คำตอบสั้น ๆ: เปิดดู Email Header ใน Gmail, Outlook, Apple Mail และ Thunderbird แล้วอ่านเส้นทาง Received ผล SPF, DKIM, DMARC เพื่อตรวจว่าอีเมลมาจากไหนและเชื่อถือได้หรือไม่
คู่มือนี้อธิบาย Email Header ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย
Email Header คือข้อมูลส่วนหัวที่แนบมากับอีเมลทุกฉบับแต่ปกติโปรแกรมจะซ่อนไว้ ภายในบอกว่าอีเมลผ่านเซิร์ฟเวอร์ใดบ้าง เวลาเท่าไรในแต่ละช่วง ผลการตรวจ SPF, DKIM และ DMARC เป็นอย่างไร และตัวกรอง Spam ให้คะแนนเท่าไร เป็นเครื่องมือหลักในการตอบคำถามว่าอีเมลนี้มาจากผู้ส่งตัวจริงหรือไม่ ทำไมเข้า Spam และทำไมมาช้า
ฝ่ายซัพพอร์ตของผู้ให้บริการอีเมลแทบทุกรายจะขอ Header ฉบับเต็มเมื่อต้องตรวจปัญหา การรู้วิธีเปิดและอ่านเองจึงช่วยให้แก้ปัญหาได้เร็วขึ้นมาก
สิ่งที่ต้องเตรียม (Email Header)
- อีเมลที่ต้องการตรวจ อยู่ในโปรแกรมหรือ Webmail ที่คุณใช้
- ถ้าเป็นอีเมลน่าสงสัย ห้ามคลิกลิงก์หรือเปิดไฟล์แนบระหว่างตรวจ
ขั้นตอนที่ 1: เปิด Header ในโปรแกรมที่ใช้ (Email Header)
| โปรแกรม | วิธีเปิด |
|---|---|
| Gmail และ Google Workspace | เปิดอีเมล กดไอคอนสามจุดด้านขวา แล้วเลือก Show original (แสดงต้นฉบับ) |
| Outlook บนเว็บและ New Outlook | เปิดอีเมล กดสามจุด เลือก View แล้วเลือก View message details (ชื่อเมนูอาจต่างเล็กน้อยตามรุ่น) |
| Outlook Classic บน Windows | ดับเบิลคลิกเปิดอีเมลในหน้าต่างใหม่ ไปที่ File แล้วเลือก Properties ดูช่อง Internet headers |
| Apple Mail | เลือกอีเมล ไปที่เมนู View เลือก Message แล้วเลือก All Headers หรือ Raw Source |
| Thunderbird | เลือกอีเมล ไปที่เมนู View แล้วเลือก Message Source หรือกด Ctrl+U (บน Mac กด Command+U) |
| Roundcube Webmail | เปิดอีเมล กด More แล้วเลือก View source |
คัดลอก Header ทั้งหมดไปวางในโปรแกรม Text Editor จะอ่านง่ายกว่า และส่งให้ฝ่ายซัพพอร์ตได้ทันที
ขั้นตอนที่ 2: รู้จักบรรทัดสำคัญ (Email Header)
ตัวอย่าง Header ที่ย่อให้เหลือเฉพาะบรรทัดสำคัญ
Return-Path: <[email protected]>
Received: from mail.example.com (mail.example.com [203.0.113.10])
by mx.receiver-example.org with ESMTPS id a1b2c3
for <[email protected]>; Fri, 18 Sep 2026 09:14:05 +0700
Received: from [192.0.2.55] (unknown [192.0.2.55])
by mail.example.com with ESMTPSA id 7f8e9d
for <[email protected]>; Fri, 18 Sep 2026 09:14:02 +0700
Authentication-Results: mx.receiver-example.org;
