Cibersegurança e segurança da informação

Análise de cabeçalhos de e-mail: SPF, DKIM, DMARC e Received

6 min de leituraPublicado: 5 de agosto de 2026

Ilustração visual profissional sobre análise de cabeçalhos de e-mail na área de Resposta a Incidentes e DFIR

Resposta rápida

A análise de cabeçalhos de e-mail é um processo controlado que equilibra a mitigação de danos com a preservação de evidências. Documentamos a origem, hora e ferramentas, guardamos o hash, construímos uma linha do tempo e separamos factos, interpretações e decisões.

A resposta a incidentes e o DFIR exigem um equilíbrio entre velocidade, preservação de evidências, continuidade de negócios e documentação. Uma ação correta é uma ação que pode ser explicada, reproduzida e revista após o incidente. Este artigo foca na análise de cabeçalhos de e-mail e destina-se a analistas SOC e administradores de e-mail. O objetivo é fornecer uma metodologia que possa ser aplicada em exercícios, em entrevistas profissionais e no ambiente de trabalho, sem se limitar a uma definição de dicionário.

O principal desafio é que os dados estão quase sempre incompletos. A cadeia Received, Return-Path, SPF podem indicar uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Por isso, construiremos o teste em torno de uma questão de investigação, das evidências necessárias e de um critério claro para a conclusão.

O cenário prático no artigo é: decifrar um cabeçalho simulado e marcar pontos anómalos. Todos os exemplos são dados de laboratório ou descrições de processos. Quando se trata de Penetration Testing, Web ou Cloud, deve-se trabalhar apenas com autorização explícita, um âmbito definido e a capacidade de parar o teste.

Estrutura do Cabeçalho

Os campos importantes não são necessariamente aqueles apresentados no topo do ecrã. Na análise de cabeçalhos de e-mail, é preciso identificar identificadores estáveis, tempo, origem, destino, resultado e contexto. Exemplos úteis são a cadeia Received, Return-Path, SPF, DKIM, DMARC, Message-ID. O objetivo é permitir a correlação entre registos e não apenas a leitura de um evento individual.

Recomenda-se criar um pequeno dicionário de dados: nome do campo, significado, formato, origem, valores nulos esperados e se é fiável para ligação. Assim, é possível distinguir entre um campo de exibição e um identificador investigável, e identificar quando um conector ou versão alterou o esquema.

Cadeia Received

O tópico 'cadeia Received' é uma parte central do trabalho na análise de cabeçalhos de e-mail. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas impedem o uso automático de uma ferramenta sem entender o objetivo.

No exercício, anote a cadeia Received, Return-Path, SPF, DKIM, DMARC, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

SPF

O tópico 'SPF' é uma parte central do trabalho na análise de cabeçalhos de e-mail. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas impedem o uso automático de uma ferramenta sem entender o objetivo.

DKIM e DMARC

O tópico 'DKIM e DMARC' é uma parte central do trabalho na análise de cabeçalhos de e-mail. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas impedem o uso automático de uma ferramenta sem entender o objetivo.

From, Return-Path e Message-ID

O tópico 'From, Return-Path e Message-ID' é uma parte central do trabalho na análise de cabeçalhos de e-mail. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas impedem o uso automático de uma ferramenta sem entender o objetivo.

Pontos de Verificação Únicos

Neste tópico, recomenda-se construir antecipadamente um mapa de evidências focado. Os principais pontos de verificação são: cadeia Received, Return-Path, SPF, DKIM, DMARC, Message-ID, regras de caixa de correio. A lista não é uma lista de verificação automática; cada item é selecionado porque pode ligar uma entidade, ação e tempo ou explicar um comportamento legítimo.

Cadeia Received: Defina qual é o valor esperado, o que será considerado anómalo e qual fonte adicional validará a descoberta.
Return-Path: Defina qual é o valor esperado, o que será considerado anómalo e qual fonte adicional validará a descoberta.
SPF: Defina qual é o valor esperado, o que será considerado anómalo e qual fonte adicional validará a descoberta.
DKIM: Defina qual é o valor esperado, o que será considerado anómalo e qual fonte adicional validará a descoberta.
DMARC: Defina qual é o valor esperado, o que será considerado anómalo e qual fonte adicional validará a descoberta.
Message-ID: Defina qual é o valor esperado, o que será considerado anómalo e qual fonte adicional validará a descoberta.

Quando um dos pontos não estiver disponível, é preciso documentar a lacuna e escolher uma alternativa. Por exemplo, se o identificador de processo não for estável, pode-se usar o tempo, Host, User e Parent; se a carga útil estiver encriptada, usa-se Metadados, volume, frequência e contexto TLS/DNS.

