E-mail wydaje się prostym dowodem: jest nadawca, adresat, data i treść. Problem w tym, że wszystkie te elementy widoczne w programie pocztowym można w prosty sposób sfałszować. Prawdziwa „metryka” wiadomości kryje się w nagłówkach – a większość osób nigdy ich nie widziała.
Dlaczego wydruk e-maila to za mało
Wydruk lub zrzut ekranu z Gmaila pokazuje to, co program pocztowy postanowił wyświetlić. Pole „Od” to w praktyce tekst, który nadawca może wpisać dowolnie – na tym polega tzw. spoofing, podstawowa technika w oszustwach phishingowych.
Skala zjawiska jest ogromna. Według raportu CERT Polska za 2025 r. aż 97% z 260 783 zarejestrowanych incydentów stanowiły oszustwa komputerowe, w których e-mail i SMS są podstawowymi kanałami ataku.
W sporze sądowym strona przeciwna może więc łatwo podnieść: „nigdy nie wysłałem tej wiadomości”. Sam wydruk zwykle nie pozwala tego technicznie zweryfikować. Nagłówki mogą dostarczyć dodatkowych danych do analizy, ale również nie są samodzielnym dowodem tożsamości konkretnej osoby.
Co zawierają nagłówki
Nagłówki to techniczna część wiadomości, dopisywana przez kolejne serwery, przez które e-mail przechodzi. Najważniejsze z nich:
| Nagłówek | Znaczenie |
|---|---|
| Received | Zapis każdego serwera na trasie wiadomości; czytany od dołu do góry |
| Message-ID | Identyfikator wiadomości generowany przez klienta, aplikację lub system uczestniczący w jej utworzeniu lub wysyłce; pomocny przy korelacji danych, ale sam nie potwierdza nadawcy |
| Date | Data deklarowana przez program nadawcy |
| From / Reply-To / Return-Path | Deklarowany nadawca, adres odpowiedzi, adres zwrotny |
| DKIM-Signature | Podpis kryptograficzny powiązany z domeną wskazaną w podpisie; wspiera ocenę integralności podpisanych elementów i domeny podpisującej, nie tożsamości konkretnej osoby |
| Authentication-Results | Wynik sprawdzenia SPF, DKIM i DMARC przez serwer odbiorcy |
| ARC-* | Łańcuch uwierzytelnienia przy przekazywaniu wiadomości |
SPF, DKIM, DMARC – po ludzku
SPF sprawdza, czy serwer, który wysłał wiadomość, jest uprawniony do wysyłania poczty w imieniu danej domeny.
DKIM to podpis cyfrowy nałożony przez serwer nadawcy. Weryfikuje, że treść i wybrane nagłówki nie zostały zmienione po drodze i że wiadomość pochodzi z domeny, która ją podpisała.
DMARC określa, co zrobić, gdy SPF lub DKIM zawiodą, i wiąże wynik z domeną widoczną w polu „Od”.
Od lutego 2024 r. Google i Yahoo wymagają od nadawców masowych (w przypadku Gmaila – powyżej 5000 wiadomości dziennie) m.in. uwierzytelniania SPF i DKIM oraz polityki DMARC. Dzięki temu coraz więcej legalnej poczty jest podpisywane, a brak podpisu staje się sygnałem ostrzegawczym.
Jak pobrać oryginał wiadomości
Najważniejsza zasada: nie przekazuj dalej („Przekaż”) wiadomości, którą chcesz zabezpieczyć. Przekazanie tworzy nową wiadomość z nowymi nagłówkami. Oryginalne nagłówki giną lub zostają zniekształcone.
Zamiast tego pobierz oryginał w formacie .eml (lub .msg w Outlooku):
Gmail
Otwórz wiadomość → menu z trzema kropkami → „Pokaż oryginał”. Zobaczysz podsumowanie wyników SPF, DKIM i DMARC oraz pełne nagłówki. Kliknij „Pobierz oryginał” – otrzymasz plik .eml.
Outlook (aplikacja desktopowa)
Otwórz wiadomość → Plik → Właściwości → pole „Nagłówki internetowe”. Całą wiadomość zapiszesz przez Plik → Zapisz jako (format .msg) lub przeciągając ją na pulpit.
Outlook w przeglądarce
Menu wiadomości → Wyświetl → „Wyświetl źródło wiadomości” lub „Pobierz” (w zależności od wersji interfejsu).
