O remetente que aparece na caixa de entrada é a parte mais fácil de falsificar em um e-mail. Escrever qualquer nome no campo “De” é trivial. O que não se falsifica com a mesma facilidade é o rastro técnico que a mensagem carrega no cabeçalho completo, e é ali que a análise forense começa.
Saber ler esse cabeçalho é o que separa “parece phishing” de “veio deste servidor, às tantas horas, e falhou na verificação de autenticidade”.
Onde encontrar o cabeçalho completo
Todo cliente de e-mail permite ver a fonte original da mensagem, geralmente em uma opção como “mostrar original” ou “ver fonte”. É esse texto completo que interessa, não o que a interface exibe de forma resumida.
Salve a mensagem original em arquivo antes de analisar, e gere o hash, pelo mesmo princípio de preservação de Artefatos de navegador em investigação forense.
A jornada da mensagem: os campos Received
Cada servidor por onde o e-mail passa acrescenta uma linha Received no topo. Isso significa que os cabeçalhos Received devem ser lidos de baixo para cima: o mais antigo, embaixo, é a origem; o mais recente, no topo, é quem entregou na sua caixa.
Received: from mail.origem.com (mail.origem.com [203.0.113.45])
by mx.destino.com with ESMTP id abc123
for <voce@destino.com>; Wed, 08 Jul 2026 14:22:10 -0300A primeira linha Received de baixo costuma trazer o endereço IP de origem real. É por ele que você começa o rastreamento, verificando a quem pertence e se corresponde ao domínio que a mensagem alega representar.
Cuidado: nem todo Received é confiável
Aqui mora a armadilha. Um atacante controla as linhas Received que o próprio servidor dele gerou, e pode forjá-las para confundir. O que ele não controla são as linhas adicionadas pelos servidores legítimos que a mensagem atravessou depois.
A regra prática: confie nas linhas adicionadas pela infraestrutura que você conhece, tipicamente o seu próprio servidor de entrada, e desconfie das linhas anteriores a elas. A primeira linha confiável, contada de cima para baixo, é onde a verdade começa.
Os três selos de autenticidade
Domínios sérios publicam mecanismos que permitem ao servidor de destino verificar se a mensagem é legítima. O resultado dessa verificação fica registrado no cabeçalho Authentication-Results.
| Mecanismo | O que verifica | Resultado que interessa |
|---|---|---|
| SPF | Se o servidor de envio tem autorização do domínio para enviar por ele | pass confirma, fail ou softfail é alerta |
| DKIM | Se a mensagem tem assinatura válida do domínio e não foi alterada | pass confirma integridade e origem |
| DMARC | Junta SPF e DKIM e diz o que fazer quando falham | pass confirma alinhamento com o domínio do remetente |
Authentication-Results: mx.destino.com;
spf=fail (sender IP is 203.0.113.45) smtp.mailfrom=banco.com.br;
dkim=none;
dmarc=fail action=quarantineO exemplo acima é o retrato de uma mensagem falsificada: o remetente alega ser um banco, mas o SPF falhou, não há assinatura DKIM, e o DMARC concluiu que a mensagem não deveria ser confiada. Três sinais na mesma direção.
Reconstruindo a história
Com essas peças, a análise monta uma narrativa verificável:
- De qual IP a mensagem realmente partiu, pela primeira linha
Receivedconfiável. - A quem esse IP pertence, e se bate com o domínio alegado.
- Se os selos de autenticidade passaram ou falharam.
- O horário de cada salto, atento ao fuso de cada carimbo.
Quando essas quatro respostas se contradizem entre si, você tem falsificação. Quando convergem, tem uma origem sustentável no laudo.
O que os cabeçalhos ainda revelam
Além da origem, o cabeçalho entrega pistas secundárias úteis. O campo Message-ID costuma conter o domínio do servidor gerador, que nem sempre coincide com o remetente exibido. O software de envio às vezes aparece, denunciando uso de ferramenta de disparo em massa. E divergência entre o fuso do carimbo e o fuso alegado pelo remetente é mais um indício a somar.
O limite da análise
Cabeçalho de e-mail prova por qual caminho técnico a mensagem chegou. Não prova, sozinho, quem escreveu. IP de origem pode ser de máquina comprometida, de servidor de terceiro abusado, de serviço anônimo.
Vale a mesma cautela de atribuição que trato em toda análise: o rastro técnico é uma parte forte da história, e raramente a história inteira. É o método de fontes abertas de OSINT na Investigação de Cibercrimes que costuma fechar as lacunas que o cabeçalho deixa em aberto.