Per poter studiare un messaggio dobbiamo necessariamente essere in grado di leggerne gli "headers" (intestazioni), cioe` quelle righe che iniziano con la parola "Received:" e simili, che si trovano prima del corpo del messaggio vero e proprio.

Visualizzare gli headers e` semplice: ogni programma di posta elettronica ha un'opzione (in genere nel menu`) per attivare/disattivare la visualizzazione degli stessi. Netscape Mail, ad esempio, ha la voce "Show Headers" nel menu` "Options", mentre con "Internet Explorer" e` necessario cliccare sul titolo dell'e-mail da analizzare, quindi premere il tasto destro e scegliere l'ultima voce (Properties, ovvero Proprieta`). Eudora ed altri client hanno una funzione simile a quella di Netscape Mail (nei menu`).

Prendiamo dunque ad esempio questa e-mail, di cui visualizziamo gli headers:

Received: from posta.hackers.it (111.123.33.4) by provider.it via mtad (2.3) id mx03-Biqmta0276; Mon, 27 Sep 1997 06:45:07 -0600 (MDT) Received: from america.com ([123.45.67.89]) by posta.hackers.it (post.office MTA v1.9.3b ID# 0-12345) with SMTP id AAA187 for ; Mon, 27 Sep 1997 14:34:21 +0200 From: To: Subject: test...

Analizziamone ora gli headers: il primo (Received) e` lungo due righe, in quanto ogni header inizia con una parola chiave seguita dai due punti, e nel secondo rigo non esiste una prima parola, ne` i due punti; ne deduciamo percio` che e` il seguito della riga superiore.

L'header "Received" ci informa del percorso seguito dall'e-mail da quando e` stato generato a quando l'abbiamo ricevuto. Normalmente ce n'e` piu` di uno e sono disposti in ordine inverso (il primo rappresenta l'ultimo computer in cui e` arrivata l'e-mail - con ogni probabilita` il nostro o quello del nostro provider - e l'ultimo Received rappresenta il computer "mittente"). Infatti, ogni volta che un server riceve una e-mail, aggiunge un "Received" in *cima* alle altre intestazioni gia` presenti.

Tornando alla nostra e-mail, vediamo percio` che l'ultimo "Received" ci informa che il computer america.com ha l'IP Address 123.45.67.89 e ha mandato questa e-mail al server posta.hackers.it usando SMTP. Guardando l'header successivo (sopra) notiamo che poi il messaggio e` stato mandato a sua volta da posta.hackers.it (che vediamo avere un IP Address pari a 111.123.33.4) a provider.it, che e` il server destinatario (il nostro). Infatti, se guardiamo l'header "To:" vediamo che destinatario finale e` utente@provider.it. Il mittente, stando all'header "From:", dovrebbe essere mittente@america.com ma come sincerarsene?

Utilizzando il programma Finger possiamo sapere se l'utente "mittente" esiste su "america.com", ma utilizzando Finger non possiamo sapere se sia stato effettivamente lui a mandare il messaggio o meno.

Ricorriamo percio` ancora una volta all'analisi degli header "Received". Il primo header, quello che ci informa da CHI e` stato inviato il messaggio, corrisponde all'ultimo header (cioe` al secondo "Received"). Da li` scopriamo che il computer mittente e` america.com con IP 123.45.67.89 e dell'IP possiamo essere sicuri... ma non possiamo fidarci di "america.com" e l'unico modo per sapere se effettivamente Host Name e IP Address coincidono e` utilizzare un programma DNS. Bastera` inserire l'IP Address per conoscere l'Host Name ad esso corrispondente. Questo metodo e` di estrema importanza, in quanto se da un lato non ci permette di scoprire l'autore, almeno potremo sapere quale computer e` stato usato per inviare e-mail, news, ecc. Molti provider di posta elettronica gratuita (come Hotmail e Netaddress) e non, permettono di bloccare l'invio di e-mail che provengono da un determinato "dominio" (es. provider.it), ma per farlo e` necessario conoscerne l'Host Name oppure l'IP Address.