Просмотр EML и декодер MIME-писем

Как посмотреть исходный код письма

1. Получите исходный текст письма из почтового клиента (см. таблицу ниже) и вставьте его или перетащите на страницу файл .eml или .mht.
2. В сводке видны декодированные From, To, Cc, Subject, Date и Message-ID. Все заголовки показывает каждый заголовок с декодированным и исходным значением.
3. Читайте Тело письма как обычный текст или HTML. HTML показывается в песочнице.
4. В разделе Вложения перечислены файлы с именем, типом, размером и content ID, с кнопкой Скачать и превью для картинок.
5. Структура MIME показывает, как вложены части. Это помогает, когда вложение будто бы пропало.

Что умеет декодер

• Закодированные заголовки: слова RFC 2047 в Base64 (B) и quoted-printable (Q), склейка соседних слов, любая кодировка, которую знает браузер, а также заголовки в сыром UTF-8.
• Имена вложений в форме RFC 2231, например filename*=UTF-8''Rechnung%20M%C3%A4rz.pdf, и разбитые продолжения filename*0*=.
• Тела в base64 и quoted-printable, декодированные в объявленной кодировке. f=C3=BCr превращается в für.
• Вложенные письма: пересланное письмо, приложенное как message/rfc822, разбирается так же, как внешнее.
• Встроенные картинки: ссылки cid: в HTML связываются с приложенными изображениями.
• Неполный ввод: отдельная MIME-часть в Base64, письмо, целиком закодированное в Base64, или multipart-тело, которое начинается с --boundary без заголовков.

Письмо, целиком закодированное в Base64, обычно начинается с UmV0dXJuLVBhdGg6 (Return-Path:) или UmVjZWl2ZWQ6 (Received:). Вставляйте как есть: декодер сначала его развернёт.

Проверка подозрительного письма

О фишинге заголовки говорят больше, чем тело. Что сравнить в Все заголовки:

• From с Return-Path и Reply-To. Классический признак: адрес для ответа на другом домене.
• Authentication-Results, который добавляет принимающий сервер: spf=, dkim= и dmarc= со значениями pass или fail.
• Received: если читать эти строки снизу вверх, они показывают путь от сервера отправителя до вашего.
• Типы вложений: вложение .html, .iso или .zip от незнакомого отправителя заслуживает подозрения, как и двойное расширение вроде invoice.pdf.html.

Поскольку внешнее содержимое заблокировано, просмотр HTML-тела здесь не загружает пиксели отслеживания и не подтверждает, что ваш адрес читают. CSS письма тоже отбрасывается, так что рассылки выглядят проще, чем в почтовом клиенте.

Извлечение вложений на Python

from email import policy
from email.parser import BytesParser

with open("message.eml", "rb") as f:
    msg = BytesParser(policy=policy.default).parse(f)

print(msg["Subject"])
for part in msg.iter_attachments():
    name = part.get_filename()
    with open(name, "wb") as out:
        out.write(part.get_payload(decode=True))
    print("saved", name)

policy.default декодирует заголовки с закодированными словами, так что msg["Subject"] сразу читаем. В реальном коде очищайте name перед записью: его прислал отправитель. Как кодируются вложения, подробнее рассказывает статья Base64 в электронной почте, а кодировщик MIME Base64 выдаёт формат с переносом по 76 символов.

Известные ограничения

• Файлы Outlook .msg не поддерживаются. Часть winmail.dat (TNEF) показывается как вложение, но не распаковывается.
• Ссылки внутри HTML-тела намеренно не работают.
• Письма с огромным числом MIME-частей обрезаются с предупреждением.

Вопросы и ответы