邮件头：如何追踪邮件的传递路径

邮件在 SMTP 基础设施中传递时，各邮件系统会在前面依次添加 Received 字段。From 是用于显示作者信息的字段，可能与经过验证的信封地址或域名不同，因此追踪邮件需要查看多个字段，而不是只看一个显示出来的地址。

哪些邮件头能揭示传递路径

邮件在 SMTP 基础设施中传递时，邮件服务器会在前面添加 Received 字段。这些字段与 Authentication-Results、Message-ID 及其他技术字段结合起来，有助于还原邮件的传递路径；仅凭显示出来的 From 字段无法确定邮件来源。

如何阅读 Received 和 Authentication-Results

打开邮件原文，从下往上阅读 Received 字段；越靠下的条目通常越接近路径的起点。分别检查 Authentication-Results、SPF、DKIM 和 DMARC。显示出来的 From 字段很容易伪造，不足以证明邮件来源。要检查邮箱地址本身，可以使用 2IP 电子邮件地址验证工具；追查邮件来源仍然要靠邮件头。

为什么只看 From 字段是不够的

技术参考：RFC 5322 和 RFC 5321。