MailHeaderAnalyzer: analysera e-posthuvuden i PowerShell utan nätverksåtkomst

MailHeaderAnalyzer är en PowerShell-modul med två cmdletar. Get-MailHeaderAnalysis analyserar en e-posts header: leveranskedja med fördröjningar och TLS-information, SPF-, DKIM-, DMARC- och ARC-resultat inklusive ursprungskontroll mot authserv-id för din gateway, DMARC-alignment, hybridklassificeringen i Exchange Online, bedömningar från Microsoft Defender, SpamAssassin och Rspamd samt avvikelser som dubbla From-rader eller Unicode-kontrolltecken. ConvertTo-MailHeaderReport skapar en rapport för ärenden. Modulen arbetar helt offline: inga DNS-frågor, inga HTTP-anslutningar. Den är kommandoradsversionen av Header Analyzer på den här webbplatsen och använder samma analyslogik.

Parameteröversikt

Båda cmdletarna stöder de vanliga parametrarna -Verbose, -ErrorAction, -ErrorVariable, -OutVariable och övriga från about_CommonParameters.

Installation

Install-Module -Name MailHeaderAnalyzer -Scope CurrentUser

På ett system utan internetåtkomst laddar du ned modulen på en annan dator med Save-Module -Name MailHeaderAnalyzer -Path C:\Temp och kopierar mappen MailHeaderAnalyzer till en katalog från $env:PSModulePath, till exempel %USERPROFILE%\Documents\WindowsPowerShell\Modules (Windows PowerShell 5.1) eller %USERPROFILE%\Documents\PowerShell\Modules (PowerShell 7). Uppdateringar hämtas med Update-Module -Name MailHeaderAnalyzer, och den installerade versionen visas med Get-Module -Name MailHeaderAnalyzer -ListAvailable.

Get-MailHeaderAnalysis

Analyserar en e-posts header och returnerar ett analysobjekt.

Syntax

Text (standard)

Get-MailHeaderAnalysis
    [-Header] <String[]>
    [-TrustedAuthServId <String[]>]
    [<CommonParameters>]

Path

Get-MailHeaderAnalysis
    -Path <String[]>
    [-TrustedAuthServId <String[]>]
    [<CommonParameters>]

Clipboard

Get-MailHeaderAnalysis
    -FromClipboard
    [-TrustedAuthServId <String[]>]
    [<CommonParameters>]

Beskrivning

Cmdleten delar upp råheadern i fält, vecklar ut RFC 5322-radbrytningar och avkodar RFC 2047-värden i ämne och adresser. Från Received-raderna skapar den leveranskedjan i kronologisk ordning, beräknar fördröjningen per station och läser TLS-version, chiffer och protokollklass enligt RFC 3848. Från Authentication-Results, Received-SPF, DKIM-Signature och ARC-kedjan fastställer den autentiseringsresultaten och tilldelar varje kontrollrad ett ursprung (RFC 8601, avsnitt 5): styrkt om dess authserv-id finns i -TrustedAuthServId, annars endast plausibelt eller obestyrkt, se AuthTrust. Därtill kommer DMARC-alignment, hybridklassificeringen i Exchange Online, spamfiltrens bedömningar och en lista över avvikelser.

Cmdleten utför inga DNS-frågor och öppnar ingen nätverksanslutning. Spf, Dkim, Dmarc och Arc är därför alltid den mottagande serverns bedömning. DKIM- och ARC-signaturer beräknas inte kryptografiskt på nytt; för ARC-kedjan kontrollerar cmdleten endast strukturen (ArcStructure).

Indata läses tolerant: En tom rad avslutar headern, och efterföljande meddelandetext ignoreras. Rader utan fältnamn och utan inledande blanksteg, såsom de som uppstår vid kopiering från klientdialoger, hör till föregående fält. En mbox-avgränsningsrad From ... före det första fältet hoppas över och en Byte Order Mark tas bort. Högst 200 Received-rader analyseras, räknat från leveransen.

Exempel

Exempel 1

Get-MailHeaderAnalysis -FromClipboard

Analyserar headern som finns i urklipp. I Outlook för Windows hittar du headern under Arkiv, Egenskaper, Internetheaders; i Outlook på webben finns den i meddelandealternativen under ”Visa meddelandeinformation”.