Apple Mail
Wiadomość → Pokaż → Nieprzetworzone źródło. Plik zapiszesz przez Plik → Zapisz jako (format „Źródło nieprzetworzone”).
Thunderbird
Otwórz wiadomość → Plik → Zapisz jako → Plik. Zapisuje się jako .eml.
Procedura zabezpieczenia krok po kroku
Nie odpowiadaj, nie przekazuj, nie przenoś wiadomości do innych folderów przed zabezpieczeniem.
Pobierz oryginał w formacie .eml lub .msg.
Zapisz nagłówki osobno w pliku tekstowym (skopiuj z widoku „Pokaż oryginał”).
Wykonaj zrzut ekranu widoku wiadomości oraz ekranu z wynikami SPF/DKIM/DMARC.
Zapisz załączniki w oryginale.
Oblicz skróty SHA-256 pliku .eml, załączników i zrzutów.
Nałóż kwalifikowany znacznik czasu na manifest.
Zostaw wiadomość na serwerze – nie usuwaj jej ze skrzynki.
Ekspercka wskazówka: zabezpiecz klucz DKIM
Podpis DKIM weryfikuje się kluczem publicznym opublikowanym w DNS domeny nadawcy. Firmy okresowo zmieniają (rotują) klucze. Po rotacji stary podpis może być niemożliwy do weryfikacji.
Dlatego w ważnych sprawach warto od razu utrwalić rekord DNS klucza. Selektor znajdziesz w nagłówku DKIM-Signature (parametr s=), domenę w parametrze d=. Rekord odczytasz poleceniem: nslookup -type=TXT selektor._domainkey.domena.pl (Windows) lub dig TXT selektor._domainkey.domena.pl (macOS/Linux). Zapisz wynik i obejmij go znacznikiem czasu.
Jak czytać nagłówki Received
Nagłówki Received czyta się od dołu do góry. Najniższy to pierwszy serwer (najbliżej nadawcy), najwyższy – ostatni (serwer Twojej skrzynki).
W każdym nagłówku Received znajdziesz:
- nazwę i adres IP serwera wysyłającego,
- nazwę serwera odbierającego,
datę i godzinę przyjęcia wiadomości.
Na co zwracać uwagę:
ciągłość czasu – daty powinny rosnąć od dołu do góry, z niewielkimi opóźnieniami,
adres IP pierwszego serwera – może wskazać operatora lub dostawcę poczty nadawcy,
niezgodność domen – wiadomość „z banku” wysłana z serwera, który nie ma nic wspólnego z bankiem.
Adres IP nie zawsze identyfikuje nadawcę. Duzi dostawcy (Gmail, Outlook.com) często nie ujawniają IP użytkownika, a jedynie adresy własnych serwerów. Ustalenie tożsamości wymaga wtedy zapytania organów do dostawcy.
Poczta firmowa i dowody z serwera
W firmach często istnieje druga kopia wiadomości – na serwerze pocztowym, w archiwum lub systemie kopii zapasowych. W sporze warto:
poprosić administratora IT o zabezpieczenie wiadomości na serwerze (z dziennikami serwera),
- zabezpieczyć logi serwera pocztowego z okresu wysyłki,
wstrzymać automatyczne usuwanie w systemach retencji (tzw. legal hold).
Logi serwera potrafią pokazać, kiedy i z jakiego adresu IP ktoś zalogował się do skrzynki, co przydaje się np. przy sporach o to, kto faktycznie wysłał wiadomość z konta firmowego.
Przykład modelowy
Przedsiębiorca otrzymuje e-mail „od kontrahenta” z informacją o zmianie numeru rachunku bankowego. Przelewa 80 000 zł. Po tygodniu okazuje się, że kontrahent nigdy takiej wiadomości nie wysłał.
Księgowa drukuje e-mail i przekazuje go policji. Przedsiębiorca w międzyczasie przekazuje go dalej do kontrahenta z pytaniem „co to jest?” – po czym usuwa oryginał, by „nie mieć wirusa w skrzynce”.
Dopiero po odzyskaniu wiadomości z kosza okazuje się, że domena nadawcy różni się jedną literą od domeny kontrahenta, SPF dla niej przeszedł poprawnie (oszuści zarejestrowali własną domenę), a nagłówki Received wskazują serwer w innym kraju. To kluczowe informacje dla organów ścigania i dla ewentualnego sporu z bankiem lub ubezpieczycielem.
