이메일 헤더 분석기

이메일 헤더로 알 수 있는 것과 알 수 없는 것

인터넷 이메일은 이름이 붙은 헤더 필드, 빈 줄, 메시지 본문 순서로 구성됩니다. RFC 5322는 공백으로 시작하는 줄이 앞 필드를 이어 가는 필드 접기를 포함해 메시지 형식을 정의합니다. 이 분석기는 데이터를 해석하기 전에 연속 줄을 펼칩니다. 첫 번째 빈 줄에서 멈추므로 본문과 첨부 파일은 분석하지 않습니다.

메일 전송 에이전트는 보통 메시지가 서버를 지날 때마다 Received 필드를 맨 위에 추가합니다. 따라서 원본 소스에는 최신 항목부터 표시됩니다. 보고서는 이를 뒤집어 발신 지점부터 시작하는 타임라인으로 보여 줍니다. 인접한 두 타임스탬프를 모두 해석할 수 있을 때만 시간 차이를 표시합니다. 음수 차이는 시계 오차 가능성으로 알리고 총 전송 시간 계산을 중단하며, 조용히 0으로 바꾸지 않습니다.

인증 항목 읽는 방법

RFC 8601은 수신 시스템이 spf=pass, dkim=pass, dmarc=fail 같은 결과를 기록하는 Authentication-Results 필드를 정의합니다. 메시지가 여러 관리 도메인을 거칠 수 있으므로 분석기는 중복 Authentication-Results 필드를 보존합니다. smtp.mailfrom, header.d, header.from 같은 관련 속성도 기록된 그대로 유지합니다.

DKIM-Signature에는 서명 도메인(d=), 셀렉터(s=), 알고리즘(a=), ID(i=), 큰 암호 값(b=, bh=) 등의 메타데이터가 있습니다. 보고서는 유용한 태그와 서명 값의 존재 여부를 기록하지만 JSON 내보내기에서는 서명 본문을 의도적으로 제외합니다. DNS 조회나 암호학적 검증은 수행하지 않습니다.

RFC 8617은 Authenticated Received Chain(ARC)을 정의합니다. 같은 i= 값을 가진 ARC-Seal, ARC-Message-Signature, ARC-Authentication-Results가 모두 있을 때 ARC 인스턴스를 구조적으로 완전하다고 봅니다. 여기서 ‘완전’은 세 구성 요소가 있다는 뜻일 뿐, 체인이 유효하거나 신뢰할 수 있다는 뜻이 아닙니다.

라우팅 예시

원본 소스에 Received 필드가 두 개 있다고 가정합니다. 아래 필드는 발신 지점이 릴레이에 메시지를 10:00:03 +0000에 넘겼다고 하고, 위 필드는 릴레이가 수신자에게 10:00:10 +0000에 도착했다고 합니다. 보고서는 발신 이벤트를 먼저 표시하고 관찰된 간격을 7초로 계산합니다. 시간대 오프셋도 반영하므로 10:00:03 +0000 다음의 12:00:06 +0200은 2시간이 아니라 3초 차이입니다. 정규화한 두 번째 시각이 5초 더 이르면 시계 오차를 표시하고 총 시간을 이용 불가로 둡니다.

신뢰 경계와 흔한 오해

RFC 5321은 SMTP 전송과 서버가 추가하는 추적 정보를 설명합니다. 신뢰 영역 밖에서 받은 헤더는 조작될 수 있습니다. 직접 관리하는 수신 시스템에서 신뢰를 시작하고, 해당 시스템의 기록과 정책이 뒷받침하는 범위까지만 아래로 추적하세요. 표시된 From과 Return-Path 도메인의 불일치는 메일링 리스트, 전달 서비스, 거래성 메일 플랫폼에서 흔합니다. 이는 관찰 사항이지 사칭의 증거가 아닙니다.

인코딩된 제목과 표시 이름에는 RFC 2047 encoded-word가 쓰일 수 있습니다. 분석기는 UTF-8, ISO-8859-1, Windows-1252의 일반적인 Base64 또는 quoted-printable 형식을 디코딩하고, 지원하지 않는 인코딩은 경고와 함께 그대로 표시합니다. 브라우저 반응성을 위해 지나치게 많은 필드와 홉은 제한합니다. 사고 대응 시 원본 메시지를 별도로 보관하세요. 내보내기는 간결한 보고서이며 원본 입력, 본문, 첨부 파일, DKIM 서명 본문을 의도적으로 포함하지 않습니다.

개인정보 보호와 내보내기

파싱, 선택, 복사, 내보내기 생성은 현재 탭에서 로컬로 이루어집니다. 퍼널 단계는 URL이 아닌 탭 범위 세션 저장소를 사용하므로 원본 헤더가 Livewire로 전송되거나 탐색 매개변수에 노출되지 않습니다. 입력 한도는 512 KiB입니다. 타임라인 CSV는 바이트 순서 표시가 있는 UTF-8과 CRLF 행을 사용하고, 스프레드시트 수식 문자로 시작하는 셀은 무해하게 처리합니다. JSON에는 원본 헤더 대신 분석된 관찰 결과와 보고서 주의 사항이 들어갑니다.