Subject     : Service-Report für März
From        : Beispiel Newsletter <news@example.org>
Date        : 2026-08-03 09:14:27Z
SPF         : pass
DKIM        : pass
DMARC       : pass
ARC         : -
CompAuth    : pass (reason 100)
AuthTrust   : Absent (no authserv-id, Microsoft 365 style)
Hops        : 3 (total 00:00:42)
DeliveredBy : zr0p278mb0570.chep278.prod.outlook.com
Findings    : none

Exempel 2

Get-MailHeaderAnalysis -Path .\nachricht.eml

Analyserar ett sparat meddelande. Filen får innehålla enbart headern eller hela meddelandet; meddelandetexten ignoreras.

Exempel 3

(Get-MailHeaderAnalysis -Path .\nachricht.eml).Hops

Visar leveranskedjan som en tabell, med första hoppet först.

#   From                 IP              By                                     Protocol   TLS      Time (UTC)           Delay
-   ----                 --              --                                     --------   ---      ----------           -----
1   client.example.net   198.51.100.34   mail.example.org                       ESMTPSA    -        2026-08-03 09:14:28  -
2   mail.example.org     203.0.113.25    mx.eur02.prod.protection.outlook.com   Microsoft… TLS 1.3  2026-08-03 09:15:09  41 s
3   AM0EUR02FT056.eop…   -               ZR0P278MB0570.CHEP278.PROD.OUTLOOK.COM Microsoft… TLS 1.2  2026-08-03 09:15:10  1 s

Exempel 4

Get-Content -Path .\header.txt | Get-MailHeaderAnalysis | Select-Object -ExpandProperty Findings

Läser headern rad för rad från en textfil och visar endast avvikelserna. -Raw för Get-Content behövs inte, eftersom cmdleten själv sätter samman raderna.

Exempel 5

Get-ChildItem -Path .\export\*.eml |
    Get-MailHeaderAnalysis |
    Select-Object Source, Subject, Spf, Dkim, Dmarc, AuthTrust, HopCount,
        @{ Name = 'Findings'; Expression = { ($_.Findings.Code | Sort-Object -Unique) -join ',' } } |
    Export-Csv -Path .\auswertung.csv -NoTypeInformation -Encoding UTF8

Analyserar alla meddelanden i en mapp och skriver en CSV-fil med en rad per meddelande. Den beräknade kolumnen sammanfattar Finding-koderna.

Exempel 6

Get-ChildItem .\export\*.eml |
    Get-MailHeaderAnalysis -TrustedAuthServId 'mx.example.org' |
    Where-Object AuthTrust -ne 'Trusted' |
    Select-Object Source, AuthTrust, AuthServId, DeliveredBy

Listar meddelanden vars kontrollresultat inte kommer från den egna inkommande gatewayen mx.example.org. Vid phishinganalyser är detta ett första filter. Utan -TrustedAuthServId kan du bara filtrera efter Unmatched; en förfalskning som dessutom innehåller en matchande Received-rad visas då som Matched och passerar filtret.

Exempel 7

$a = Get-MailHeaderAnalysis -Path .\nachricht.eml
$a.Hops[$a.SlowestHopIndex - 1] | Format-List Index, FromHost, ByHost, Delay

Visar stationen med längst fördröjning. SlowestHopIndex är 1-baserat, medan arrayen Hops är 0-baserad.

Exempel 8

Get-MailHeaderAnalysis -Path .\nachricht.eml | ConvertTo-Json -Depth 6 | Set-Content .\analyse.json

Skriver den fullständiga analysen som JSON. -Depth 6 krävs eftersom Hops, DkimSignatures och Exchange är kapslade objekt; standardvärdet 2 skulle endast visa dem som typnamn.

Parametrar

-Header

Headern som text. Parametern tar emot en enskild sträng med hela headern eller flera strängar; pipelineindata samlas in och sätts samman till en header i slutet, därför fungerar Get-Content datei | Get-MailHeaderAnalysis utan -Raw. Om flera headers ska analyseras separat använder du -Path med flera filer.

Alias: Text, Raw, InputObject

-Path

Sökväg till en fil som innehåller headern eller ett fullständigt .eml-meddelande. Relativa sökvägar löses mot den aktuella katalogen. Filen läses med [System.IO.File]::ReadAllText: En Byte Order Mark beaktas, utan BOM används UTF-8. Ett eget resultatobjekt skapas för varje fil; saknade filer ger ett icke-avbrytande fel.

