MailHeaderAnalyzer: Analysera e-posthuvuden i PowerShell utan nätverksåtkomst

MailHeaderAnalyzer är en PowerShell-modul med två cmdlets. Get-MailHeaderAnalysis analyserar huvudet för ett e-postmeddelande: leveranskedjan med fördröjningar och TLS-information, SPF-, DKIM-, DMARC- och ARC-resultat inklusive ursprungskontroll mot authserv-id för din gateway, DMARC-alignment, hybridklassificeringen för Exchange Online, bedömningar från Microsoft Defender, SpamAssassin och Rspamd samt avvikelser som dubbla From-rader eller Unicode-styrtecken. ConvertTo-MailHeaderReport skapar en rapport för ärenden utifrån detta. Modulen arbetar helt offline: inga DNS-frågor, inga HTTP-anslutningar. Den är kommandoradsversionen av Header Analyzer på denna webbplats och använder samma analyslogik.

Parameteröversikt

Båda cmdlets stöder Common Parameters -Verbose, -ErrorAction, -ErrorVariable, -OutVariable och övriga från about_CommonParameters.

Installation

Install-Module -Name MailHeaderAnalyzer -Scope CurrentUser

På ett system utan internetanslutning laddar du ned modulen på en annan dator med Save-Module -Name MailHeaderAnalyzer -Path C:\Temp och kopierar mappen MailHeaderAnalyzer till en katalog från $env:PSModulePath, till exempel %USERPROFILE%\Documents\WindowsPowerShell\Modules (Windows PowerShell 5.1) eller %USERPROFILE%\Documents\PowerShell\Modules (PowerShell 7). Uppdateringar hämtas med Update-Module -Name MailHeaderAnalyzer, och den installerade versionen visas med Get-Module -Name MailHeaderAnalyzer -ListAvailable.

Get-MailHeaderAnalysis

Analyserar huvudet för ett e-postmeddelande och returnerar ett analysobjekt.

Syntax

Text (standard)

Get-MailHeaderAnalysis
    [-Header] <String[]>
    [-TrustedAuthServId <String[]>]
    [<CommonParameters>]

Path

Get-MailHeaderAnalysis
    -Path <String[]>
    [-TrustedAuthServId <String[]>]
    [<CommonParameters>]

Clipboard

Get-MailHeaderAnalysis
    -FromClipboard
    [-TrustedAuthServId <String[]>]
    [<CommonParameters>]

Beskrivning

Cmdleten delar upp råhuvudet i fält, vecklar ut RFC 5322-radbrytningar och avkodar RFC 2047-värden i ämne och adresser. Av Received-raderna skapar den leveranskedjan i kronologisk ordning, beräknar fördröjningen per station och läser TLS-version, chiffer och protokollklass enligt RFC 3848. Från Authentication-Results, Received-SPF, DKIM-Signature och ARC-kedjan fastställer den autentiseringsresultaten och tilldelar varje kontrollrad ett ursprung (RFC 8601, avsnitt 5): styrkt om dess authserv-id finns i -TrustedAuthServId, annars endast plausibelt eller obestyrkt, se AuthTrust. Därutöver tillkommer DMARC-alignment, hybridklassificeringen för Exchange Online, spamfiltrens bedömningar och en lista över avvikelser.

Cmdleten utför inga DNS-frågor och öppnar ingen nätverksanslutning. Spf, Dkim, Dmarc och Arc är därför alltid den mottagande serverns omdöme. DKIM- och ARC-signaturer beräknas inte kryptografiskt på nytt; för ARC-kedjan kontrollerar cmdleten endast strukturen (ArcStructure).

Indata läses tolerant: En tom rad avslutar huvudet, efterföljande meddelandetext ignoreras. Rader utan fältnamn och utan inledande blanksteg, som kan uppstå vid kopiering från klientdialoger, hör till föregående fält. En mbox-avgränsningsrad From ... före det första fältet hoppas över och en Byte Order Mark tas bort. Högst 200 Received-rader analyseras, räknat från leveransen.

Exempel

Exempel 1

Get-MailHeaderAnalysis -FromClipboard

Analyserar huvudet som finns i urklipp. I Outlook för Windows hittar du huvudet under Arkiv, Egenskaper, Internethuvuden; i Outlook på webben under meddelandealternativen, ”Visa meddelandeinformation”.