spf=pass smtp.mailfrom=example.com;
dkim=pass header.d=example.com;
dmarc=pass header.from=example.com
From: Somchai <[email protected]>
Reply-To: [email protected]
Subject: Quotation September
Message-ID: <[email protected]>
X-Spam-Status: No, score=0.8 required=5.0| บรรทัด | บอกอะไร |
|---|---|
Received | เซิร์ฟเวอร์แต่ละตัวที่อีเมลผ่าน เซิร์ฟเวอร์เพิ่มบรรทัดใหม่ไว้บนสุด จึงต้องอ่านจากล่างขึ้นบน |
Return-Path | ที่อยู่ที่รับอีเมลตีกลับ และเป็นโดเมนที่ใช้ตรวจ SPF อาจต่างจาก From ได้ เช่นเมื่อส่งผ่านระบบส่งอีเมลการตลาด |
Authentication-Results | ผลตรวจของเซิร์ฟเวอร์ผู้รับ ที่เชื่อถือได้ที่สุดคือบรรทัดที่ระบบผู้รับของคุณเพิ่มเอง |
From | ผู้ส่งที่แสดงบนหน้าจอ ปลอมได้ง่าย ต้องดูประกอบกับ DMARC |
Reply-To | ที่อยู่ที่คำตอบจะถูกส่งไป ถ้าต่างจาก From และไม่เกี่ยวข้องกันเลย เป็นสัญญาณอันตราย |
Message-ID | รหัสเฉพาะของอีเมล ใช้ค้นใน Log ของเซิร์ฟเวอร์ |
X-Spam-Status | คะแนน Spam จากตัวกรอง เช่น SpamAssassin ดู ตั้งค่า SpamAssassin บน DirectAdmin |
ขั้นตอนที่ 3: ไล่เส้นทางจากบรรทัด Received
จากตัวอย่าง บรรทัด Received ล่างสุดบอกว่าเครื่องผู้ส่ง IP 192.0.2.55 ส่งเข้าเซิร์ฟเวอร์ mail.example.com โดยล็อกอิน (ESMTPSA ตัว A คือ Authenticated) จากนั้น mail.example.com IP 203.0.113.10 ส่งต่อไปยังเซิร์ฟเวอร์ผู้รับ ขั้นตอนการอ่านคือ
- หาบรรทัด Received ที่เซิร์ฟเวอร์ของผู้รับ (ฝั่งคุณ) รับอีเมลเข้ามาจากภายนอกเป็นครั้งแรก ส่วน
from ... [IP]ในบรรทัดนั้นคือเซิร์ฟเวอร์ที่ส่งเข้ามาจริง ข้อมูลนี้ปลอมได้ยากที่สุด - บรรทัดที่อยู่ต่ำกว่านั้นถูกเขียนโดยเซิร์ฟเวอร์ภายนอก อาจเป็นข้อมูลจริงหรือถูกแต่งขึ้นก็ได้ อย่าเชื่อทั้งหมด
- ตรวจว่า IP ของเซิร์ฟเวอร์ที่ส่งเข้ามาสอดคล้องกับโดเมนผู้ส่งหรือไม่
ขั้นตอนที่ 4: อ่านผล SPF, DKIM และ DMARC
| ผล | ความหมาย |
|---|---|
spf=pass | IP ที่ส่งมาอยู่ในรายชื่อที่โดเมนใน Return-Path อนุญาต |
dkim=pass header.d=... | ลายเซ็นดิจิทัลถูกต้อง เนื้อหาไม่ถูกแก้ระหว่างทาง ดูโดเมนหลัง header.d ว่าเป็นของใคร |
dmarc=pass | SPF หรือ DKIM ผ่าน และโดเมนที่ผ่านตรงกับโดเมนใน From นี่คือผลที่บอกว่า From ไม่ได้ถูกปลอม |
fail, softfail, none | ไม่ผ่าน ผ่านแบบไม่ชัดเจน หรือโดเมนไม่ได้ตั้งค่าไว้ ถ้า From เป็นโดเมนธนาคารหรือคู่ค้าแต่ได้ fail ให้ถือว่าน่าสงสัยมาก |
ถ้าอีเมลที่ส่งออกจากโดเมนของคุณเองได้ fail ให้ตรวจการตั้งค่าตาม ตั้งค่า SPF, DKIM และ DMARC