Alias: FullName, PSPath, LiteralPath

-FromClipboard

Läser headern med Get-Clipboard -Raw från urklipp. Parametern är endast tillgänglig i Windows; i Linux och macOS avbryts cmdleten med ett felmeddelande, liksom om urklipp är tomt.

-TrustedAuthServId

De authserv-id:n som din inkommande gateway skriver i Authentication-Results, till exempel mx.example.org. Cmdleten jämför exakt, utan hänsyn till stora och små bokstäver och utan subdomäner. Kontrollrader med något av dessa ID:n får AuthTrust = Trusted, och endast de tas sedan med i Spf, Dkim, Dmarc och Arc. Detsamma gäller receiver= i en Received-SPF-rad.

Resultatet är bara så tillförlitligt som gatewayen: Den måste ta bort inkommande Authentication-Results-rader som gör anspråk på dess egen authserv-id (RFC 8601, avsnitt 5). Huruvida den gör det går inte att utläsa ur en header. Om två rader med betrott ID motsäger varandra rapporterar cmdleten AuthTrustedConflict. Microsoft 365 skriver ingen authserv-id i sin kontrollrad; om Exchange Online tar emot din e-post lämnar du parametern utelämnad.

För en hel session kan värdet sparas som standard, exempelvis i PowerShell-profilen:

$PSDefaultParameterValues['Get-MailHeaderAnalysis:TrustedAuthServId'] = 'mx.example.org'

Indata

System.String: Headerrader eller hela headern, till -Header.

System.IO.FileInfo: Filobjekt från Get-ChildItem, vars FullName binds till -Path.

Utdata

MailHeaderAnalyzer.Analysis: ett objekt per analyserad header. Egenskaperna beskrivs i avsnittet Utdataobjekt.

Anmärkningar

Analystexten (förklaringar i Findings, CompAuthReasonMeaning och betydelsefälten) är på engelska, så att den kan användas oförändrad i internationella ärenden. Utdata i standardvyn kan visas fullständigt med Format-List *.

ConvertTo-MailHeaderReport

Skapar en rapport som Markdown eller text från ett analysobjekt.

Syntax

ConvertTo-MailHeaderReport
    [-Analysis] <Object>
    [-Format <String>]
    [<CommonParameters>]

Beskrivning

Rapporten omfattar ämne, avsändare, datum och Message-ID, autentiseringsresultat med ursprungsangivelse och alignment, alla findings, leveranskedjan, Exchange-klassificeringen och spamfiltrens värden. Unicode-kontrolltecken för skrivriktning förblir synliga i rapporten som <U+...>, så att de inte förs vidare till ett ärendesystem via rapporten. Den sista raden anger modulversionen.

Exempel

Exempel 1

Get-MailHeaderAnalysis -Path .\nachricht.eml | ConvertTo-MailHeaderReport | Set-Clipboard

Skapar en Markdown-rapport och lägger den i urklipp.

# Email header analysis

- Subject: Service-Report für März
- From: Beispiel Newsletter <news@example.org>
- Date: 2026-08-03T09:14:27Z
- Message-ID: <20260803091427.4Wq2Wx5RbTz@mail.example.org>

## Authentication

- spf: pass
- dkim: pass
- dmarc: pass
- compauth: pass (reason=100: passed authentication)
- Results without authserv-id (Microsoft 365 style)
- DMARC alignment: SPF Strict, DKIM Strict

## Delivery chain (total: 42 s)

| # | From | By | Protocol | TLS | Time (UTC) | Delay |
|---|---|---|---|---|---|---|
| 1 | client.example.net (198.51.100.34) | mail.example.org | ESMTPSA | - | 2026-08-03T09:14:28Z | - |
| 2 | mail.example.org (203.0.113.25) | mx.eur02.prod.protection.outlook.com | Microsoft SMTP Server | TLS 1.3 | 2026-08-03T09:15:09Z | 41 s |
| 3 | AM0EUR02FT056.eop-EUR02.prod.protection.outlook.com | ZR0P278MB0570.CHEP278.PROD.OUTLOOK.COM | Microsoft SMTP Server | TLS 1.2 | 2026-08-03T09:15:10Z | 1 s |

Exempel 2

Get-MailHeaderAnalysis -FromClipboard | ConvertTo-MailHeaderReport -Format Text

Ger ut rapporten som text utan Markdown-markering, till exempel för e-post eller konsolloggar.

