Cabeçalho de e-mail: o que é, como ver e analisador grátis

O cabeçalho de e-mail é a parte da mensagem que você normalmente não vê: um bloco de linhas técnicas que registra quem enviou, por quais servidores a mensagem passou, quanto tempo ela ficou em cada um e se passou nas verificações de SPF, DKIM e DMARC. O seu programa de e-mail mostra só um resumo, com remetente, destinatário, assunto e data, mas o cabeçalho completo está sempre guardado junto com a mensagem.

Saber ler esse bloco resolve três dúvidas comuns: descobrir se um e-mail suspeito é golpe, entender por que uma mensagem foi parar no spam e ver onde um e-mail atrasado ficou parado. Neste guia, você vê como abrir o cabeçalho no Gmail, no Outlook e no Webmail, o que significa cada linha importante e como usar o analisador abaixo para fazer essa leitura automaticamente.

Analisador de cabeçalho de e-mail

Copie o cabeçalho completo da mensagem e cole no campo abaixo. O passo a passo de cada serviço está mais abaixo e também dentro da ferramenta, em “Como copiar o cabeçalho”. O analisador mostra se a mensagem passou no SPF, no DKIM e no DMARC, se cada verificação bate com o domínio do remetente, o caminho que ela fez entre os servidores e os sinais típicos de golpe. A análise acontece no seu navegador: o cabeçalho não é enviado para nenhum servidor.

O que é o cabeçalho de um e-mail

Todo e-mail tem duas partes: o cabeçalho e o corpo. O corpo é o texto, as imagens e os anexos. O cabeçalho é uma lista de campos no formato Nome: valor, um por linha, que vem antes do corpo.

Parte desses campos é escrita por quem envia: From (remetente), To (destinatário), Subject (assunto), Date (data) e Message-ID, um identificador único da mensagem. O resto é acrescentado no caminho. Cada servidor que recebe a mensagem e a repassa adiante coloca uma linha Received no topo do cabeçalho, e o servidor que entrega a mensagem na sua caixa registra o resultado das verificações de autenticação.

Por isso o cabeçalho funciona como um histórico da viagem do e-mail. Os campos escritos pelo remetente podem ser falsificados. Já as linhas acrescentadas pelo seu próprio provedor, que ficam no topo do cabeçalho, não podem ser alteradas por quem enviou.

Como ver o cabeçalho completo do e-mail

O caminho muda de um serviço para outro, mas a ideia é sempre a mesma: abrir a mensagem e procurar a opção de ver o original, o código-fonte ou os detalhes da mensagem.

Gmail (no computador)

1. Abra a mensagem.
2. Clique nos três pontinhos ao lado do botão Responder.
3. Escolha Mostrar original.
4. Na página que abre, clique em Copiar para a área de transferência e cole no analisador.

Outlook na web, Outlook.com e novo Outlook

1. Abra a mensagem.
2. Clique em Mais ações (os três pontinhos).
3. Vá em Exibir e depois em Exibir detalhes da mensagem.
4. Selecione todo o texto da janela e copie.

Outlook clássico (Windows)

1. Abra a mensagem com dois cliques, para ela aparecer em uma janela própria.
2. Clique em Arquivo e depois em Propriedades.
3. O cabeçalho fica na caixa Cabeçalhos da Internet. Clique dentro dela, selecione tudo com Ctrl+A e copie.

Webmail da Homehost (Roundcube)

1. Entre no Webmail e abra a mensagem.
2. Clique em Mais (os três pontinhos) e escolha Exibir código-fonte.
3. Copie a parte de cima, até a primeira linha em branco: ali termina o cabeçalho e começa o corpo da mensagem.

Thunderbird: selecione a mensagem e pressione Ctrl+U (Cmd+U no Mac). Copie o início do código-fonte, até a primeira linha em branco.

Mail do Mac: com a mensagem aberta, vá em Visualizar, Mensagem, Todos os Cabeçalhos.

No celular: os aplicativos do Gmail e do Mail do iPhone não mostram o cabeçalho completo. Abra a mensagem pelo navegador de um computador e siga os passos acima.

Um cuidado: o cabeçalho mostra o seu endereço de e-mail e os servidores da sua empresa. Se for pedir ajuda a alguém, envie só o cabeçalho, sem o corpo da mensagem.

As linhas mais importantes do cabeçalho

Um cabeçalho real pode ter dezenas de linhas, mas poucas importam para entender o que aconteceu com a mensagem. Estas são as principais:

Os campos que começam com X- são extras: cada serviço cria os seus, e eles não seguem um padrão único. O analisador reconhece os mais comuns, como o X-Spam-Status do SpamAssassin, o filtro de spam padrão dos servidores com cPanel, e o relatório antispam da Microsoft.

