メールヘッダー解析

2026年10月6日更新

メールは好きな送信者名を表示できます。一方、ヘッダーには本当の経路の記録が残ります。下に貼り付けてください。解析はブラウザー内で行われ、何も送信されません。

ヘッダーの見つけ方

メールサービス	手順
Gmail	メールを開く › ⋮ メニュー › 「メッセージのソースを表示」 › 上の部分をすべてコピー
Outlook（Web）	メールを開く › ⋯ › 「表示」 › 「メッセージの詳細を表示」
Apple Mail	表示 › メッセージ › 「すべてのヘッダ」
Thunderbird	表示 › 「メッセージのソース」（Ctrl+U）
Yahoo!メール	⋯ › 「ソースを表示」

最初の「Received:」から、ヘッダーと本文を区切る空行までをまとめてコピーします。

ツールが確認すること

SPF：メールを送ったサーバーは、送信者のドメインから許可されているか。
DKIM：メールのデジタル署名は有効か、つまり内容が改ざんされていないか。
DMARC：「差出人」に表示されたドメインが、これらの確認結果と一致しているか。DMARCの失敗は、なりすましのもっとも確かな兆候です。
アドレス：表示と異なる送信ドメインや、別の場所を指す返信先アドレスは、典型的な手口です。
経路：通過したサーバーはそれぞれ「Received」行を追加します。ツールはこれを順番に並べ、各段階の遅延を計算します。

結果の読み方

大企業からの本物のメールは、ふつう 3つとも「pass」 で、ドメインにも矛盾がありません。フィッシングメールはSPFを通過することがありますが、それは自分の送信ドメインについてであり、なりすました銀行のドメインではありません。そのため DMARC が失敗し、正体が明らかになります。

注意：信頼できるのは、自分のメールサービスが追加したヘッダーの一番上の部分だけです。下の行は送信者自身が書いたものかもしれません。

使い捨てアドレスを取得する

よくある質問

貼り付けたヘッダーはどこかに送信されますか？

いいえ。解析はお使いの端末のブラウザーが行います。Boxoやほかのサービスには何も送られません。

SPF、DKIM、DMARCに「なし」と表示されるのはなぜですか？

これらの結果は、メールを受信したサービスが追加します。別の場所からヘッダーをコピーした場合や、サービスが追加しない場合は表示されません。

3つとも「pass」なら必ず安全ですか？

いいえ。表示されたドメインが本当に送信したことを示すだけです。詐欺師は、認証が完璧な、よく似た自分のドメインを使うことがあります。ドメインそのものを必ず確認してください。