Comment afficher et analyser les en‑têtes complets d’un e‑mail ?

Introduction

Les en‑têtes (headers) d’un e‑mail contiennent la « feuille de route » du message : serveurs qui l’ont relayé, dates/heures de relais, adresses d’enveloppe, verdicts d’authentification (SPF, DKIM, DMARC), et identifiants (Message‑ID). Ces données sont indispensables pour diagnostiquer un problème de remise ou vérifier si un message est usurpé.

Ce guide montre comment récupérer les en‑têtes bruts depuis cPanel/Webmail (Roundcube) et depuis les clients courants, puis comment extraire rapidement les éléments utiles pour une investigation technique ou pour les transmettre au support. Voir aussi la documentation cPanel sur le webmail pour l’interface (Webmail → Roundcube) et l’article d’aide cPanel sur la recherche des en‑têtes (cPanel Webmail Interface, How do you find email headers?).

Prérequis

• Accès à cPanel (ou directement à la boîte e‑mail) ;
• Accès au message suspect dans le Webmail ou dans votre client (Gmail, Outlook, Thunderbird, Apple Mail...) ;
• Si vous contactez le support : relevé de la date/heure exacte (précisez le fuseau) + sujet et destinataire.

1) Récupérer les en‑têtes (méthodes courantes)

Depuis cPanel → Webmail (Roundcube)

1. Connectez‑vous à cPanel. (Voir notre guide « Comment accéder à mon compte cPanel? » si nécessaire.)
2. Dans le tableau de bord cPanel, ouvrez Email → Email Accounts, puis cliquez sur Check Email à droite de la boîte concernée pour lancer le Webmail.

1. Choisissez Roundcube si l’interface le propose et ouvrez la boîte de réception.
2. Dans Roundcube : sélectionnez le message, ouvrez le menu (trois points ou More) et choisissez Show Source / Afficher la source. Une fenêtre s’ouvre contenant les en‑têtes bruts puis le corps du message ; copiez tout le bloc.

Remarque : nous demandons au relecteur de fournir une capture Roundcube montrant explicitement la commande « Show Source » (affichage de la source brute) avec un repère rouge sur le bouton/menu. Cette capture est requise avant publication (voir les notes en fin d’article).

Autres clients / webmails (récapitulatif rapide)

Le libellé varie selon le client, mais l’action est la même : afficher la source/original du message et copier les en‑têtes.

• Roundcube : Sélectionner le message → menu (3 points) → Show Source / Afficher la source.
• Gmail (web) : ouvrir le message → menu (3 points) → Show original.
• Thunderbird : ouvrir le message → menu More → View Source.
• Outlook (Windows) : ouvrir le message dans une nouvelle fenêtre → Fichier → Properties → champ Internet headers (libellés et parcours peuvent varier selon la version).
• Apple Mail : sélectionner le message → menu View → Message → All Headers ou Raw Source (selon la version).

2) Copier et sauvegarder les en‑têtes bruts

1. Affichez la source complète (voir § précédent).
2. Sélectionnez tout (Ctrl/Cmd + A) et copiez (Ctrl/Cmd + C). Collez dans un fichier texte (.txt) en conservant l’intégralité des lignes Received: et du bloc d’en‑têtes.
3. Ne modifiez pas l’ordre des lignes : l’analyse des relais se base sur leur séquence exacte.

3) Lire et interpréter les champs essentiels

Voici les éléments qui apportent le plus d’informations utiles à une investigation.

Received

Chaque serveur SMTP qui transmet un message ajoute une ligne Received:. Pour reconstruire la trajectoire, lisez ces lignes du bas vers le haut : la ligne la plus basse (la première ajoutée) est généralement le premier serveur qui a accepté le message. Les lignes Received contiennent typiquement le nom d’hôte, l’adresse IP, et la date/heure du relais.

Received: from mail.example.org (mail.example.org [203.0.113.45])
        by mx.example.net (Postfix) with ESMTPS id 123ABC;
        Tue, 13 Oct 2026 09:41:00 +0000 (UTC)

Identifier la première adresse IP publique (non‑privée) rencontrée donne souvent le serveur initial d’envoi. Méfiez‑vous des adresses privées (10./172.16./192.168.) — elles indiquent un relais interne.

From / Return‑Path / Message‑ID

• From : champ visible affiché au destinataire (RFC 5322) — il peut être falsifié côté affichage.
• Return‑Path (enveloppe‑from) : adresse utilisée pour les bounces (retours d’erreur) ; pour l’origine technique, privilégiez souvent l’enveloppe et les Received.
• Message‑ID : identifiant unique du message, utile pour corréler le message avec les logs serveur.