Exempel 3

Import-Module MailHeaderAnalyzer
Get-MailHeaderAnalysis -Path 'C:\Temp\bounce.eml' | ConvertTo-MailHeaderReport -Format Text

Användning i Exchange Management Shell. Om $env:PSModulePath där begränsas genom grupprinciper laddar du modulen med Import-Module och den fullständiga sökvägen till filen .psd1.

Parametrar

-Analysis

Analysobjektet från Get-MailHeaderAnalysis. Andra objekttyper avvisas av cmdleten med ett bindningsfel.

-Format

Utdataformatet. Giltiga värden:

• Markdown: Rubriker, punktlistor och leveranskedjan som tabell. Standard.
• Text: Rubriker med versaler, indragna rader, leveranskedjan som numrerad lista.

Indata

MailHeaderAnalyzer.Analysis: resultatet från Get-MailHeaderAnalysis.

Utdata

System.String: rapporten, en sträng per analysobjekt.

Utdataobjekt

Get-MailHeaderAnalysis returnerar ett objekt av typen MailHeaderAnalyzer.Analysis per indata. Standardvyn visar sammanfattningen från exempel 1; alla egenskaper är åtkomliga via Select-Object, Format-List * eller ConvertTo-Json.

MailHeaderAnalyzer.Analysis

MailHeaderAnalyzer.Hop

Varje post i Hops motsvarar en Received-rad. Ordningen är kronologisk, alltså omvänd mot ordningen i headern.

AuthTrust: kontrollresultatens ursprung

En Authentication-Results-rad kan varje avsändare själv skriva in i ett meddelande, liksom en matchande Received-rad. Det går därför inte att styrka enbart utifrån headern vem som skrivit en kontrollrad. Enligt RFC 8601, avsnitt 5, är endast den rad avgörande vars authserv-id den mottagande organisationen känner igen som sitt eget, och den inkommande gatewayen måste ta bort inkommande rader med detta ID. Cmdleten implementerar denna regel med -TrustedAuthServId. Utan denna parameter jämför den authserv-id endast med by-värdarna i Received-kedjan (samma domän eller subdomän, alltid vid punktgränsen, ingen delsträng); detta är en rimlighetskontroll.

Om headern innehåller kontrollrader från flera ursprung rapporterar finding AuthMixedOrigins detta. Om en kontrollrad saknas men en Received-SPF-rad finns, övertas dess resultat som Spf och märks med ReceivedSpfOnly.

Med -TrustedAuthServId tillkommer två findings: AuthNotTrusted om ingen kontrollrad har ett betrott ID, och AuthTrustedConflict om två sådana rader rapporterar olika resultat för spf, dmarc, arc eller compauth. Det andra fallet innebär att minst en rad inte kommer från gatewayen och att gatewayen inte har tagit bort den. Cmdleten använder då den översta raden; vilken av de två som är äkta går inte att avgöra från headern. DKIM är undantaget från denna jämförelse eftersom flera signaturer legitimt kan ha olika resultat.

ARC-kedja: struktur och bedömning

För ARC tillhandahåller cmdleten två separata uppgifter. Arc är resultatet arc= från den avgörande kontrollraden, alltså mottagarens bedömning som kontrollerat kedjans signaturer. ArcStructure är modulens egen kontroll och avser endast strukturen enligt RFC 8617: löpande instansnummer i=1 till i=n (högst 50), exakt en ARC-Seal, en ARC-Message-Signature och en ARC-Authentication-Results per instans, samt cv=none för instans 1 och cv=pass för alla efterföljande. Modulen beräknar inte om signaturer; Consistent säger därför inget om huruvida kedjan är äkta. Avvikelser anges i ArcStructureIssues och i finding ArcStructureInconsistent.

Uppgifterna i ARC-Authentication-Results är påståenden från respektive vidarebefordran. Finding DkimBrokenAfterForward klassificerar därför ett DKIM-fel som en följd av vidarebefordran endast om mottagaren själv rapporterar arc=pass och en tidigare instans har registrerat DKIM-pass för samma domän.

DMARC-alignment

SpfAlignment jämför kuvertavsändardomänen med From-domänen, DkimAlignment jämför d=-domänen för den kontrollerade signaturen med From-domänen. Strict betyder identisk domän, Relaxed samma organisationsdomän, None ingen överensstämmelse. Organisationsdomänen bestäms heuristiskt: de två sista etiketterna, eller de tre sista vid kända sammansatta toppdomäner som co.uk eller com.au. En fullständig Public Suffix List ingår inte.