Subject     : Service-Report für März
From        : Beispiel Newsletter <news@example.org>
Date        : 2026-08-03 09:14:27Z
SPF         : pass
DKIM        : pass
DMARC       : pass
ARC         : -
CompAuth    : pass (reason 100)
AuthTrust   : Absent (no authserv-id, Microsoft 365 style)
Hops        : 3 (total 00:00:42)
DeliveredBy : zr0p278mb0570.chep278.prod.outlook.com
Findings    : none

Exempel 2

Get-MailHeaderAnalysis -Path .\nachricht.eml

Analyserar ett sparat meddelande. Filen får innehålla endast huvudet eller hela meddelandet; meddelandetexten ignoreras.

Exempel 3

(Get-MailHeaderAnalysis -Path .\nachricht.eml).Hops

Visar leveranskedjan som tabell, med första hoppet först.

#   From                 IP              By                                     Protocol   TLS      Time (UTC)           Delay
-   ----                 --              --                                     --------   ---      ----------           -----
1   client.example.net   198.51.100.34   mail.example.org                       ESMTPSA    -        2026-08-03 09:14:28  -
2   mail.example.org     203.0.113.25    mx.eur02.prod.protection.outlook.com   Microsoft… TLS 1.3  2026-08-03 09:15:09  41 s
3   AM0EUR02FT056.eop…   -               ZR0P278MB0570.CHEP278.PROD.OUTLOOK.COM Microsoft… TLS 1.2  2026-08-03 09:15:10  1 s

Exempel 4

Get-Content -Path .\header.txt | Get-MailHeaderAnalysis | Select-Object -ExpandProperty Findings

Läser huvudet rad för rad från en textfil och visar endast avvikelserna. -Raw för Get-Content behövs inte, eftersom cmdleten själv sammanfogar raderna.

Exempel 5

Get-ChildItem -Path .\export\*.eml |
    Get-MailHeaderAnalysis |
    Select-Object Source, Subject, Spf, Dkim, Dmarc, AuthTrust, HopCount,
        @{ Name = 'Findings'; Expression = { ($_.Findings.Code | Sort-Object -Unique) -join ',' } } |
    Export-Csv -Path .\auswertung.csv -NoTypeInformation -Encoding UTF8

Analyserar alla meddelanden i en mapp och skriver en CSV-fil med en rad per meddelande. Den beräknade kolumnen sammanfattar Finding-koderna.

Exempel 6

Get-ChildItem .\export\*.eml |
    Get-MailHeaderAnalysis -TrustedAuthServId 'mx.example.org' |
    Where-Object AuthTrust -ne 'Trusted' |
    Select-Object Source, AuthTrust, AuthServId, DeliveredBy

Listar meddelanden vars kontrollresultat inte kommer från den egna inkommande gatewayen mx.example.org. Vid phishinganalyser är det ett första filter. Utan -TrustedAuthServId går det bara att filtrera på Unmatched; en förfalskning som även innehåller en matchande Received-rad visas då som Matched och passerar filtret.

Exempel 7

$a = Get-MailHeaderAnalysis -Path .\nachricht.eml
$a.Hops[$a.SlowestHopIndex - 1] | Format-List Index, FromHost, ByHost, Delay

Visar stationen med den största fördröjningen. SlowestHopIndex är 1-baserad, arrayen Hops är 0-baserad.

Exempel 8

Get-MailHeaderAnalysis -Path .\nachricht.eml | ConvertTo-Json -Depth 6 | Set-Content .\analyse.json

Skriver den fullständiga analysen som JSON. -Depth 6 krävs eftersom Hops, DkimSignatures och Exchange är kapslade objekt; standardvärdet 2 skulle endast visa dem som typnamn.

Parametrar

-Header

Huvudet som text. Parametern tar emot en enskild sträng med hela huvudet eller flera strängar; pipelineindata samlas in och sammanfogas till ett huvud i slutet, därför fungerar Get-Content datei | Get-MailHeaderAnalysis utan -Raw. Om flera huvuden ska analyseras separat använder du -Path med flera filer.

Alias: Text, Raw, InputObject

-Path

Sökväg till en fil som innehåller huvudet eller ett fullständigt .eml-meddelande. Relativa sökvägar löses mot den aktuella katalogen. Filen läses med [System.IO.File]::ReadAllText: en Byte Order Mark beaktas, utan BOM används UTF-8. Varje fil ger ett eget resultatobjekt; saknade filer ger ett icke-avbrytande fel.