Authentication‑Results, DKIM, SPF, DMARC

Le serveur récepteur peut ajouter un en‑tête Authentication‑Results indiquant les résultats des vérifications SPF, DKIM et DMARC (par ex. dkim=pass, spf=pass, dmarc=permerror). Ces verdicts sont cruciaux :

• SPF vérifie si l’adresse IP qui a envoyé le message est autorisée par l’enregistrement SPF du domaine d’envoi.
• DKIM vérifie la signature cryptographique attachée au message : si dkim=pass, la signature correspond au domaine indiqué dans le champ d= et le contenu n’a pas été altéré depuis la signature.
• DMARC applique une politique d’alignement (vérifie la concordance entre le domaine du From et le domaine validé par SPF/DKIM) et peut renvoyer pass / fail.

Pour vérifier la configuration publique (enregistrements DNS DKIM/SPF/DMARC) utilisez l’outil Email Deliverability de cPanel (Guide Email Deliverability).

Date / fuseau horaire

Le champ Date est fourni par l’expéditeur ; les dates effectives d’arrivée figurent souvent dans les lignes Received. Lors d’un signalement, indiquez toujours l’heure et le fuseau (ou UTC).

4) Exemple succinct de méthode d’analyse

1. Repérez et isolez toutes les lignes Received ; copiez‑les dans un fichier séparé si utile.
2. Relisez ces lignes du bas vers le haut pour suivre la chaîne des relais ; notez la première IP publique non‑locale rencontrée (possible serveur d’envoi initial).
3. Consultez Authentication‑Results : si dkim=pass et spf=pass, le message a été authentifié par ces contrôles. En cas d’échec (fail), soyez prudent et poursuivez l’analyse.
4. Comparez le champ From et le Return‑Path : une différence notable + échec d’authentification ← suspicion d’usurpation (spoofing).
5. Relevez le Message‑ID et, si nécessaire, fournissez‑le au support pour corrélation avec les logs serveur.

5) Que transmettre au support pour accélérer l’enquête

• Les en‑têtes bruts complets (fichier .txt ou coller le bloc dans le ticket) ;
• Date/heure exacte d’arrivée (indiquer le fuseau), sujet, destinataire ;
• Le Message‑ID du message et l’adresse IP repérée dans les Received si vous l’avez identifiée ;
• Capture d’écran de la vue source (optionnelle) et toute erreur affichée dans le Webmail.

Notre équipe pourra alors corréler ces éléments avec les journaux de messagerie (mail logs) pour déterminer l’origine réelle et proposer une action (blocage IP, ajustement des enregistrements DNS, ou conseils de sécurité).

Limites & précautions

• Certains en‑têtes peuvent être ajoutés ou manipulés par des relais contrôlés par l’expéditeur : privilégiez les verdicts d’authentification (DKIM/SPF/DMARC) et les lignes Received ajoutées par des serveurs de confiance.
• Les messages retravaillés (forwarders, lists) modifient parfois la chaîne des Received ; en cas d’ambiguïté, fournissez le message entier au support pour vérification côté serveur.
• Les libellés et emplacements de la commande « afficher la source » varient selon le client et la langue : utilisez toujours la vue « source/raw/original » pour être sûr d’avoir l’intégralité du bloc.

Dépannage rapide

• Si la commande « Show Source » n’apparaît pas dans votre webmail : essayez d’ouvrir le message dans un autre client (ex. Gmail web → Show original).
• Si des Received semblent manquants ou tronqués : joignez le message complet au support ; nos techniciens vérifieront les logs du serveur (Track Delivery / mail logs). Voir aussi notre guide « Suivre la remise : Comment suivre vos Emails dans cPanel ».
• Si le Webmail affiche une erreur du type « Could not load message from server » : signalez l’erreur avec une capture d’écran — cela peut indiquer un problème MIME côté expéditeur ou un incident serveur.

Besoin d’aide ?

Si vous souhaitez que notre équipe vérifie un message, ouvrez un ticket via notre espace client (Comment contacter le support) en joignant :

• les en‑têtes bruts (fichier .txt ou copier/coller) ;
• le Message‑ID, la date/heure, le sujet et le destinataire ;
• éventuellement une capture d’écran de la source ou du message.

Nous pourrons alors corréler avec les journaux et vous proposer l’action recommandée (blocage, ajustement DNS, recommandation de sécurité).

---

Références : RFC sur le format des messages (headings) et documentation cPanel sur le webmail et la recherche des en‑têtes. Pour en savoir plus sur DKIM/SPF/DMARC, consultez également notre guide « SPF et DKIM : Comment améliorer la réputation de mes emails envoyés sur cPanel? ».

Documentation de référence

• The Webmail Interface — cPanel & WHM Documentation
• How do you find email headers? — cPanel Support
• RFC 5322 — Internet Message Format (header fields)

Documentation consultée le 16 octobre 2026. Les outils peuvent varier selon votre hébergement.