01Ce que racontent les en-têtes d'un email
Chaque email transporte, invisible, son carnet de voyage : chaque serveur traversé ajoute en tête un en-tête Received, si bien qu'en les lisant de bas en haut on reconstitue le trajet complet, du serveur d'origine à votre boîte — avec l'horodatage de chaque étape. Le serveur de réception y ajoute ses verdicts d'authentification (SPF, DKIM, DMARC) : c'est la pièce d'identité du message.
Lire ces en-têtes sert à deux choses : démasquer un email suspect (expéditeur usurpé, adresse de réponse détournée, IP d'origine sans rapport avec l'expéditeur affiché) et diagnostiquer un problème de livraison (où le message a-t-il traîné ? quel serveur l'a retenu ?). L'IP d'origine peut ensuite être inspectée avec notre whois et notre test de liste noire ; la configuration du domaine expéditeur, avec le test email.
02Comprendre chaque en-tête
- Received
- La trace ajoutée par chaque serveur traversé : qui lui a remis le message (from), qui l'a reçu (by), quand. Empilées de bas en haut — le plus bas est le premier serveur, donc l'origine.
- Authentication-Results
- Les verdicts du serveur de réception : spf=, dkim=, dmarc= suivis de pass, fail, softfail… C'est l'en-tête qui fait foi, ajouté par votre messagerie.
- From
- L'expéditeur affiché — celui que voit le destinataire. C'est le champ que DMARC protège, car c'est le plus facile à contrefaire.
- Reply-To
- L'adresse qui recevra les réponses, si elle diffère du From. Légitime (service client), mais aussi l'outil favori des arnaques par email.
- Return-Path
- L'adresse technique de retour des erreurs (bounces), issue de l'enveloppe SMTP. C'est elle que SPF vérifie — souvent chez le prestataire d'envoi.
- Message-ID
- L'identifiant unique du message, généré par le serveur d'origine. Son domaine incohérent avec l'expéditeur est un indice de plus.
03Où trouver les en-têtes bruts ?
Chaque messagerie les cache à un endroit différent — copiez l'intégralité du bloc affiché :
- Gmail
- Ouvrez le message → menu ⋮ en haut à droite → « Afficher l'original » → copiez tout (ou « Copier dans le presse-papiers »).
- Outlook
- Message ouvert → ⋯ → « Afficher » → « Afficher les détails du message » (web) ou Fichier → Propriétés → « En-têtes Internet » (application).
- Apple Mail
- Message sélectionné → menu Présentation → Message → « Tous les en-têtes » (ou « Source brute »).
- Thunderbird
- Message ouvert → Ctrl+U (« Code source du message ») ou Affichage → En-têtes → Tous.
- Yahoo / autres
- Cherchez « Afficher le message brut », « View raw message » ou « Source du message » dans le menu ⋯ du message.
04Questions fréquentes
Le contenu de mes emails est-il envoyé à ItsMyIp ?
Non. L'analyse est exécutée par du JavaScript dans votre navigateur : ce que vous collez ne quitte jamais la page — aucune requête réseau ne part, ce qui se vérifie dans l'onglet Réseau des outils de développement. Vous pouvez d'ailleurs ne coller que les en-têtes, sans le corps du message : c'est tout ce dont l'analyse a besoin.
Comment repérer un email usurpé avec ses en-têtes ?
Trois signaux forts : un verdict dmarc=fail (l'expéditeur affiché n'est pas authentifié), un Reply-To sur un domaine sans rapport avec le From (les réponses partent chez le fraudeur), et une IP d'origine hébergée dans un endroit incohérent avec l'expéditeur supposé. Aucun n'est une preuve absolue seul, mais leur accumulation est éloquente — et dmarc=pass sur le bon domaine est très rassurant.
À quoi servent les délais entre les serveurs ?
À localiser une lenteur de livraison. Un email qui met une heure à arriver a traîné quelque part : les délais entre sauts montrent exactement où — file d'attente chez l'expéditeur, greylisting (mise en attente volontaire anti-spam) à la réception, relais surchargé. Un transit normal se compte en secondes.
L'IP d'origine permet-elle de localiser l'expéditeur ?
Rarement au sens « personne » : c'est l'IP du serveur qui a émis le message, pas celle de l'individu. Gmail, Outlook et la plupart des webmails n'exposent jamais l'adresse IP de leurs utilisateurs — vous verrez leurs serveurs. Elle reste précieuse pour identifier le réseau émetteur (whois) et sa réputation (listes noires), surtout pour du spam envoyé par des serveurs compromis.
Pourquoi l'analyse ne trouve-t-elle pas de verdicts SPF/DKIM/DMARC ?
Soit vous n'avez collé qu'une partie des en-têtes (From, Subject…) : il faut le bloc complet obtenu via « Afficher l'original ». Soit votre serveur de réception n'ajoute pas d'en-tête Authentication-Results — c'est le cas de certains hébergeurs mutualisés. Les verdicts sont ceux du serveur qui a reçu le message : eux seuls font foi.