Analizzatore di intestazioni email

Aggiornato il 6 ottobre 2026

Un'email può mostrare qualsiasi nome di mittente. Le sue intestazioni, invece, conservano la traccia del percorso reale. Incollale qui sotto: l'analisi avviene nel tuo browser e non viene inviato nulla.

Dove trovare le intestazioni

Servizio email	Percorso
Gmail	Apri il messaggio › menu ⋮ › «Mostra originale» › copia tutta la parte superiore
Outlook (web)	Apri il messaggio › ⋯ › «Visualizza» › «Visualizza dettagli messaggio»
Apple Mail	Vista › Messaggio › «Tutte le intestazioni»
Thunderbird	Visualizza › «Sorgente del messaggio» (Ctrl+U)
Yahoo Mail	⋯ › «Visualizza messaggio originale»

Copia il blocco completo, dal primo «Received:» fino alla riga vuota che separa le intestazioni dal testo del messaggio.

Che cosa verifica lo strumento

SPF: il server che ha inviato il messaggio è autorizzato dal dominio del mittente?
DKIM: la firma digitale del messaggio è valida, quindi il contenuto è integro?
DMARC: il dominio mostrato nel campo «Da» corrisponde a queste verifiche? Un DMARC non superato è il segnale più affidabile di una falsificazione.
Gli indirizzi: un dominio di invio diverso da quello mostrato, o un indirizzo di risposta che punta altrove, sono trucchi classici.
Il percorso: ogni server attraversato aggiunge una riga «Received». Lo strumento le riordina e calcola il ritardo tra un passaggio e l'altro.

Come leggere il risultato

Un messaggio autentico di una grande azienda mostra di solito tre risultati «pass» e domini coerenti. Un messaggio di phishing a volte supera SPF, ma per il proprio dominio di invio, non per quello della banca che imita: è allora DMARC a fallire e a smascherarlo.

Attenzione: è affidabile solo la parte più alta delle intestazioni, aggiunta dal tuo servizio email. Le righe in basso possono essere state scritte dal mittente stesso.

Ottieni un indirizzo usa e getta

Domande frequenti

Le intestazioni che incollo vengono inviate da qualche parte?

No. L'analisi la fa il tuo browser, sul tuo dispositivo. Nulla viene trasmesso a Boxo né ad altri servizi.

Perché lo strumento mostra «assente» per SPF, DKIM o DMARC?

Questi risultati li aggiunge il servizio email che riceve il messaggio. Se copi le intestazioni da un'altra parte, o se il provider non li aggiunge, mancano.

Un messaggio con tre «pass» è per forza sicuro?

No: dimostra solo che il dominio mostrato ha davvero inviato il messaggio. Un truffatore può usare un dominio simile suo, con un'autenticazione perfetta. Controlla sempre il dominio stesso.