メールヘッダー（メタデータ）から何を学べる？Gmailでの見方と解析方法を徹底解説

受け取ったメールがどこから来たのか、本当に誰が送ったのか疑問に思ったことはありませんか？実は、その多くの情報はメールヘッダーのメタデータから読み取ることができるのです。

ヘッダーはすべてのメールに含まれているにもかかわらず、ほとんどの人は目にすることすらありません。一般ユーザーには暗号のように見える大量のデータが詰め込まれており、さらに多くのメールクライアントはメタデータを隠しているため、アクセスするだけでも一苦労です。

デスクトップ型・Web型を合わせるとメールクライアントは無数に存在するため、そのすべてのヘッダー表示方法を解説すると一冊の本になってしまいます。そこで本記事では、Gmailでのメールヘッダーの表示方法と、そこから読み取れる情報に焦点を絞って解説します。

メールヘッダーとは？

メールヘッダーとは、メールがあなたに届くまでの経路を記録したメタデータの集合体です。ヘッダーには膨大な情報が含まれることもあれば、ごく基本的な情報だけが記録されている場合もあります。

ヘッダーに含めるべき情報には標準規格がありますが、メールサーバーがヘッダーに記録する情報の上限が定められているわけではありません。

メールプロトコルの標準規格がどのようなものか気になる方は、RFC 5321（Simple Mail Transfer Protocol）を覗いてみてください。必要のない人にとっては少々難解な内容かもしれません。

Gmailでメールヘッダーを表示する方法

Gmailでメールを開いたら、メッセージ右上の三点リーダーアイコンをクリックして「その他」メニューを展開します。「元のメッセージを表示」をクリックすると、ヘッダーを含む生のメール全文が表示されます。

新しいウィンドウまたはタブが開き、プレーンテキスト形式のメールが表示されます。もちろんヘッダーは先頭部分にあります。ヘッダーの内容は以下のような感じです：

確かに表示されましたが、これは一体何を意味しているのでしょうか？

メールヘッダーはどのように作られるのか？

メールが旅する過程でヘッダーがどのように作られていくかを知れば、ヘッダーデータの意味をより深く理解できるようになります。ここでは、情報が追加されていく順番に沿って、重要な項目の意味を見ていきましょう。

送信者のパソコン上で

ヘッダーの一部は、送信者が受信者宛てのメールを作成する時点で生成されます。これには、メールを作成した日時、作成者、件名、宛先などの情報が含まれます。

これは、メール上部に表示される「Date:」「From:」「To:」「Subject:」の各行として、最も馴染みのある部分です。

送信者のメールサービスで

メールが実際に送信されると、ヘッダーにはさらに情報が追加されます。これは送信者が利用しているメールサービスによって付与されるものです。この例では送信者はホスト型メールサービスを利用しているため、表示されているIPアドレスはサービスプロバイダーのネットワーク内部のアドレスになっています。

このIPアドレスに対してWHOIS検索を行っても有用な情報は得られません。代わりにできるのは、サーバー名（この例ではtilos.inmoo.net）でGoogle検索をすることです。少し調べてみると、bgp.toolsでサーバー名とIPアドレスの両方が見つかります。

IPアドレスをさらに詳しく調べると、送信者がオランダのクラウドコンピューティング・Webサービス企業であるLeaseWebを利用していたことがわかります。

送信者のIPアドレスに加えて、メールヘッダーからは、送信者のメールサービスがメールを送出した時刻（Thu, 10 Feb 2022 14:58:13 -0800 (PST)）や、メールサービスが付与したそのメッセージ固有のMessage-IDも読み取れます。

受信者のメールサービスへの道中で

そこからメールはさまざまなルートを経由して、受信者のメールサービスにたどり着きます。この経路はヘッダーに記録され、メールがあなたに届くまでに通過した「ホップ（中継）」を示します。

ホップの記録は、最新のサーバーからさかのぼって、最初に処理したサーバーまで逆時系列で並びます。この例では、最初のホップでメールは送信者からGoogleへ渡り、さらに2回のホップを経て最終目的地に到着しています。

最終ホップ：

Received: from tilos.inmoo.net (tilos.inmoo.net. [81.171.26.235])
 by mx.google.com with ESMTPS id nc18si9066695ejc.964.2022.02.10.14.58.13
 for <xxx@gmail.com>
 (version=TLS1_3 cipher=TLS_AES_256_GCM_SHA384 bits=256/256);
 Thu, 10 Feb 2022 14:58:13 -0800 (PST)
Received-SPF: pass (google.com: domain of news@lastbacker.com designates 81.171.26.235 as permitted sender) client-ip=81.171.26.235;
Authentication-Results: mx.google.com;
 dkim=pass header.i=@lastbacker.com header.s=ms header.b=frJ635H2;
 spf=pass (google.com: domain of news@lastbacker.com designates 81.171.26.235 as permitted sender) smtp.mailfrom=news@lastbacker.com

