Redazione MailSniper
Autore
Quando ricevi un'email, vedi il mittente, l'oggetto, il corpo del messaggio. Ma sotto la superficie c'e' molto di piu'. Ogni email trasporta un blocco di metadati tecnici chiamati header — informazioni invisibili nella vista normale del tuo client di posta, ma fondamentali per capire da dove arriva davvero un messaggio, che percorso ha fatto, e se e' autentico o contraffatto.
Pensa agli header come al passaporto di un'email. Cosi' come un passaporto contiene foto, dati anagrafici, timbri di ingresso e uscita dai Paesi visitati, gli header contengono l'identita' del mittente, i server attraversati, le verifiche di autenticazione superate (o fallite), e molto altro.
Se hai mai ricevuto un'email sospetta — una fattura inattesa, una richiesta urgente dal "capo", un avviso dalla banca — sapere leggere gli header ti permette di smascherare il tentativo di truffa in pochi secondi. In questa guida ti spiego come farlo, passo per passo, con esempi concreti.
Un header email e' un insieme di campi testuali che accompagnano ogni messaggio di posta elettronica. Contengono informazioni tecniche su chi ha inviato l'email, attraverso quali server e' transitata, quando e' stata spedita, e se ha superato i controlli di autenticazione.
Per capire meglio, pensa alla differenza tra busta e lettera. Quando ricevi una lettera cartacea, guardi il contenuto (la lettera) e magari il mittente scritto sulla busta. Ma se fossi un investigatore, guarderesti anche il timbro postale, il codice di tracciamento, il percorso di smistamento. Gli header sono esattamente questo: le informazioni "sulla busta" dell'email, non visibili a chi legge solo la lettera.
A differenza del contenuto dell'email (che puo' dire qualsiasi cosa), gli header vengono generati e modificati dai server di posta lungo il percorso. Non sono perfetti — il campo From: puo' essere falsificato — ma molti campi sono affidabili perche' inseriti dai server che gestiscono effettivamente il messaggio.
Prima di poter leggere gli header, devi sapere dove trovarli. Ogni client di posta li nasconde in un punto diverso. Ecco come accedervi nei programmi piu' diffusi.
Su Outlook desktop (Windows): apri l'email, vai su File > Proprieta'. Troverai gli header nella sezione "Intestazioni Internet" in fondo alla finestra.
Su Outlook Web (outlook.com / Microsoft 365): apri l'email, clicca sui tre puntini in alto a destra, seleziona Visualizza > Visualizza origine messaggio. Si aprira' una nuova finestra con gli header completi.
Apri l'email, clicca sui tre puntini verticali in alto a destra del messaggio, seleziona "Mostra originale". Gmail ti mostrera' un riepilogo con i risultati SPF, DKIM e DMARC, piu' il link per scaricare gli header completi.
Apri l'email, vai su Vista > Messaggio > Tutte le intestazioni (oppure usa la scorciatoia Cmd + Shift + H). Gli header appariranno sopra il corpo del messaggio.
Apri l'email e premi Ctrl+U (o Cmd+U su Mac). Si aprira' una finestra con il sorgente completo del messaggio, header inclusi.
Una volta che hai gli header davanti, copiali tutti (Ctrl+A, Ctrl+C) — ti serviranno per l'analisi.
Gli header possono contenere decine di righe. Non devi leggerli tutti. Ecco i campi che contano davvero, quelli che ti dicono se un'email e' autentica o sospetta.
Il campo From: mostra chi dichiara di aver inviato l'email. Esempio:
From: Mario Rossi <mario.rossi@azienda-esempio.it>Ecco il problema: questo campo e' facilmente falsificabile. Chiunque con un minimo di conoscenza tecnica puo' inviare un'email con un From: a sua scelta. Si chiama spoofing ed e' la base del 90% degli attacchi di phishing.
Quindi il From: ti dice chi il mittente vuole farti credere di essere. Non chi e' realmente. Per quello, servono altri campi.
Il Return-Path: (anche detto "envelope sender") e' l'indirizzo al quale vengono consegnati i messaggi di errore (bounce). A differenza del From:, questo campo e' impostato dal server di invio ed e' piu' difficile da falsificare.
Return-Path: <bounce-12345@mail-server.azienda-esempio.it>Se il Return-Path: punta a un dominio completamente diverso dal From:, e' un segnale d'allarme. Ad esempio: From: banca@intesasanpaolo.com ma Return-Path: . Questo scenario urla phishing.
