Aggiornato il 14 novembre 2026
Le intestazioni email (header) sono le righe tecniche che accompagnano ogni messaggio: dicono chi dichiara di averlo inviato, da quali server è passato, a che ora e se ha superato i controlli SPF, DKIM e DMARC. In Gmail le vedi dal menu ⋮ con «Mostra originale»; in Outlook dal menu … con «Visualizza» e poi «Visualizza dettagli messaggio».
Ti dicono da quale server e da quale dominio arriva davvero un messaggio. Quasi mai, però, chi è la persona che lo ha scritto.
Cosa sono le intestazioni di un’email?
Ogni email ha due parti: le intestazioni e il corpo. Alcune intestazioni le vedi sempre (mittente, destinatario, oggetto, data); le altre il programma di posta le nasconde. Una parte la scrive il programma di chi invia, il resto lo aggiungono i server che consegnano il messaggio: ognuno inserisce una riga «Received» sopra le precedenti.
Il formato è fissato da standard pubblici: la RFC 5322 per la struttura del messaggio e la RFC 5321 per il trasporto via SMTP.
Come vedere le intestazioni in Gmail, Outlook, Apple Mail e Libero
Ovunque ottieni un testo lungo con le intestazioni in cima. Le voci dei menu possono cambiare un po’ con gli aggiornamenti.
Gmail (da browser)
- Apri il messaggio.
- Fai clic sui tre puntini verticali (⋮) in alto a destra, accanto alla freccia per rispondere.
- Scegli Mostra originale.
Si apre una nuova scheda: in alto un riepilogo con l’esito di SPF, DKIM e DMARC, sotto il testo completo, che puoi copiare o scaricare. Se nell’app per smartphone non trovi la voce, apri Gmail dal browser del computer.
Outlook sul web, Outlook.com e nuovo Outlook per Windows
- Apri il messaggio.
- Fai clic sui tre puntini (…) in alto a destra nel messaggio.
- Scegli Visualizza e poi Visualizza dettagli messaggio.
Outlook classico per Windows
- Apri il messaggio con un doppio clic, in una finestra separata.
- Vai su File e poi Proprietà.
- Le intestazioni sono nel riquadro Intestazioni Internet, in basso.
Apple Mail (Mac)
Seleziona il messaggio e scegli Vista → Messaggio → Tutte le intestazioni (Maiusc-Cmd-H). Per il sorgente completo usa Opzione-Cmd-U. Su iPhone e iPad l’app Mail non mostra le intestazioni complete: usa il Mac o la webmail del tuo provider.
Libero Mail
Apri il messaggio dalla webmail e cerca, tra le azioni del messaggio, l’opzione per visualizzare il sorgente o l’originale. Si apre il testo completo, con le intestazioni in cima.
Thunderbird
Seleziona il messaggio e premi Ctrl+U (Cmd+U su Mac): si apre il sorgente con tutte le intestazioni.
Quali campi delle intestazioni contano davvero?
Non serve leggere tutto, bastano pochi campi: From, Reply-To e Return-Path per gli indirizzi, Received per il percorso, Authentication-Results per SPF, DKIM e DMARC, Message-ID e Date per i dettagli. Il resto sono informazioni tecniche per i server.
| Campo | Cosa dice | Cosa controllare |
|---|---|---|
From |
Il mittente che vedi. Lo scrive chi invia, quindi si può falsificare | Il dominio dopo la @ è quello ufficiale? Il nome visualizzato corrisponde all’indirizzo? |
Reply-To |
L’indirizzo a cui va la risposta quando premi «Rispondi» | Un dominio diverso dal From può avere motivi legittimi; nel phishing serve a deviare le risposte |
Return-Path |
L’indirizzo che riceve i mancati recapiti (il mittente «di busta» della sessione SMTP) | Le piattaforme di invio usano spesso un proprio dominio. Diverso dal From e con DMARC fail: segnale forte |
Received |
Una riga per ogni server attraversato, con nome, indirizzo IP e ora | Leggile dal basso verso l’alto. Le più affidabili sono quelle aggiunte dal tuo provider |
Message-ID |
L’identificativo unico del messaggio, assegnato dal sistema che lo ha creato | Il dominio dopo la @ indica spesso quel sistema: se non c’entra con il From, è un indizio |
Date |
Data e ora dichiarate da chi invia | Confrontala con gli orari delle righe Received: può essere falsa |
Authentication-Results |
L’esito dei controlli fatti dal server che ha ricevuto: spf=, dkim=, dmarc= |
dmarc=pass conferma che il dominio del From ha autorizzato il messaggio |
ARC-Seal, ARC-Authentication-Results |
Conservano l’esito dei controlli quando il messaggio viene inoltrato, per esempio da una mailing list | Spiegano perché un messaggio inoltrato può fallire SPF e arrivare lo stesso |
X-… (X-Mailer, X-Spam-Status…) |
Campi non standard aggiunti da programmi e server | Danno indizi, come il punteggio antispam, ma chi invia può inventarli |
SPF, DKIM e DMARC: cosa significano pass e fail
- SPF controlla se il server che ha consegnato il messaggio è autorizzato dal dominio del Return-Path, non da quello del From.
