente può chiedere una conferma di lettura: un avviso quando Lei apre il messaggio. La webmail Le chiede allora se desidera inviarla. Non è obbligato a farlo. Inoltre la conferma dice soltanto che il messaggio è comparso sul Suo schermo, non che lo ha letto o capito. In Visualizzazione messaggi imposta che cosa fa la webmail con queste richieste; in caso di dubbio, lasci che Le chieda ogni volta. A un mittente sconosciuto non ne invii.

In pratica: come funziona nella webmail

Sopra un messaggio aperto si trovano Dettagli, Intestazioni e Testo semplice. Visualizza sorgente messaggio ed Esporta... si trovano sotto Azioni. Le risorse esterne si impostano in Impostazioni > Preferenze > Visualizzazione messaggi. Il manuale di Roundcube descrive i pulsanti nella sezione Leggere un messaggio; come leggere le intestazioni è spiegato anche nella knowledge base. In altre webmail, come Gmail o Outlook.com, il funzionamento è simile, anche se il pulsante per la sorgente ha un nome diverso.

Riepilogo

• Il nome visualizzato lo sceglie il mittente stesso; con Dettagli controlli l'indirizzo reale e il dominio.
• Rispondi a determina dove va la Sua risposta, e può puntare a un altro dominio.
• Con Intestazioni o Azioni > Visualizza sorgente messaggio vede tutte le intestazioni; legga Return-Path, il Received più in alto, Authentication-Results e List-Unsubscribe.
• Contano solo gli Authentication-Results del Suo server, e pass dice chi invia, non se ci si può fidare.
• Le risorse esterne e le conferme di lettura comunicano al mittente che ha aperto l'e-mail.

Quiz

Esercizio

Esercizio A2.2: Analizzare un messaggio reale. Scelga un'e-mail che ha ricevuto, per esempio una newsletter. La apra, scelga Azioni > Visualizza sorgente messaggio e copi soltanto le intestazioni: tutto fino alla prima riga vuota. Le incolli nel modulo e indichi il dominio del mittente (From) e il dominio di Return-Path. Il programma analizza le intestazioni incollate in memoria (non viene salvato nulla), confronta le Sue risposte e mostra ciò che ha trovato: la catena dei Received, il dominio DKIM e se i domini sono allineati. Verde: entrambe le risposte sono corrette. Arancione: una è corretta. Rosso: nessuna delle due.

Per saperne di più

I passaggi nella webmail descritti valgono per la webmail di WebOké; in altre webmail il funzionamento è simile.

• Roundcube Webmail 3.1: Leggere un messaggio
• Visualizzare e leggere le intestazioni (header) di un'email
• Corso gratuito E-mail in ordine: configurarla e farla arrivare correttamente 1.5: Leggere le intestazioni: da dove proveniva questa mail?
• Corso gratuito Sicuri online per imprenditori 3.3: Leggere il mittente e gli header
• Corso gratuito E-mail in ordine: configurarla e farla arrivare correttamente 7.2: Consenso, disiscrizione e una lista pulita
• RFC 5322, Internet Message Format (in inglese): https://www.rfc-editor.org/rfc/rfc5322
• RFC 2369, List-Unsubscribe e altre intestazioni per le liste (in inglese): https://www.rfc-editor.org/rfc/rfc2369
• RFC 8058, disiscrizione con un solo clic (in inglese): https://www.rfc-editor.org/rfc/rfc8058
• Esportare un messaggio come .eml e reimportarlo