Alias: FullName, PSPath, LiteralPath

-FromClipboard

Läser huvudet från urklipp med Get-Clipboard -Raw. Parametern är endast tillgänglig i Windows; på Linux och macOS avbryts cmdleten med ett felmeddelande, likaså om urklipp är tomt.

-TrustedAuthServId

De authserv-id:n som din inkommande gateway skriver i Authentication-Results, till exempel mx.example.org. Cmdleten jämför exakt, utan hänsyn till versaler/gemener och utan subdomäner. Kontrollrader med ett av dessa ID:n får AuthTrust = Trusted, och endast de inkluderas sedan i Spf, Dkim, Dmarc och Arc. Detsamma gäller receiver= i en Received-SPF-rad.

Resultatet är endast så tillförlitligt som gatewayen: Den måste ta bort inkommande Authentication-Results-rader som gör anspråk på dess egen authserv-id (RFC 8601, avsnitt 5). Om den gör det går inte att utläsa från ett huvud. Om två rader med betrott ID motsäger varandra rapporterar cmdleten AuthTrustedConflict. Microsoft 365 skriver ingen authserv-id i sin kontrollrad; om Exchange Online tar emot ditt e-postmeddelande ska parametern utelämnas.

För en hel session kan värdet sparas som standard, exempelvis i PowerShell-profilen:

$PSDefaultParameterValues['Get-MailHeaderAnalysis:TrustedAuthServId'] = 'mx.example.org'

Indata

System.String: huvudrader eller hela huvudet, till -Header.

System.IO.FileInfo: filobjekt från Get-ChildItem, vars FullName binds till -Path.

Utdata

MailHeaderAnalyzer.Analysis: ett objekt per analyserat huvud. Egenskaperna beskrivs i avsnittet Utdataobjekt.

Anmärkningar

Analysetexten (förklaringar i Findings, CompAuthReasonMeaning och betydelsefälten) är på engelska, så att den kan användas oförändrad i internationella ärenden. Utdata i standardvyn kan visas fullständigt med Format-List *.

ConvertTo-MailHeaderReport

Skapar en rapport som Markdown eller text från ett analysobjekt.

Syntax

ConvertTo-MailHeaderReport
    [-Analysis] <Object>
    [-Format <String>]
    [<CommonParameters>]

Beskrivning

Rapporten omfattar ämne, avsändare, datum och Message-ID, autentiseringsresultaten med ursprungsuppgift och alignment, alla Findings, leveranskedjan, Exchange-klassificeringen och spamfiltrens värden. Unicode-styrtecken för skrivriktning förblir synliga i rapporten som <U+...>, så att de inte överförs via rapporten till ett ärendesystem. Den sista raden anger modulversionen.

Exempel

Exempel 1

Get-MailHeaderAnalysis -Path .\nachricht.eml | ConvertTo-MailHeaderReport | Set-Clipboard

Skapar en Markdown-rapport och lägger den i urklipp.

# Email header analysis

- Subject: Service-Report für März
- From: Beispiel Newsletter <news@example.org>
- Date: 2026-08-03T09:14:27Z
- Message-ID: <20260803091427.4Wq2Wx5RbTz@mail.example.org>

## Authentication

- spf: pass
- dkim: pass
- dmarc: pass
- compauth: pass (reason=100: passed authentication)
- Results without authserv-id (Microsoft 365 style)
- DMARC alignment: SPF Strict, DKIM Strict

## Delivery chain (total: 42 s)

| # | From | By | Protocol | TLS | Time (UTC) | Delay |
|---|---|---|---|---|---|---|
| 1 | client.example.net (198.51.100.34) | mail.example.org | ESMTPSA | - | 2026-08-03T09:14:28Z | - |
| 2 | mail.example.org (203.0.113.25) | mx.eur02.prod.protection.outlook.com | Microsoft SMTP Server | TLS 1.3 | 2026-08-03T09:15:09Z | 41 s |
| 3 | AM0EUR02FT056.eop-EUR02.prod.protection.outlook.com | ZR0P278MB0570.CHEP278.PROD.OUTLOOK.COM | Microsoft SMTP Server | TLS 1.2 | 2026-08-03T09:15:10Z | 1 s |

Exempel 2

Get-MailHeaderAnalysis -FromClipboard | ConvertTo-MailHeaderReport -Format Text

Ger ut rapporten som text utan Markdown-formatering, exempelvis för e-post eller konsolloggar.