Como ler o caminho da mensagem

As linhas Received contam a viagem do e-mail, mas de trás para frente. Cada servidor acrescenta a sua linha no topo, então a de baixo é a do primeiro servidor, perto de quem enviou, e a de cima é a do servidor que entregou a mensagem para você.

Uma linha Received típica tem quatro partes:

Received: from mail.example.com (mail.example.com [198.51.100.24])
        by mx.google.com with ESMTPS id 5b1f17b1804b1;
        Tue, 20 Oct 2026 07:41:08 -0700 (PDT)

• from: o servidor que entregou a mensagem nesta etapa. O nome que vem logo depois de from é o que esse servidor disse ser. O IP entre colchetes é o que o servidor que recebeu viu de fato. Em caso de dúvida, confie no IP.
• by: o servidor que recebeu a mensagem nesta etapa.
• with: o protocolo usado. ESMTPS indica conexão criptografada com TLS.
• data e hora: quando a mensagem passou por ali, depois do ponto e vírgula.

Comparando os horários de uma linha para a outra, dá para ver onde a mensagem demorou. Diferenças de segundos são normais. Uma diferença de vários minutos ou horas indica que a mensagem ficou na fila de algum servidor, que não conseguiu repassá-la na hora e tentou de novo mais tarde. O artigo sobre códigos de erro de e-mail explica por que alguns e-mails chegam atrasados. Às vezes o horário de uma linha aparece antes do horário da linha anterior: nesse caso, os relógios dos dois servidores não estão acertados, e o atraso não dá para medir.

O IP do primeiro servidor externo, o que entregou a mensagem ao provedor de quem recebeu, é o IP de envio. É nele que os servidores de destino conferem o SPF e o DNS reverso. Para ver se esse IP tem um registro PTR que aponta de volta para ele, use o verificador de DNS reverso.

SPF, DKIM e DMARC: como ler o resultado

O resultado das três verificações fica na linha Authentication-Results, colocada pelo servidor que recebeu a mensagem. Ela costuma ser assim:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=default;
       spf=pass smtp.mailfrom=example.com;
       dmarc=pass (p=QUARANTINE) header.from=example.com

• spf=pass: o servidor que enviou está autorizado no registro SPF do domínio que aparece em smtp.mailfrom. Atenção: esse é o domínio do Return-Path, que nem sempre é o mesmo do remetente que você vê.
• dkim=pass: a assinatura digital confere, e a mensagem não foi alterada depois de assinada. O domínio que assinou aparece em header.d ou header.i.
• dmarc=pass: o SPF ou o DKIM passou para um domínio que bate com o do remetente (From). Essa correspondência se chama alinhamento, e é ela que impede alguém de usar o seu domínio no From enquanto envia por outro servidor.

É por causa do alinhamento que uma mensagem pode ter spf=pass e, mesmo assim, dmarc=fail. Isso acontece, por exemplo, quando você envia por uma plataforma de e-mail marketing que usa o próprio domínio no Return-Path e não assina com DKIM no seu domínio. O SPF passa, mas para o domínio da plataforma, e não para o seu.

Os outros resultados possíveis são:

• fail ou softfail: o servidor que enviou não está autorizado (no SPF) ou a assinatura não confere (no DKIM).
• none: o domínio não tem aquele registro, ou a mensagem não foi assinada.
• temperror: uma consulta de DNS falhou por um momento. Uma próxima mensagem pode passar.
• permerror: o registro está quebrado, por erro de sintaxe ou, no caso do SPF, por passar de 10 consultas de DNS.

Para entender a função de cada protocolo, veja o guia o que são SPF, DKIM e DMARC. Para conferir os registros do seu domínio, use o verificador de SPF, DKIM e DMARC.

Como saber se um e-mail é golpe pelo cabeçalho

O cabeçalho não diz sozinho se uma mensagem é golpe, mas mostra sinais que o resumo do programa de e-mail esconde. Estes são os mais comuns:

1. O nome de exibição mostra um endereço, e o remetente real é outro. Na linha From, o que vem entre aspas é só o nome de exibição; o endereço real é o que está entre os sinais de menor e maior. Num golpe, o nome imita o endereço do banco, e o endereço real é de um domínio sem relação com ele. Muitos programas mostram só o nome, e o golpe passa despercebido.
2. O Reply-To aponta para outro domínio. A mensagem diz vir da empresa, mas a resposta vai para um endereço de terceiros. É comum em newsletters e centrais de atendimento, mas também é um truque clássico para receber a resposta da vítima.
3. dmarc=fail num e-mail que diz vir de uma empresa conhecida. Empresas grandes costumam publicar DMARC. Uma falha num e-mail que diz vir do banco ou de uma loja conhecida é um sinal forte de falsificação.
4. O primeiro servidor do caminho não tem relação com a empresa. Se a mensagem diz vir de uma loja brasileira, mas a linha Received de baixo mostra um servidor desconhecido, desconfie.

