Komt een e-mail te laat aan, belandt hij in de map Ongewenste e-mail of twijfel je of hij echt van de afzender komt? De berichtkop (header) vertelt het hele verhaal: langs welke servers het bericht ging, hoe lang elke stap duurde, of SPF, DKIM en DMARC in orde waren en waarom Microsoft het als spam beoordeelde. Die kop is lang en onleesbaar, maar met de Message Header Analyzer zie je in een paar seconden waar het misloopt.
Wanneer gebruik je het?
- Een e-mail komt met uren vertraging binnen.
- Een bericht van een klant of leverancier belandt telkens in spam of quarantaine.
- Je vermoedt phishing of spoofing: de naam klopt, maar het adres of de server niet.
- Je hebt net SPF, DKIM of DMARC ingesteld en wilt controleren of het werkt.
Gebruik altijd de kop uit de mailbox van de ontvanger. De kopie in Verzonden items bevat die informatie niet. Kwam het bericht helemaal niet aan, dan heb je niets aan de kop en gebruik je de berichttracering in het Exchange-beheercentrum.
1. De berichtkop kopiëren
- Nieuwe Outlook en Outlook op het web: open de e-mail > Meer acties (...) > Weergeven > Berichtdetails weergeven.
- Klassieke Outlook voor Windows: open de e-mail in een apart venster > Bestand > Eigenschappen. De kop staat onderaan bij Internetkoppen.
- Doorgestuurd bericht: vraag de ontvanger om het bericht als bijlage door te sturen, dan blijft de originele kop bewaard.
Klik in het tekstvak, selecteer alles met Ctrl+A en kopieer met Ctrl+C.
2. Analyseren
- Ga naar mha.azurewebsites.net, de webversie van de Message Header Analyzer van Microsoft. Dezelfde analyse zit ook in de Microsoft Remote Connectivity Analyzer. Gebruik je de tool vaak, installeer dan de invoegtoepassing Message Header Analyzer in Outlook, zodat je de kop niet meer hoeft te kopiëren.
- Plak de kop en klik op Analyze headers.
3. Wat lees je?
Received headers
Alle servers die het bericht doorgaf, met de vertraging per stap. Zie je ergens minuten of uren vertraging, dan weet je bij welke server (de afzender, een extern filter of Microsoft) het probleem zit.
SPF, DKIM en DMARC
- SPF: mag de verzendende server namens het domein mailen?
- DKIM: is het bericht ondertekend en onderweg niet gewijzigd? Voor je eigen domein zet je dat aan zoals in DKIM activeren in Microsoft 365.
- DMARC: passen SPF of DKIM bij het domein in het Van-adres? Een fail wijst op vervalsing of een verkeerde instelling.
- compauth: de samengestelde beoordeling van Microsoft.
compauth=passis goed,failbetekent dat Microsoft de afzender niet vertrouwt.
De antispamkop
In X-Forefront-Antispam-Report en X-Microsoft-Antispam vind je onder meer:
- SCL (Spam Confidence Level): van
-1(filter overgeslagen) tot9. Vanaf5beschouwt Microsoft het bericht als spam. - BCL (Bulk Complaint Level): hoe waarschijnlijk het om bulkmail zoals nieuwsbrieven gaat.
- SFV: de uitkomst van het filter, bijvoorbeeld
SPM(spam),NSPM(geen spam) ofSKA(overgeslagen omdat de afzender toegestaan is). - CAT: de categorie, zoals
PHSHvoor phishing ofSPOOFvoor vervalsing.
Wat doe je met het resultaat?
- SPF- of DKIM-fail bij je eigen domein: voeg de ontbrekende verzenddienst (bijvoorbeeld een nieuwsbrieftool) toe aan je SPF-record, of laat die dienst met DKIM ondertekenen.
- Legitieme afzender in spam: laat de afzender eerst zijn SPF, DKIM en DMARC in orde brengen. Moet het echt nu werken, lees dan hoe je een e-maildomein veilig toestaat.
- Vervalste afzender: meld het bericht als phishing en blokkeer het domein of adres.
Veelgestelde vragen
Is het veilig om een kop in een website te plakken?
De Message Header Analyzer is een open-sourceproject van Microsoft. Een kop bevat wel e-mailadressen en IP-adressen, dus plak hem niet in willekeurige tools.
Kan ik de kop van een verzonden e-mail analyseren?
Nee, dat geeft weinig informatie. Vraag de ontvanger om de kop of om het bericht als bijlage.
Werkt het ook voor Gmail of andere diensten?
Ja, de tool leest elke standaard e-mailkop. Alleen de Microsoft-specifieke antispamvelden ontbreken dan.