La tua casella di posta mostra solo pochi campi dell’intestazione di un’email: Da, A, Oggetto e Data. Il resto del blocco tecnico resta nascosto. Eppure è lì che si trovano il percorso del messaggio e il verdetto dell’autenticazione.
L’intestazione di un’email (email header in inglese) è la serie di righe «Nome: valore» che precede il corpo del messaggio. Dice chi ha inviato la mail, da quali server è passata e se SPF, DKIM e DMARC sono stati superati. Per leggerla, apri «Mostra originale» in Gmail o «Visualizza dettagli messaggio» in Outlook, poi risali le righe Received dal basso verso l’alto.
Come visualizzare l’intestazione di un’email in Gmail, Outlook, Apple Mail e Yahoo
Ogni client di posta nasconde l’intestazione grezza dietro un menu diverso. Ecco i percorsi da seguire, secondo la guida di Gmail e la documentazione Microsoft:
- Gmail: apri il messaggio, clicca sui tre puntini accanto a Rispondi, poi su «Mostra originale». Il pulsante «Copia negli appunti» recupera l’intestazione completa. In cima alla finestra Gmail riassume anche i risultati di SPF, DKIM e DMARC (Pass o Fail).
- Outlook sul web e nuovo Outlook: apri il messaggio, poi Altre azioni > Visualizza > Visualizza dettagli messaggio.
- Outlook classico per Windows: fai doppio clic sul messaggio per aprirlo fuori dal riquadro di lettura, poi File > Proprietà. L’intestazione si trova nella casella «Intestazioni Internet».
- Apple Mail: apri il messaggio, poi Vista > Messaggio > Tutte le intestazioni.
- Yahoo Mail: apri il messaggio, clicca su Altro, poi su «Visualizza messaggio non elaborato».
Incolla il risultato in un editor di testo come Notepad++ o TextEdit. Un’intestazione si legge male in una finestra stretta.
Un esempio di intestazione email annotato
Ecco un’intestazione ridotta all’essenziale, con il dominio fittizio example.com e indirizzi IP dell’intervallo riservato alla documentazione 203.0.113.0/24. Un messaggio reale del 2026 ha spesso più righe, tra cui Delivered-To e DKIM-Signature.
Return-Path: <bounce+8f2a@bounce.example.com> Authentication-Results: mx.destinataire.example; spf=pass smtp.mailfrom=bounce.example.com; dkim=pass header.d=example.com; dmarc=pass header.from=example.com Received: from smtp1.example.com (smtp1.example.com [203.0.113.25]) by mx.destinataire.example with ESMTPS; Tue, 3 Nov 2026 09:14:07 +0100 Received: from app.example.com (app.example.com [203.0.113.10]) by smtp1.example.com with ESMTP; Tue, 3 Nov 2026 09:14:02 +0100 From: Camille Martin <camille@example.com> Reply-To: <support@example.com> To: <lea@destinataire.example> Subject: La tua fattura di ottobre Date: Tue, 3 Nov 2026 09:14:01 +0100 Message-ID: <20261103091401.8f2a@app.example.com> MIME-Version: 1.0 Content-Type: text/html; charset=UTF-8
Il messaggio viene scritto alle 09:14:01 (campo Date) del 3 novembre 2026. Lo riceve smtp1.example.com da app.example.com (203.0.113.10) alle 09:14:02, poi mx.destinataire.example alle 09:14:07. Tra i due server passano 5 secondi, 6 dalla scrittura. I 3 controlli di autenticazione riportano «pass».
Leggere i campi dell’intestazione, dal più visibile al più tecnico
I primi 4 campi qui sotto si leggono già nella posta in arrivo. Gli altri richiedono la visualizzazione completa.
- From: l’indirizzo mostrato come mittente. Lo scrive il mittente stesso, quindi da solo non prova nulla.
- To e Date: il destinatario dichiarato e l’orario di scrittura, impostato dal client di posta o dal server di invio.
- Subject: la riga dell’oggetto. Fa parte dell’intestazione e compare nella casella di posta, come From e Date. Come scriverla è il tema della guida su come scrivere l’oggetto di un’email. Il testo di anteprima mostrato dopo l’oggetto non ne fa parte: vedi la guida al pre-header.
- Return-Path: l’indirizzo che riceve i rifiuti. Il server di destinazione lo copia dalla busta SMTP (il comando MAIL FROM della RFC 5321). Per un invio tramite un servizio di emailing punta a un dominio di rimbalzo diverso dal From. È il comportamento normale, spiegato nell’articolo sul return path.
- Reply-To: l’indirizzo che riceve la tua risposta. Senza questo campo, la risposta va al From.
- Message-ID: l’identificativo unico del messaggio, generato all’invio. Il supporto tecnico lo chiede per ritrovare la mail nei suoi log.
- MIME-Version e Content-Type: il formato del contenuto (text/html o multipart/alternative) e il suo set di caratteri.