I campi Received: sono i piu' importanti e i piu' sottovalutati. Ogni server di posta che gestisce l'email aggiunge un campo Received: in cima agli header. Questo significa che per ricostruire il percorso del messaggio, devi leggere i Received dal basso verso l'alto.
Received: from server-finale.destinatario.it (10.0.0.1)
by inbox.destinatario.it; Mon, 3 Mar 2026 10:30:15 +0100
Received: from relay.provider-mittente.com (203.0.113.50)
by server-finale.destinatario.it; Mon, 3 Mar 2026 10:30:12 +0100
Received: from mail.azienda-esempio.it (192.168.1.10)
by relay.provider-mittente.com; Mon, 3 Mar 2026 10:30:05 +0100Leggendo dal basso: l'email e' partita da mail.azienda-esempio.it, e' passata per relay.provider-mittente.com, e infine e' arrivata a server-finale.destinatario.it. Se un Received: intermedio mostra un server in un Paese inaspettato (ad esempio un relay in Russia per un'email che dovrebbe arrivare da un fornitore italiano), qualcosa non torna.
Date: Mon, 3 Mar 2026 10:30:00 +0100Il timestamp dell'invio. Confrontalo con i timestamp nei campi Received:. Se la Date: dice lunedi' mattina ma il primo Received: mostra domenica notte, il campo Date potrebbe essere stato manipolato — oppure il server del mittente ha l'orologio sballato (succede piu' spesso di quanto pensi, ma resta un segnale da valutare).
Message-ID: <abc123@mail.azienda-esempio.it>Ogni email ha un ID univoco generato dal server mittente. Il dominio dopo la @ nel Message-ID dovrebbe corrispondere al dominio del mittente. Se ricevi un'email "da" una banca italiana ma il Message-ID contiene @random-server.xyz, c'e' un problema.
X-Mailer: Microsoft Outlook 16.0
User-Agent: Thunderbird 128.0Questi campi (opzionali) indicano il software usato per comporre l'email. Se il tuo collega usa sempre Outlook e un'email "da lui" mostra un User-Agent sconosciuto o un tool di mass mailing, potrebbe essere un segnale di account compromesso.
Questo e' il campo piu' potente per verificare l'autenticita' di un'email. Viene inserito dal server del destinatario dopo aver verificato i protocolli di autenticazione del mittente.
Authentication-Results: mx.destinatario.it;
spf=pass (sender IP is 203.0.113.50) smtp.mailfrom=azienda-esempio.it;
dkim=pass header.d=azienda-esempio.it;
dmarc=pass (policy=reject) header.from=azienda-esempio.itEcco cosa significano i tre protocolli:
pass = autorizzato, fail = non autorizzato.pass = firma valida.Se tutti e tre mostrano pass, l'email e' molto probabilmente autentica. Se anche solo uno mostra fail o none, serve un'indagine piu' approfondita.
Mettiamo in pratica tutto. Immagina di ricevere un'email con oggetto "Fattura #2026-0293 — Pagamento urgente entro 48h" apparentemente inviata da un tuo fornitore abituale.
Ti insospettisce l'urgenza. Apri gli header. Ecco cosa trovi (semplificato):
Return-Path: <notification@srv-28461.hostingeconomico.xyz>
Received: from srv-28461.hostingeconomico.xyz (91.234.56.78)
by mx.tuodominio.it; Mon, 3 Mar 2026 09:15:32 +0100
From: Amministrazione Fornitore Srl <fatture@fornitore-reale.it>
Reply-To: pagamenti.urgenti@gmail.com
Date: Mon, 3 Mar 2026 09:15:00 +0100
Message-ID: <8f3k2j@srv-28461.hostingeconomico.xyz>
X-Mailer: PHPMailer 6.8.0
Authentication-Results: mx.tuodominio.it;
spf=fail (sender IP 91.234.56.78 not permitted for fornitore-reale.it);
dkim=none;
dmarc=fail (policy=none)Ora analizziamo passo per passo:
fatture@fornitore-reale.it — sembra legittimo. Ma non fidarti.hostingeconomico.xyz — un dominio completamente diverso dal fornitore. Primo allarme rosso.srv-28461.hostingeconomico.xyz con IP 91.234.56.78 — non e' il server del fornitore. Secondo allarme.pagamenti.urgenti@gmail.com — un account Gmail generico, non l'indirizzo aziendale del fornitore. Terzo allarme.hostingeconomico.xyz, non fornitore-reale.it. Quarto allarme.Verdetto: questa email e' un tentativo di phishing con spoofing del mittente. Il campo From: e' stato falsificato. L'email non e' mai partita dal server del fornitore reale. L'obiettivo era probabilmente farti pagare una fattura con IBAN modificato — un classico attacco BEC.