Fluxo de Trabalho Recomendado

Defina o âmbito e uma única questão de trabalho sobre a análise de cabeçalhos de e-mail.
Registe as fontes de dados e as evidências necessárias: cadeia Received, Return-Path, SPF, DKIM.
Crie uma linha de base curta de comportamento normal ou resultado esperado.
Execute o teste mínimo num ambiente de laboratório e guarde o tempo, a entrada e a saída.
Construa uma linha do tempo ou tabela de comparação e separe factos de interpretações.
Faça um Pivot para uma fonte adicional para confirmar ou refutar a explicação inicial.
Resuma a decisão, as limitações, a ação recomendada e o critério de Reteste.

Cenário Prático

O cenário escolhido é a decifração de um cabeçalho simulado e a marcação de pontos anómalos. O objetivo do exercício não é provar a capacidade de ataque, mas sim praticar a recolha, comparação e documentação de forma segura. Antes de iniciar o trabalho, são definidos dados simulados, uma janela de tempo e um resultado esperado.

No final do exercício, é preciso apresentar um produto que outro analista ou auditor possa rever: uma captura de ecrã ou exportação da evidência, uma linha do tempo curta, uma hipótese inicial, uma evidência de validação, uma limitação e uma recomendação. Quando não há evidência suficiente, a conclusão correta é que o cenário não foi comprovado.

Fase	O que é realizado	Produto
Preparação	Defina o âmbito, o tempo e o objetivo. Registe quais campos ou evidências da cadeia Received, Return-Path, SPF são esperados.	Plano de teste curto
Criação de dados	Realize uma ação segura e simulada relacionada com a análise de cabeçalhos de e-mail, sem informações reais ou impacto no sistema de produção.	Evento/Pedido/Fluxo controlado
Recolha	Recolha a evidência bruta e o contexto de uma fonte adicional. Verifique o fuso horário, os identificadores e a integridade.	Duas evidências ligadas
Análise	Escreva o que cada evidência prova, o que não prova e qual a explicação legítima possível.	Conclusão provisória
Conclusão	Escolha fechar, escalar, encontrar ou ajustar; adicione uma recomendação e Retest.	Produto documentado

Lista de Verificação Prática

Verifique e documente: origem da evidência.
Verifique e documente: hora de recolha e fuso horário.
Verifique e documente: Hash e Chain of Custody.
Verifique e documente: ferramenta e versão.
Verifique e documente: ações de resposta realizadas.
Verifique e documente: linha do tempo e hipóteses de trabalho.
Indique o fuso horário, a versão da ferramenta e a hora de recolha.
Guarde os dados brutos antes de filtrar ou modificar.
Escreva o que a descoberta prova e o que ainda é desconhecido.
Defina o proprietário e a ação de acompanhamento com uma data.

Erros Comuns

Alterar o sistema antes de preservar as evidências.
Não documentar o fuso horário.
Não calcular o Hash.
Misturar factos e suposições.
Não documentar quem deteve as evidências.
Preferir a integridade teórica em detrimento da mitigação imediata de danos.

Resumo e CTA

A análise de cabeçalhos de e-mail: SPF, DKIM, DMARC e Received é um tópico que liga o conhecimento técnico à disciplina de trabalho. Comece com uma pergunta, recolha apenas evidências relevantes, preserve o contexto e o tempo, e escolha uma ação que possa ser justificada e retestada.

No curso Cybersecurity & AI da HPI, estes princípios são praticados através de sistemas, registos e laboratórios. O próximo passo natural é consultar os artigos relacionados, realizar o exercício de laboratório e guardar o produto como parte de um portfólio profissional.

Perguntas frequentes

A análise de cabeçalhos de e-mail por si só prova um ataque ou vulnerabilidade?

Não. Fornece um sinal ou descoberta que requer contexto, validação e uma fonte adicional. Uma conclusão profissional baseia-se numa sequência de evidências e na conformidade com o comportamento esperado.

O que fazer quando alguns dados estão em falta?

Documente o que falta, verifique uma fonte alternativa e reduza o nível de confiança. Não complete campos por suposição nem apresente 'Unknown' como válido.

Por quanto tempo as evidências devem ser mantidas?

O tempo depende da política, regulamentação, custo e tipo de incidente. É importante definir antecipadamente a Retenção, Legal hold e a capacidade de exportar evidências num formato verificável.

Como praticar sem comprometer um sistema real?

Utilize máquinas virtuais, dados simulados, CTF ou um laboratório dedicado. Em testes autorizados, defina o âmbito, as condições de paragem e o backup antes de iniciar o trabalho.