failvuol dire non autorizzato,softfailprobabilmente non autorizzato. - DKIM controlla una firma crittografica:
passvuol dire che il dominio indicato ind=ha firmato il messaggio e che il contenuto firmato non è cambiato. - DMARC dà
passsolo se SPF o DKIM passano con un dominio allineato a quello del From. Per capire se il From è autentico, è il risultato che conta di più.
Se invii newsletter, manda una prova a una casella Gmail e apri «Mostra originale»: vedi subito se i tre controlli passano. Per configurarli c’è la nostra guida a SPF, DKIM e DMARC.
Come leggere la catena «Received» e trovare il server di origine?
Ogni server che passa il messaggio aggiunge una riga Received in cima. La riga più in alto è quindi l’ultima, scritta dal tuo provider, e quella più in basso è la prima. Parti dal basso e, per ogni riga, guarda from (chi ha consegnato), by (chi ha ricevuto), l’indirizzo IP tra parentesi quadre e l’ora.
- Individua in alto le righe aggiunte dai server del tuo provider: sono quelle di cui ti puoi fidare.
- Scendi fino alla prima riga in cui un server del tuo provider (
by) riceve il messaggio da un server esterno (from). Quel server esterno, con il suo IP, è il dato più solido sul mittente. - Le righe più in basso le hanno scritte i server del mittente: possono essere vere, ma un truffatore può anche inventarle.
- Controlla gli orari, tenendo conto dei fusi (
+0100è l’ora italiana d’inverno,+0000l’ora UTC). Salti di ore o date incoerenti indicano ritardi o righe false.
Esempio: un’email di phishing analizzata
Mario riceve un’email che sembra della sua banca. Ecco le intestazioni principali (dati inventati: domini di esempio e indirizzi IP riservati alla documentazione).
Return-Path: <bounce-7731@mailer.example.net>
Delivered-To: mario.rossi@example.it
Received: from mx1.example.it (mx1.example.it [198.51.100.10])
by mailbox.example.it with LMTP
for <mario.rossi@example.it>; Thu, 12 Nov 2026 09:14:26 +0100
Authentication-Results: mx1.example.it;
spf=pass (domain of bounce-7731@mailer.example.net designates
203.0.113.45 as permitted sender) smtp.mailfrom=mailer.example.net;
dkim=none;
dmarc=fail (p=QUARANTINE dis=QUARANTINE) header.from=example.com
X-Spam-Status: Yes, score=7.4 required=5.0
Received: from smtp.mailer.example.net (smtp.mailer.example.net [203.0.113.45])
by mx1.example.it (Postfix) with ESMTPS id 8C3D2200A1
for <mario.rossi@example.it>; Thu, 12 Nov 2026 09:14:25 +0100
Received: from [192.0.2.77] (unknown [192.0.2.77])
by smtp.mailer.example.net (Postfix) with ESMTPSA id 4F2A81C0042
for <mario.rossi@example.it>; Thu, 12 Nov 2026 08:14:21 +0000
From: "Banca Esempio - Sicurezza" <sicurezza@example.com>
Reply-To: assistenza-clienti@example.org
To: mario.rossi@example.it
Subject: Accesso bloccato: verifica subito il tuo conto
Date: Thu, 12 Nov 2026 09:14:19 +0100
Message-ID: <20261112081419.4F2A81C0042@smtp.mailer.example.net>Ecco come leggerle, dal basso verso l’alto:
- Primo Received (il più in basso). Il messaggio parte da un dispositivo con IP 192.0.2.77, che si autentica sul server smtp.mailer.example.net (
ESMTPSAindica un invio autenticato). Questa riga l’ha scritta il server del mittente. - Secondo Received. smtp.mailer.example.net (203.0.113.45) consegna il messaggio a mx1.example.it, il server di posta di Mario. È il primo passaggio registrato dal suo provider, quindi il dato più affidabile: il messaggio arriva da example.net, non dalla banca (example.com). Gli orari tornano: le 08:14:21 UTC sono le 09:14:21 in Italia.