Exempel 3

Import-Module MailHeaderAnalyzer
Get-MailHeaderAnalysis -Path 'C:\Temp\bounce.eml' | ConvertTo-MailHeaderReport -Format Text

Användning i Exchange Management Shell. Om $env:PSModulePath där är begränsad av grupprinciper laddar du modulen med Import-Module och den fullständiga sökvägen till .psd1-filen.

Parametrar

-Analysis

Analysobjektet från Get-MailHeaderAnalysis. Cmdleten avvisar andra objekttyper med ett bindningsfel.

-Format

Utdataformatet. Giltiga värden:

• Markdown: rubriker, punktlistor och leveranskedjan som tabell. Standard.
• Text: rubriker med versaler, indragna rader, leveranskedjan som numrerad lista.

Indata

MailHeaderAnalyzer.Analysis: resultatet från Get-MailHeaderAnalysis.

Utdata

System.String: rapporten, en sträng per analysobjekt.

Utdataobjekt

Get-MailHeaderAnalysis returnerar ett objekt av typen MailHeaderAnalyzer.Analysis per indata. Standardvyn visar sammanfattningen från exempel 1; alla egenskaper är tillgängliga via Select-Object, Format-List * eller ConvertTo-Json.

MailHeaderAnalyzer.Analysis

MailHeaderAnalyzer.Hop

Varje post i Hops motsvarar en Received-rad. Ordningen är kronologisk och alltså omvänd mot ordningen i huvudet.

AuthTrust: kontrollresultatens ursprung

En Authentication-Results-rad kan varje avsändare själv skriva i ett meddelande, likaså en matchande Received-rad. Därför går det inte att styrka enbart från huvudet vem som skrev en kontrollrad. Enligt RFC 8601, avsnitt 5, är endast den rad styrande vars authserv-id den mottagande organisationen känner som sitt eget, och den inkommande gatewayen måste ta bort inkommande rader med detta ID. Cmdleten tillämpar denna regel med -TrustedAuthServId. Utan denna parameter jämför den authserv-id endast med by-värdarna i Received-kedjan (samma domän eller subdomän, alltid vid punktgränsen, ingen delsträng); detta är en plausibilitetskontroll.

Om huvudet innehåller kontrollrader från flera ursprung rapporterar Finding AuthMixedOrigins detta. Om en kontrollrad saknas men en Received-SPF-rad finns, tas dess resultat över som Spf och märks med ReceivedSpfOnly.

Med -TrustedAuthServId tillkommer två Findings: AuthNotTrusted, om ingen kontrollrad har en betrodd ID, och AuthTrustedConflict, om två sådana rader rapporterar olika resultat för spf, dmarc, arc eller compauth. Det andra fallet innebär att minst en rad inte kommer från gatewayen och att gatewayen inte har tagit bort den. Cmdleten använder då den översta raden; det går inte att avgöra från huvudet vilken av de två som är äkta. DKIM undantas från jämförelsen eftersom flera signaturer legitimt kan ha olika resultat.

ARC-kedja: struktur och omdöme

För ARC ger cmdleten två separata uppgifter. Arc är resultatet arc= från den styrande kontrollraden, alltså mottagarens omdöme som har kontrollerat kedjans signaturer. ArcStructure är modulens egen kontroll och gäller endast strukturen enligt RFC 8617: löpande instansnummer i=1 till i=n (högst 50), exakt en ARC-Seal, en ARC-Message-Signature och en ARC-Authentication-Results per instans, samt cv=none i instans 1 och cv=pass i alla efterföljande. Modulen beräknar inte om signaturer; Consistent säger därför inget om huruvida kedjan är äkta. Avvikelser anges i ArcStructureIssues och i Finding ArcStructureInconsistent.

Uppgifterna i ARC-Authentication-Results är påståenden från respektive vidarebefordran. Finding DkimBrokenAfterForward klassar därför ett DKIM-fel som följd av vidarebefordran endast om mottagaren själv rapporterar arc=pass och en tidigare instans har registrerat ett DKIM-pass för samma domän.