MailHeaderAnalyzer.ExchangeClassification

Om headern innehåller fälten X-MS-Exchange-Organization-*, X-OriginatorOrg eller X-MS-Exchange-CrossTenant-*, fyller cmdleten egenskapen Exchange. Betydelserna följer Exchange-teamets artikel ”Demystifying hybrid mail flow”; bakgrunden finns i artikeln Exchange-hybridheaders: internt eller externt?.

MailHeaderAnalyzer.SpamAssessment

Egenskapen Spam sammanfattar bedömningarna från de kända filtren. Värdena kommer från externa system och avkodas, men utvärderas inte.

Den fullständiga listan över compauth-Reason Codes finns i artikeln Microsoft 365 compauth: Reason Codes.

Findings

Cmdleten levererar avvikelser som objekt i Findings, vart och ett med Severity (Info, Warning, Fail), en stabil Code för filter och skript samt en förklaring i Message.

Funktion och begränsningar

Modulen läser vad som står i headern och drar slutsatser om vad som kan styrkas utan externa frågor. Detta medför vissa begränsningar:

• Ingen kryptografisk kontroll. DKIM- och ARC-signaturer beräknas inte på nytt och DNS-poster frågas inte. Spf, Dkim, Dmarc och Arc är alltid den mottagande serverns bedömning; ArcStructure kontrollerar endast kedjans struktur.
• Ursprung kan bara styrkas med kännedom om gatewayen. Utan -TrustedAuthServId är AuthTrust en rimlighetskontroll. Med parametern är utsagan beroende av att gatewayen tar bort främmande kontrollrader med sin authserv-id; modulen kan inte kontrollera detta.
• Endast den sista Received-raden är styrkt. Alla rader under den följde med från avsändaren och kan ha utformats godtyckligt. Attested markerar skillnaden; fördröjningarna i tidigare hopp bygger på uppgifterna i dessa rader.
• Organisationsdomäner bestäms heuristiskt. För Relaxed-alignment använder modulen en kort lista över sammansatta toppdomäner, inte en fullständig Public Suffix List.
• AuthMechanism är endast delvis dokumenterad. Förutom värdet 10 har Microsoft inte publicerat koderna; modulen hittar inte på betydelser.
• Teckenuppsättningar. RFC 2047-värden avkodas med de kodningar som .NET känner till på respektive system. Okända teckenuppsättningar lämnas oförändrade.

Dataskydd

En fullständig header innehåller interna värdnamn, IP-adresser, avsändare, mottagare och ämne. Varför dessa uppgifter inte hör hemma i ett onlineverktyg förklaras i artikeln Analysera e-postheaders utan att ladda upp e-postmeddelandet. Samma löfte gäller modulen som webbläsarversionen: inga nätverksanrop. Modulens testsvit innehåller ett test som misslyckas så snart ett nätverks- eller DNS-cmdlet förekommer i källkoden.

Källkod och versioner

Källkoden finns under MIT-licens på GitHub. Analyslogiken är en portering av biblioteket som även Header Analyzer på den här webbplatsen använder; båda delar testfallen. Continuous Integration kontrollerar varje ändring med PSScriptAnalyzer och Pester på Windows PowerShell 5.1, PowerShell 7 under Windows, Ubuntu och macOS. Publiceringar i PowerShell Gallery sker automatiskt från versionsmärkta taggar; ändringarna för varje version finns i Changelog.

Version 0.2.0 från den 26 september 2026 skärpte ursprungsmodellen efter en granskningsanmärkning från @saltyslugga: parametern -TrustedAuthServId, nivån Trusted, Matched endast som rimlighet. Egenskapen ArcValid har utgått och ersatts av ArcStructure och ArcStructureIssues; skript som utvärderar ArcValid måste anpassas.

Jag tar emot felrapporter och förbättringsförslag som Issue på GitHub. Anonymisera testheaders för felrapporter i förväg; de medföljande testfallen använder uteslutande exempel-domäner enligt RFC 2606 och adresser enligt RFC 5737.

Ändringshistorik

• 25 oktober 2026: Källan RFC 7489 ersatt med RFC 9989, som ersätter DMARC-specifikationen sedan maj 2026.