- I campi che iniziano con X-: aggiunti dai filtri. X-Spam-Status, per esempio, riporta il punteggio di SpamAssassin, spiegato nella guida al punteggio SpamAssassin.
La sintassi di questi campi è fissata dalla RFC 5322.
Leggere le righe Received dal basso verso l’alto
Ogni server SMTP che inoltra il messaggio aggiunge la propria riga Received sopra le precedenti. La più bassa corrisponde quindi al primo server e la più alta all’ultimo.
Una riga contiene il nome dichiarato da chi invia (from), il suo indirizzo IP tra parentesi quadre, il server che riceve (by) e un orario. Meritano fiducia solo le righe aggiunte dal tuo provider o dal server di destinazione: un mittente malevolo può inventare le righe più basse prima dell’invio.
Received descrive il percorso. Non contiene alcun verdetto SPF o DKIM.
Leggere Authentication-Results: SPF, DKIM e DMARC
Il campo Authentication-Results (standard RFC 8601) lo scrive il server di destinazione alla ricezione. La riga aggiunta dal tuo server sfugge quindi al mittente: è la più affidabile dell’intestazione. Diffida delle righe con lo stesso nome più in basso, che un mittente può aver inventato.
- spf=pass (RFC 7208): l’IP che ha trasmesso il messaggio compare nel record DNS del dominio della busta. Il funzionamento è spiegato nell’articolo su SPF.
- dkim=pass (RFC 6376): la firma crittografica è valida. Il valore header.d indica il dominio firmatario. Vedi anche DKIM.
- dmarc=pass: SPF o DKIM passa con un dominio allineato a quello del From (stesso dominio, oppure stesso dominio organizzativo con allineamento rilassato, secondo la RFC 7489). La configurazione è nella guida a DMARC.
Per SPF, i valori di errore sono fail («-all» nel record DNS) e softfail («~all»). Una valutazione SPF si ferma a 10 richieste DNS (RFC 7208): oltre, il risultato è permerror. Gli errori temporanei (temperror) e permanenti (permerror) indicano un problema di DNS o di configurazione. Dopo un inoltro, SPF spesso fallisce perché l’IP del relay non è autorizzato. Le righe ARC (RFC 8617) conservano allora il verdetto rilevato all’arrivo da ogni intermediario che sigilla il messaggio.
Riconoscere un phishing o uno spoofing dall’intestazione
Confronta prima From, Return-Path e Reply-To. Un Return-Path diverso dal From è banale nell’emailing. Un Reply-To verso un dominio che non c’entra con il mittente mostrato va invece controllato.
Passa poi ad Authentication-Results. Un dmarc=fail su un messaggio che dice di arrivare da una banca o da un corriere segnala uno spoofing (usurpazione dell’identità del mittente). Se la riga manca, il server di destinazione non ha registrato alcun verdetto: non ne ricavare nessuna conclusione favorevole. Guarda infine la riga Received più bassa, quella del primo server: l’IP d’origine di un «servizio clienti» ospitato da un provider senza legami con l’azienda conferma il sospetto.
Diagnosticare un ritardo o un messaggio finito nello spam
Lanci una campagna, lo strumento di emailing segna «inviato» e il destinatario riceve il messaggio 60 minuti dopo, oppure nella cartella spam. Chiedigli l’intestazione completa.
Per un ritardo, sottrai gli orari di due righe Received consecutive. Se gli orologi sono sincronizzati, il salto che concentra lo scarto indica il server responsabile: coda satura o limite di velocità del destinatario. Per un problema di deliverability (messaggio finito nello spam), rileggi Authentication-Results: un fail su uno dei tre controlli è la prima pista. Cerca anche un campo X-Spam-Status con un punteggio alto. Dal 2024, le linee guida di Google per i mittenti richiedono l’autenticazione SPF o DKIM per ogni invio verso un account Gmail personale. Oltre i 5.000 messaggi al giorno servono sia SPF sia DKIM, più un record DMARC. Un errore su uno di questi controlli pesa molto sulla reputazione di una campagna.
Errori frequenti
- Cercare SPF e DKIM in Received. Questi verdetti si trovano in Authentication-Results.
- Leggere i Received dall’alto verso il basso e prendere l’ultimo server per l’origine del messaggio.
- Fidarsi del From mostrato senza controllare dmarc.
- Inoltrare il messaggio come testo al supporto tecnico: l’inoltro riscrive l’intestazione. Allega il messaggio in formato .eml.
Usare un analizzatore di intestazioni
Un analizzatore di intestazioni, come quello di Google Admin Toolbox o di MxToolbox, riceve l’intestazione incollata come testo semplice. Ricostruisce il percorso passaggio per passaggio e calcola il ritardo di ogni relay.
L’analizzatore fa il lavoro pesante, ma non dice se il server che ha scritto una riga Received sia affidabile. Questo giudizio spetta a te.