Um alerta importante: passar nas três verificações não prova que o e-mail é legítimo. O golpista pode registrar um domínio parecido com o verdadeiro, trocando ou repetindo uma letra, e configurar SPF, DKIM e DMARC nele. O cabeçalho confirma de qual domínio a mensagem veio. Cabe a você conferir se é o domínio certo. O guia sobre phishing mostra outros sinais de golpe e o que fazer se você caiu em um.

O que o cabeçalho mostra quando o seu e-mail cai no spam

Se você envia e-mails pelo seu domínio e eles estão indo para o spam, o cabeçalho de uma mensagem que chegou lá mostra o motivo. Peça a um destinatário que copie o cabeçalho para você, ou envie um teste para uma conta sua no Gmail ou no Outlook, e cole no analisador. Os casos mais comuns são:

• spf=softfail ou spf=fail: o servidor que enviou não está no seu registro SPF. Acrescente o include do serviço que envia, ou o IP dele.
• dkim=none: a mensagem saiu sem assinatura DKIM. Na hospedagem com cPanel, o DKIM é ativado na mesma tela do SPF, como mostra o tutorial de como configurar SPF e DKIM no cPanel.
• dmarc=fail com spf=pass para outro domínio: a mensagem saiu por uma plataforma que usa o próprio Return-Path. A solução é configurar o DKIM do seu domínio nessa plataforma.
• dmarc=none: o seu domínio não tem registro DMARC. Monte o seu no gerador de registro DMARC.
• X-Spam-Status com nota alta: o filtro de spam lista as regras que a mensagem disparou, o que ajuda a ver se o problema está no conteúdo, nos links ou na autenticação.

Se a mensagem nem chegou e voltou com um aviso de erro, o código do aviso diz o motivo. Cole o aviso no decodificador do artigo sobre códigos de erro de e-mail.

Perguntas frequentes

O que é o cabeçalho de um e-mail?

É o bloco de linhas técnicas que vem antes do corpo da mensagem. Ele registra o remetente, o destinatário, o assunto e a data, e também o caminho que a mensagem fez entre os servidores e o resultado das verificações de SPF, DKIM e DMARC.

Como ver o cabeçalho de um e-mail no Gmail?

No computador, abra a mensagem, clique nos três pontinhos ao lado de Responder e escolha Mostrar original. A página que abre tem o cabeçalho completo e um botão para copiar.

Como ver o cabeçalho de um e-mail no Outlook?

No Outlook na web, no Outlook.com e no novo Outlook, abra a mensagem e vá em Mais ações, Exibir, Exibir detalhes da mensagem. No Outlook clássico, abra a mensagem em uma janela própria e vá em Arquivo, Propriedades. O cabeçalho fica na caixa Cabeçalhos da Internet.

Dá para ver o cabeçalho pelo celular?

Os aplicativos do Gmail e do Mail do iPhone não mostram o cabeçalho completo. O jeito é abrir a mensagem pelo navegador de um computador.

Como descobrir o IP de quem enviou um e-mail?

Leia as linhas Received de baixo para cima. O IP entre colchetes na linha do primeiro servidor externo é o IP de envio. Em mensagens enviadas pelo Gmail e por outros serviços de webmail grandes, esse costuma ser o IP do servidor do provedor, e não o da pessoa.

O cabeçalho de um e-mail pode ser falsificado?

Em parte. Os campos escritos por quem envia, como From, Reply-To e Date, podem ser falsificados, e até as linhas Received acrescentadas antes da mensagem chegar ao seu provedor podem ser inventadas. As linhas que o seu provedor acrescenta no topo, como a Authentication-Results, não podem ser alteradas por quem enviou.

O que significa dmarc=fail no cabeçalho?

Significa que nem o SPF nem o DKIM passaram para um domínio que bate com o do remetente. Pode ser uma mensagem falsificada ou um envio legítimo mal configurado, como uma plataforma de e-mail marketing sem o DKIM do seu domínio. O que acontece com a mensagem depende da política DMARC do domínio: none, quarantine ou reject.

É seguro colar o cabeçalho no analisador?

Sim. A análise acontece no seu navegador, e o cabeçalho não é enviado para nenhum servidor. Se for mandar o cabeçalho para outra pessoa analisar, envie só ele, sem o corpo da mensagem.

Conclusão

O cabeçalho de e-mail é o histórico completo de uma mensagem: de onde ela saiu, por onde passou, quanto tempo levou e se o domínio do remetente foi confirmado. Com o analisador, você não precisa decifrar linha por linha: basta copiar o cabeçalho, colar e ver o resultado do SPF, do DKIM e do DMARC, o caminho entre os servidores e os sinais de golpe.

Se o problema é com os e-mails que você envia, o cabeçalho aponta o que falta ajustar no seu domínio. No e-mail profissional da Homehost, o SPF, o DKIM e o DMARC já vêm configurados desde a contratação.