- Authentication-Results.
spf=pass, ma per mailer.example.net, non per il dominio della banca. Non c’è firma DKIM.dmarc=failper example.com: il dominio del From non ha autorizzato il messaggio. - Reply-To. Punta a example.org: le risposte di Mario finirebbero a un terzo dominio.
- Message-ID e X-Spam-Status. Il Message-ID è stato creato da smtp.mailer.example.net, non dalla banca, e il filtro antispam ha già segnalato il messaggio.
Conclusione: il From è falsificato. La banca pubblica una policy DMARC «quarantine», per questo il messaggio è finito nello spam. Con una policy «reject», di norma, non sarebbe nemmeno arrivato.
Come riconoscere phishing e spoofing dalle intestazioni?
Cerca le incongruenze tra quello che il messaggio dichiara e quello che i server hanno registrato. Il segnale più forte è dmarc=fail su un messaggio che dice di arrivare da un’azienda nota. Nessun segnale, da solo, è una prova: valutali insieme.
- From e Return-Path con domini diversi, insieme a DMARC che non passa.
spf=fail,softfailodmarc=failper il dominio che dice di inviare.- Reply-To verso un dominio che non c’entra o verso una casella gratuita.
- Domini simili a quelli veri: examp1e.com (un 1 al posto della l), exarnple.com («rn» al posto della m) o example.com.verifica-conto.example, dove il dominio reale è verifica-conto.example.
- Nome visualizzato credibile con un indirizzo che non c’entra, come «Banca Esempio» <assistenza1977@example.net>.
Se hai dubbi, non cliccare sui link e contatta l’azienda dai suoi canali ufficiali. Gli altri controlli sono nella nostra guida per riconoscere le email false. Puoi anche controllare se l’indirizzo del mittente o del Reply-To esiste con il verificatore email di VerificarEmails, senza inviare nulla. Ma un indirizzo che esiste non è per forza affidabile.
Cosa le intestazioni non possono dirti?
Le intestazioni identificano server e domini, non persone: dicono da quale server è partito un messaggio e se il dominio del mittente lo ha autorizzato, non chi lo ha scritto.
- Non rivelano l’identità di chi scrive. I dati dell’account li conosce solo il provider, che li fornisce nei casi previsti dalla legge, per esempio su richiesta dell’autorità giudiziaria.
- La geolocalizzazione di un IP è approssimativa. Di solito indica il provider di rete e una zona, spesso non la città giusta. VPN e proxy la falsano del tutto.
- Molti servizi di webmail, come Gmail, non mostrano l’IP del dispositivo di chi scrive. Vedrai solo i server del provider.
- Le righe aggiunte prima dei server del tuo provider possono essere false, come Date e i campi X-.
Strumenti per analizzare le intestazioni
Se il testo è lungo, incollalo in Messageheader di Google Admin Toolbox: mostra i passaggi tra i server in ordine e il ritardo di ciascuno. Microsoft offre uno strumento simile, Message Header Analyzer.
Domande frequenti
Come vedo le intestazioni di un’email su Gmail?
Apri il messaggio da browser, fai clic sui tre puntini verticali (⋮) accanto alla freccia per rispondere e scegli «Mostra originale». Si apre una scheda con un riepilogo di SPF, DKIM e DMARC e, sotto, il testo completo delle intestazioni, che puoi copiare o scaricare per analizzarlo.
Dalle intestazioni posso scoprire chi mi ha scritto?
Puoi scoprire da quale server e da quale dominio arriva il messaggio, e se il mittente dichiarato è autentico. Non puoi scoprire nome e identità della persona: quei dati li ha solo il provider. In caso di truffa o molestie, conserva il messaggio originale e rivolgiti alla Polizia Postale.
Cosa significa «dmarc=fail» nelle intestazioni?
Significa che il messaggio non ha superato il controllo DMARC: né SPF né DKIM hanno confermato il dominio che compare nel From. Su un messaggio che dice di arrivare da una banca o da un’azienda nota, è il segnale più forte di un mittente falsificato.
Dove trovo l’indirizzo IP del mittente?
Nelle righe Received, tra parentesi quadre. Il dato più affidabile è l’IP del primo server esterno che ha consegnato il messaggio al tuo provider. Se il mittente usa una webmail come Gmail, di solito vedrai solo l’IP dei server del provider, non quello del suo dispositivo.
