Jak czytać nagłówki e-mail i sprawdzić, czy wiadomość jest prawdziwa

10 lipca 2026 · 4 min czytania · zaktualizowano 29 września 2026

Każda wiadomość e-mail niesie ze sobą ukryte nagłówki - techniczne metadane, które pokazują, skąd naprawdę przyszła, jaką drogą do Ciebie dotarła i czy przeszła weryfikację nadawcy. Przydają się administratorom przy problemach z dostarczaniem poczty, ale też każdemu, kto chce sprawdzić, czy wiadomość „z banku” naprawdę jest z banku. Poniżej pokazujemy, gdzie je znaleźć i jak je czytać, na opisanym przykładzie.

Gdzie znaleźć surowe nagłówki?

Gmail: otwórz wiadomość → menu ⋮ → „Pokaż oryginał”.
Outlook w przeglądarce i nowy Outlook: otwórz wiadomość → menu ⋯ (Więcej akcji) → w części „Widok” opcja „Wyświetl szczegóły wiadomości”.
Klasyczny Outlook na komputerze: otwórz wiadomość → Plik → Właściwości → pole „Nagłówki internetowe”.
Apple Mail: Widok → Wiadomość → „Wszystkie nagłówki”.
Thunderbird: otwórz wiadomość i naciśnij Ctrl+U (na Macu Cmd+U).
Inne skrzynki (np. WP, Onet, Interia): szukaj w menu wiadomości opcji ze słowem „źródło” lub „oryginał”.

Skopiuj całość i wklej do analizatora nagłówków e-mail. Analiza odbywa się w Twojej przeglądarce, nic nie wysyłamy na serwer.

Co warto odczytać?

Authentication-Results - najważniejsze pole. Wyniki SPF, DKIM i DMARC (pass lub fail) mówią, czy wiadomość naprawdę pochodzi z domeny, którą widzisz w polu „Od”. dmarc=fail przy wiadomości „z banku” to poważny sygnał ostrzegawczy.
From i Reply-To - jeśli odpowiedź ma trafić na zupełnie inny adres niż nadawca (np. wiadomość „od firmy” z odpowiedzią na prywatną skrzynkę w innej domenie), to częsty znak oszustwa.
Return-Path - adres zwrotny dla błędów doręczenia. Różny od „Od” to norma przy newsletterach, fakturach i powiadomieniach z systemów wysyłkowych, więc sam w sobie nie jest ostrzeżeniem. Liczy się to, czy przechodzi DMARC.
Received - łańcuch serwerów, przez które przeszła wiadomość. Każdy serwer dopisuje swój wpis na górze, więc czyta się go od dołu do góry. Najbardziej wiarygodny jest najniższy z wpisów dodanych przez serwery Twojej poczty (np. z dopiskiem by mx.google.com): pokazuje adres, z którego wiadomość do nich przyszła. Wpisy poniżej niego dodali nadawca i jego serwery, więc mogą być sfałszowane. Duże odstępy czasu między przeskokami wskazują opóźnienia.

Przykład: nagłówek z objaśnieniami

Przykład ilustracyjny, z domenami i adresem z puli przeznaczonej do dokumentacji.

Authentication-Results: mx.google.com;
       spf=pass smtp.mailfrom=bounce.mailer.example.com;
       dkim=pass header.d=example.pl;
       dmarc=pass header.from=example.pl
Return-Path: <[email protected]>
From: Sklep Example <[email protected]>
Reply-To: [email protected]
Received: from out.mailer.example.com (out.mailer.example.com [192.0.2.25])
       by mx.google.com ...

spf=pass dotyczy domeny systemu wysyłkowego (mailer.example.com), a nie example.pl. To normalne, gdy sklep wysyła pocztę przez zewnętrzną firmę.
dkim=pass z header.d=example.pl i dmarc=pass potwierdzają, że wiadomość pochodzi od example.pl.
Return-Path jest inny niż From, a mimo to wszystko jest w porządku.
Reply-To zgadza się z nadawcą.

Dlaczego SPF może „przejść” dla innej domeny, a DMARC i tak jest zgodny, wyjaśniamy w poradniku SPF, DKIM i DMARC.

Jak sprawdzić w nagłówkach, czy wiadomość jest prawdziwa

Sprawdź wynik DMARC. dmarc=pass przy domenie, którą znasz, to dobry znak. fail albo brak DMARC przy wiadomości od dużej firmy - ostrożnie.
Porównaj From i Reply-To. Odpowiedź kierowana do innej domeny niż nadawca to typowy trik oszustów.
Zobacz, z jakiego serwera przyszła wiadomość (najniższy wpis Received dodany przez serwery Twojej poczty). Adres możesz sprawdzić w ASN Lookup: wiadomość „z polskiego banku” wysłana z przypadkowego serwera za granicą budzi wątpliwości.

Pamiętaj, że dmarc=pass potwierdza tylko domenę nadawcy, a nie jego uczciwość. Oszuści rejestrują domeny podobne do prawdziwych (np. z literówką) i poprawnie je konfigurują. Dlatego zawsze patrz też na samą domenę. Inne sygnały ostrzegawcze, także w SMS-ach, zebraliśmy w poradniku Phishing: jak rozpoznać fałszywy e-mail i SMS.

Gdzie zgłosić podejrzaną wiadomość

Phishing i inne incydenty możesz zgłosić do CERT Polska przez formularz na incydent.cert.pl, a podejrzane SMS-y przekazać bezpłatnie na numer 8080. Dzięki zgłoszeniom niebezpieczne domeny trafiają na listę ostrzeżeń CERT Polska, a operatorzy, którzy z niej korzystają, blokują do nich dostęp. Jeśli kliknięto już w link i podano hasło, zmień je od razu - co dalej, opisujemy w poradniku czy Twoje hasło wyciekło.

Administratorzy domen: jeśli weryfikacja Twoich wiadomości pokazuje fail, przyczyna zwykle leży w konfiguracji domeny. Sprawdzisz ją w teście MX, SPF i DMARC.