Chaque email transporte une histoire technique cachée : un ensemble d'en-têtes que le client de messagerie masque habituellement, mais qui indiquent honnêtement par quels serveurs le message est passé et si l'expéditeur est vraiment celui qu'il prétend être.
Pourquoi l'objet ressemble parfois à «=?UTF-8?Q?...?=»
Les en-têtes d'email ont été conçus il y a des décennies pour de l'ASCII sur 7 bits, donc un objet comme « Réunion de demain — Hélène » ne peut pas être écrit tel quel dans un en-tête à cause des accents. La RFC 2047 résout ce problème avec la syntaxe du « mot encodé » : =?UTF-8?Q?R=C3=A9union_de_demain?= — d'abord le jeu de caractères (UTF-8), puis Q pour quoted-printable ou B pour Base64, puis le texte encodé lui-même. Contrairement au Base64, l'encodage Q garde les lettres ASCII lisibles telles quelles et ne transforme que les caractères accentués (é, è, à, ç, ï) en séquences =XX — c'est l'encodage le plus souvent utilisé par les logiciels de messagerie français, ce qui rend l'en-tête brut partiellement lisible même sans décodage.
Les en-têtes Received : la carte du trajet du message
Chaque serveur de messagerie que traverse le message ajoute son propre en-tête Received en haut de la liste — pour retracer le trajet réel du message de l'expéditeur jusqu'à la boîte de réception, il faut donc lire les en-têtes de bas en haut, dans l'ordre inverse de leur ajout.
SPF, DKIM et DMARC : trois vérifications de confiance distinctes
SPF (Sender Policy Framework) est un enregistrement DNS du domaine qui liste les serveurs autorisés à envoyer du courrier en son nom ; l'en-tête Received-SPF indique si le serveur expéditeur figurait sur cette liste. DKIM ajoute une signature cryptographique vérifiable avec une clé publique publiée dans le DNS de l'expéditeur, confirmant que le contenu n'a pas été modifié en chemin. DMARC indique ensuite au serveur destinataire quoi faire d'un message qui échoue au SPF ou au DKIM : le rejeter, le marquer comme spam ou le livrer avec un avertissement. Ces trois contrôles sont particulièrement utiles face aux emails imitant des administrations ou des banques avec des noms de domaine presque identiques aux originaux.
À quoi ça sert
- Vérifier si un email suspect est une tentative de phishing avec un expéditeur usurpé.
- Décoder un objet ou un nom d'expéditeur arrivé sous forme illisible
=?UTF-8?Q?...?=. - Diagnostiquer pourquoi ses propres emails finissent dans le dossier spam des destinataires.
À quoi sert le Message-ID
L'en-tête Message-ID est un identifiant unique attribué par le client de messagerie à l'envoi, censé ne jamais se répéter dans aucun autre email au monde. Il est essentiel pour regrouper la conversation en « fils » (threading) : quand on répond à un message, le client copie le Message-ID original dans l'en-tête In-Reply-To, et c'est ce lien qui permet aux services de messagerie d'afficher les emails comme une seule conversation plutôt que des messages isolés.