Senza controllare gli header, avresti visto solo "Fattura del fornitore" nella inbox. Con gli header, hai smascherato la truffa in 60 secondi.
Analizzare gli header manualmente e' utile per capire come funzionano. Ma nella vita quotidiana, quando ricevi 50-100 email al giorno, non puoi controllare ogni header a mano.
Per questo abbiamo creato l'Analizzatore Header MailSniper. Funziona cosi':
Il tool evidenzia automaticamente le discrepanze — come un From: diverso dal Return-Path:, o un SPF fail — cosi' non devi cercarle tu a occhio negli header grezzi.
E se vuoi fare un passo in piu', puoi verificare la configurazione DNS del dominio mittente con il nostro tool di verifica SPF/DKIM/DMARC. In pochi secondi saprai se quel dominio e' configurato per prevenire lo spoofing o se e' completamente esposto.
Non serve controllare gli header di ogni singola email. Ma ci sono 5 situazioni in cui dovresti farlo sempre:
Ricevi un'email da qualcuno che non conosci, con un link o un allegato? Prima di cliccare qualsiasi cosa, controlla gli header. Bastano 30 secondi per verificare se SPF e DKIM passano.
Le fatture false con IBAN modificato sono il cuore degli attacchi BEC. Se ricevi una fattura che non aspettavi — o una fattura abituale ma con coordinate bancarie diverse — verifica gli header e chiama il fornitore su un numero che conosci gia' (non quello scritto nell'email).
"Devo fare un bonifico urgente, puoi occupartene tu?" Se il tuo CEO ti scrive cosi', fermati. Controlla gli header. Nell'80% dei casi di BEC, l'email non arriva davvero dall'indirizzo del dirigente.
Un file .zip, .iso, .docm che non aspettavi? Gli header ti diranno se l'email arriva davvero dal mittente dichiarato. Se i controlli di autenticazione falliscono, non aprire quell'allegato.
Il tuo collega ti scrive in un tono diverso dal solito. Il fornitore abituale usa un layout email diverso. La banca ti chiede cose che non ha mai chiesto. Quando il contenuto "stona" rispetto al mittente, gli header ti dicono se l'account e' stato compromesso o se l'email e' stata falsificata.
Per allenare il tuo occhio a riconoscere email sospette prima ancora di controllare gli header, prova il nostro Test Phishing — un quiz interattivo con scenari reali. E se vuoi approfondire tutti i segnali del phishing, leggi la nostra guida completa al riconoscimento delle email di phishing.
Sapere leggere gli header e' una competenza preziosa. Ma la difesa di un'azienda non puo' dipendere dal fatto che ogni dipendente sappia analizzare header email alle 8 di mattina con il caffe' in mano.
Serve un sistema che verifichi automaticamente ogni email in arrivo — che controlli SPF, DKIM e DMARC, che analizzi il percorso del messaggio, che confronti il From: con il Return-Path: — e che blocchi le email sospette prima che arrivino nella inbox.
E' esattamente quello che fa MailSniper. Il nostro gateway analizza ogni header in tempo reale, verifica l'autenticazione su tutti i livelli, e filtra le email contraffatte con un catch rate del 99,9%.
Prossimi passi:
Redazione MailSniper
Team MailSniper
Esperti di sicurezza email e protezione aziendale. Il team MailSniper analizza quotidianamente le minacce informatiche per offrire soluzioni all'avanguardia alle aziende italiane.
Scopri chi siamoIl GDPR impone obblighi specifici sulla sicurezza delle comunicazioni email. Ecco cosa devono sapere le aziende italiane per essere conformi e protette.
LeggiIl social engineering ha aggirato l'autenticazione a due fattori di Odido, esponendo milioni di clienti. Un caso che insegna alle PMI italiane quanto vale davvero il fattore umano nella sicurezza aziendale.
LeggiRimborsi falsi, cartelle esattoriali urgenti, PEC compromesse: le truffe via email che sfruttano il nome dell'Agenzia delle Entrate sono sempre piu' sofisticate. Ecco i 5 tipi piu' comuni nel 2026, i 7 segnali per riconoscerle e cosa fare per proteggerti.
LeggiRicevi i nostri articoli e consigli direttamente nella tua casella di posta.
Scopri come MailSniper puo' proteggere le tue email aziendali con tecnologia AI di livello enterprise.