DMARC-alignment

SpfAlignment jämför kuvertavsändardomänen med From-domänen, DkimAlignment jämför d=-domänen i den kontrollerade signaturen med From-domänen. Strict betyder identisk domän, Relaxed samma organisationsdomän, None ingen överensstämmelse. Organisationsdomänen bestäms heuristiskt: de två sista etiketterna, och för kända sammansatta ändelser som co.uk eller com.au de tre sista. En fullständig Public Suffix List ingår inte.

MailHeaderAnalyzer.ExchangeClassification

Om huvudet innehåller fälten X-MS-Exchange-Organization-*, X-OriginatorOrg eller X-MS-Exchange-CrossTenant-*, fyller cmdleten egenskapen Exchange. Betydelserna följer Exchange-teamets artikel ”Demystifying hybrid mail flow”; bakgrunden beskrivs i artikeln Exchange Hybrid Headers: internt eller externt?.

MailHeaderAnalyzer.SpamAssessment

Egenskapen Spam sammanfattar de kända filtrens bedömningar. Värdena kommer från externa system och avkodas, men värderas inte.

Den fullständiga listan över compauth-Reason Codes finns i artikeln Microsoft 365 compauth: Reason Codes.

Findings

Cmdleten ger avvikelser som objekt i Findings, vardera med Severity (Info, Warning, Fail), en stabil Code för filter och skript samt en förklaring i Message.

Funktion och begränsningar

Modulen läser vad som står i huvudet och drar därifrån slutsatser om vad som kan styrkas utan externa frågor. Detta medför några begränsningar:

• Ingen kryptografisk kontroll. DKIM- och ARC-signaturer beräknas inte om och DNS-poster efterfrågas inte. Spf, Dkim, Dmarc och Arc är alltid den mottagande serverns omdöme; ArcStructure kontrollerar endast kedjans struktur.
• Ursprung kan styrkas endast med gatewaykännedom. Utan -TrustedAuthServId är AuthTrust en plausibilitetskontroll. Med parametern beror uppgiften på att gatewayen tar bort främmande kontrollrader med sin authserv-id; modulen kan inte kontrollera detta.
• Endast den sista Received-raden är styrkt. Alla rader under den har avsändaren skickat med och kan ha utformats godtyckligt. Attested markerar denna skillnad; fördröjningarna för tidigare hopp baseras på uppgifterna i dessa rader.
• Organisationsdomäner är heuristiska. För Relaxed Alignment använder modulen en kort lista över sammansatta ändelser, inte en fullständig Public Suffix List.
• AuthMechanism är bara delvis dokumenterat. Förutom värdet 10 har Microsoft inte publicerat koderna; modulen hittar inte på några betydelser.
• Teckenkodningar. RFC 2047-värden avkodas med de kodningar som .NET känner till på respektive system. Okända teckenkodningar lämnas oförändrade.

Dataskydd

Ett fullständigt huvud innehåller interna värdnamn, IP-adresser, avsändare, mottagare och ämne. Varför dessa uppgifter inte hör hemma i ett onlineverktyg förklaras i artikeln Analysera e-posthuvuden utan att ladda upp e-postmeddelandet. Samma löfte gäller modulen som för webbläsarversionen: ingen nätverksåtkomst. Modulens testsvit innehåller ett test som misslyckas så snart ett nätverks- eller DNS-cmdlet förekommer i källkoden.

Källkod och versioner

Källkoden finns under MIT-licens på GitHub. Analyslogiken är en portning av biblioteket som även används av Header Analyzer på denna webbplats; båda delar testfallen. Continuous Integration kontrollerar varje ändring med PSScriptAnalyzer och Pester på Windows PowerShell 5.1, PowerShell 7 på Windows, Ubuntu och macOS. Publiceringar i PowerShell Gallery sker automatiskt från versionsmärkta taggar; ändringarna per version finns i Changelog.

Version 0.2.0 från den 26 september 2026 skärpte ursprungsmodellen efter en granskningsanmärkning från @saltyslugga: parametern -TrustedAuthServId, nivån Trusted, Matched endast som plausibilitet. Egenskapen ArcValid har tagits bort och ersatts av ArcStructure och ArcStructureIssues; skript som analyserar ArcValid måste anpassas.

Jag tar emot felrapporter och förbättringsförslag som Issue på GitHub. Anonymisera testhuvuden för felrapporter i förväg; de medföljande testfallen använder endast exempeldomäner enligt RFC 2606 och adresser enligt RFC 5737.