これはLeaseWebのサーバーから受信者のメールサーバーへメールを運ぶホップです。mx.google.comで受信されていることから、受信者がGoogleのメールサービスを利用していることがわかります。

ここで注目したいのが「Received-SPF:」の行です。SPF（Sender Policy Framework）とは、送信側のメールサーバーが自分自身を正規の送信者として宣言するための標準規格です。

この例では判定結果が「pass」になっており、このIPアドレスが当該ドメインからの送信を許可されていたことを意味します。もし「fail」だった場合、Gmailのサーバーはメールを拒否していたでしょう。「softfail」だった場合は受信はされるものの、差出人が偽装されている可能性があるとしてフラグが立てられます。

それ以前のホップ：

最終ホップの前には、1つ以上のホップが存在することがあります。それぞれのタイムスタンプから、各サーバーがメッセージを受け渡すのにかかった時間がわかります。ただし、ネットワークエンジニアでもない限り、あまり役立つ情報ではないでしょう。

理論上は、2つのサーバー間の距離をおおよそ計算することも可能です。

受信者のメールサーバーで

受信者のメールサービスに到着すると、ヘッダーにはさらに情報が追加されます。具体的には、受信サービスのどのサーバーがいつ受信したか、どのメールサーバーから受信したか、宛先のメールアドレス、そして差出人が指定した「返信先」アドレスなどが含まれます。

前述の最終ホップで、受信者のメールサービスがGoogleであることは確認しました。最も重要なのは、「Return-Path:」から、返信用アドレスと差出人のアドレスが一致しているかどうかを判断できる点です。一致していれば、そのメールが正当なものである可能性が高いと言えます。

他のヘッダーから得られるその他の情報

このメールヘッダーは、ホスト型メールサービスが使われているため、得られる情報に限りがあります。もし送信者が自前のメールサーバーを使っていたなら、もう少し多くの情報を得られた可能性があります。

たとえば、相手がどのメールクライアントを使用しているかを特定できたり、送信者のIPアドレスに対してWHOIS検索を行い、おおよその所在地を割り出せたりするかもしれません。

また、送信者のドメインで簡単にWeb検索すれば、公式サイトが存在するかどうかを確認できます。そのサイトをもとに、差出人についてさらに詳しい情報を得られることもあるでしょう。

メールアドレスそのものを検索して相手の個人情報を探し出す（ドクシング）ことも技術的には可能ですが、そうした行為はおすすめしません。

メールヘッダーとメタデータの解析ツール

生のデータだけを目で追ってヘッダーを解析するのは大変な作業です。幸い、面倒な解析を代行してくれるオンラインツールがあります。Gmailならボタン一つでヘッダー全体をコピーできるのも便利です。上記の手順で元のメッセージ（全メタデータ付き）を表示したら、「クリップボードにコピー」ボタンを押し、以下のサイトの一つにアクセスしてみましょう。

• Google Admin Toolbox Messageheader：基本情報と、送信者から受信者までのメールの経路を分解して表示してくれます。
• MX Toolbox：ヘッダーをより詳細に分解し、遅延、認証の問題、メールが通過した各ホップを明らかにします。
• WhatIsMyIP：メールが世界のどこから来たのか知りたいなら、まずここへ。WHOISルックアップを実行してくれるサービスです。
• Mail Header：詳細なMTA（Message Transfer Agent）分析に加え、メールが横断したルートを視覚的に表示。ホップやスパムスコアの詳細も確認できます。

メールヘッダーから読み取れるすべて

あらゆる電子通信には足跡が残ります。大きく追跡しやすいものもあれば、Webフィルターやプロキシサーバーによって覆い隠されるものもあります。いずれにせよ、残された痕跡は、それを生み出した人物について何かを物語るのです。

そのメタデータをもとにさらなる調査を行えば、関係する人物についてより深く知ることができます。相手はVPNを使って何かを隠しているのでしょうか？本当に実在する事業とWebサイトを持つ正当な企業の人物なのでしょうか？デートに行きたい相手としてふさわしい人物でしょうか？NSAは言うまでもなく、普通の人々は私について何を知り得るのでしょうか？

ぜひ自分のメールヘッダーを覗いてみて、そこに何が書かれているか確かめてみてください。意味のよくわからないヘッダー行があったら、Googleに頼んで解読してもらいましょう。