Lire les en-têtes d’un e-mail : d’où vient-il vraiment ?

Chaque e-mail transporte un CV que ton logiciel de messagerie cache d’habitude : l’en-tête. Il indique par quels serveurs le message est passé, quand il est arrivé à chaque étape et s’il a réussi les contrôles contre les expéditeurs falsifiés. Si tu sais lire un en-tête, tu repères plus vite le phishing et tu comprends pourquoi un e-mail est arrivé en retard ou a fini en spam.

Où trouver l’en-tête

Tous les logiciels de messagerie peuvent afficher l’en-tête complet ; seul le nom de l’option change :

• Gmail : ouvre le message, clique sur les trois points en haut à droite et choisis « Afficher l’original ».
• Outlook sur le web : trois points, puis « Afficher » et « Afficher les détails du message ».
• Outlook pour Windows : « Fichier », « Propriétés », rubrique « En-têtes Internet ».
• Apple Mail : « Présentation », « Message », « Tous les en-têtes ».
• Thunderbird : « Affichage », « Source du message ».
• TossPost : dans chaque message, l’onglet « En-têtes » montre toutes les lignes et « Source » le texte brut complet.

Les lignes qui comptent

Un en-tête se compose de nombreuses lignes de la forme Nom: valeur. Pour la plupart des questions, celles-ci suffisent :

Ligne	Ce qu’elle t’apprend
From	L’expéditeur affiché. Il peut être choisi librement.
Reply-To	L’adresse où part une réponse. Dans les arnaques, souvent différente de From.
Return-Path	L’adresse des messages d’erreur ; c’est elle que vérifie SPF.
Date	Le moment où l’expéditeur a envoyé l’e-mail, selon sa propre horloge.
Message-ID	Un identifiant unique, contenant le plus souvent le domaine du système d’envoi.
Received	Une étape sur le trajet de l’e-mail. Il y en a généralement plusieurs.
Authentication-Results	Le résultat de SPF, DKIM et DMARC chez le destinataire.
DKIM-Signature	La signature numérique et le domaine qui a signé (d=).
List-Unsubscribe	Le lien de désinscription des newsletters.

Retracer le trajet d’un e-mail

Chaque serveur qui transmet un e-mail ajoute une nouvelle ligne Received en haut de l’en-tête. On lit donc le trajet de bas en haut : la ligne la plus basse est la première étape, celle du haut la dernière avant ta boîte de réception.

Received: from mail.example.org (mail.example.org [198.51.100.7])
        by mx.example.net with ESMTPS; Tue, 20 Oct 2026 09:14:05 +0200
Received: from app-3.internal.example.org (10.0.0.12)
        by mail.example.org with ESMTP; Tue, 20 Oct 2026 09:14:02 +0200

Ici, un serveur d’application interne a remis l’e-mail au serveur de messagerie de example.org, qui l’a envoyé trois secondes plus tard au destinataire example.net. Compare les horodatages de deux étapes successives et tu vois où un e-mail est resté bloqué. Si des minutes ou des heures séparent deux lignes, c’est cette étape qui a causé le retard.

Repérer un expéditeur falsifié

Les e-mails de phishing se font passer pour une banque, un livreur ou un collègue. L’en-tête les trahit souvent :

• Authentication-Results affiche fail : si DMARC échoue alors que l’e-mail prétend venir d’une grande entreprise, c’est un signal d’alarme clair.
• From, Reply-To et Return-Path ne vont pas ensemble : un e-mail « de ta banque » dont l’adresse de réponse se trouve chez un fournisseur de messagerie gratuit est suspect.
• Le nom affiché trompe : From: "Support Banque" <[email protected]> – ce qui compte, c’est l’adresse entre les chevrons, pas le nom devant.
• Des serveurs étranges sur le trajet : si un e-mail prétend venir d’une entreprise mais que la ligne Received la plus basse nomme un serveur qui n’a rien à voir avec elle, quelque chose cloche.

Aucun signe isolé ne prouve une arnaque. Mais si plusieurs s’appliquent, ne clique sur aucun lien et n’ouvre pas les pièces jointes.

Ce que l’en-tête ne dit pas

L’en-tête est révélateur, mais ce n’est pas un détecteur de mensonges :

• Seules les lignes du haut sont fiables. Les lignes Received ajoutées par ton propre fournisseur sont vraies. Tout ce qui se trouve en dessous peut avoir été écrit par l’expéditeur.
• La localisation de l’expéditeur reste le plus souvent cachée. Les grands services de webmail ne transmettent pas l’adresse IP de leurs utilisateurs, et l’IP d’un serveur ne te dit que où se trouve le centre de données.
• Date est une affirmation de l’expéditeur. Une horloge déréglée ou une intention malveillante peuvent la fausser ; les horodatages des lignes Received sont plus fiables.

Lire les en-têtes plus vite

Un long en-tête de plusieurs dizaines de lignes est fastidieux à lire. L’analyseur d’en-têtes de TossPost le fait pour toi : colle l’en-tête et tu vois les étapes de l’e-mail dans le bon ordre avec les délais entre elles, le résultat de SPF, DKIM et DMARC, si les domaines correspondent à l’expéditeur, les marques de spam et le lien de désinscription. L’en-tête sert uniquement à l’analyse et n’est pas enregistré.

Pour savoir comment tes propres e-mails arrivent, envoie-en un au mail tester. L’article SPF, DKIM et DMARC expliqués simplement explique ce qui se cache derrière ces contrôles.

En bref

L’en-tête montre d’où vient un e-mail, quel trajet il a suivi et s’il a réussi les contrôles contre la falsification. Lis les lignes Received de bas en haut, compare From, Reply-To et Return-Path, et regarde Authentication-Results.

Analyse un en-tête maintenant