Wartość dowodowa w procesie
E-mail jest dokumentem w rozumieniu art. 77³ k.c. W procesie cywilnym sąd oceni go swobodnie. Jeżeli druga strona zaprzecza autentyczności, w praktyce to strona powołująca się na wiadomość musi wykazać jej pochodzenie (por. regułę z art. 253 k.p.c. dotyczącą dokumentów prywatnych).
Plik .eml z zachowanymi nagłówkami i wynikiem weryfikacji DKIM daje biegłemu znacznie więcej danych do oceny integralności, domeny podpisującej, trasy i spójności wiadomości. Nie przesądza jednak samodzielnie o tożsamości konkretnego nadawcy. Wydruk takiej możliwości nie daje.
Phishing i podszywanie się – na co patrzeć w nagłówkach
W sprawach o oszustwa e-mailowe (np. podmiana numeru rachunku, fałszywe faktury, podszywanie się pod zarząd) nagłówki pozwalają szybko odpowiedzieć na pytanie, czy wiadomość mogła pochodzić od rzekomego nadawcy.
Sygnały ostrzegawcze:
domena łudząco podobna do prawdziwej (zamiana liter, dodatkowy myślnik, inna końcówka),
Reply-To różny od From – odpowiedź trafia do oszusta, nie do rzekomego nadawcy,
SPF lub DKIM z wynikiem „fail” dla domeny w polu From,
DMARC „fail” przy domenie, która ma politykę DMARC,
nagłówki Received wskazujące na serwery niezwiązane z firmą.
Pamiętaj, że pozytywny wynik SPF i DKIM nie oznacza, że wiadomość jest uczciwa. Oznacza tylko, że pochodzi z domeny, którą podpisano. Oszuści często rejestrują własne, podobne domeny i poprawnie je konfigurują.
Skrzynka przejęta przez przestępcę
Osobny scenariusz to prawdziwa skrzynka kontrahenta, do której dostęp uzyskał przestępca. Wtedy nagłówki będą „czyste”, bo wiadomość rzeczywiście wyszła z serwerów kontrahenta.
W takim przypadku kluczowe są logi logowań do skrzynki po stronie kontrahenta (adresy IP, lokalizacje, godziny) oraz reguły przekierowań i filtry ustawione przez intruza. Warto jak najszybciej poprosić kontrahenta o ich zabezpieczenie – logi bywają przechowywane tylko przez kilka tygodni.
Lista kontrolna
Nie przekazuję dalej i nie usuwam.
Pobieram oryginał .eml / .msg.
Zapisuję pełne nagłówki.
Utrwalam wyniki SPF, DKIM, DMARC.
Zapisuję załączniki w oryginale.
W ważnych sprawach – utrwalam rekord DNS klucza DKIM.
Skróty SHA-256 i znacznik czasu.
W firmie – zabezpieczenie na serwerze i logi.
FAQ
Czy e-mail bez podpisu kwalifikowanego jest dowodem?
Tak. Kwalifikowany podpis elektroniczny daje dokumentowi określone skutki (np. formy pisemnej), ale zwykły e-mail też jest dowodem podlegającym swobodnej ocenie sądu.
Czy PDF z e-mailem wystarczy?
„Drukowanie do PDF” to w istocie wydruk. Zachowuje obraz, ale nie nagłówki w oryginalnej formie. Zawsze dołączaj plik .eml.
Czy mogę zabezpieczyć e-mail, który już usunąłem?
Sprawdź kosz – wiele usług przechowuje usunięte wiadomości przez określony czas (np. 30 dni). Jeśli wiadomość zniknęła, może istnieć kopia u adresata, na serwerze firmowym lub u dostawcy poczty.
Podstawa prawna i źródła
Kodeks cywilny: art. 77³.
Kodeks postępowania cywilnego: art. 233 § 1, art. 243¹, art. 253.
RFC 5322 (format wiadomości), RFC 7208 (SPF), RFC 6376 (DKIM), RFC 7489 (DMARC).
Google, Wytyczne dla nadawców e-maili (wymogi od lutego 2024 r.).
CERT Polska / NASK, raport roczny za 2025 r.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Opisane scenariusze są typowymi, uogólnionymi przykładami.
Nota: materiał edukacyjny; nie stanowi indywidualnej porady prawnej ani gwarancji dopuszczalności, wiarygodności lub mocy dowodowej konkretnego materiału.