Test je e-mail: plak de broncode, krijg het oordeel
De bekende spamtesters vragen je om ze een echte e-mail te sturen, omdat ze een mailserver nodig hebben om die te ontvangen. Deze site heeft geen server om iets te ontvangen — dus plak je in plaats daarvan het bericht, en doet de browser de hele analyse voor je ogen.
- Draait vanuit je browser, niet op onze server
- Geen registratie
- Geen watermerk
De tool wordt geladen…
Hoe het werkt
- Open het bericht in je mailprogramma en haal de broncode op: “Origineel weergeven” in Gmail, Ctrl+U in Thunderbird, “Berichtbron weergeven” in Outlook on the web. Download het .eml-bestand als dat kan — kopiëren en plakken kan spaties en regeleinden veranderen, en dan mislukt de DKIM-controle (die het bericht teken voor teken vergelijkt).
- Plak het hierboven, of sleep het .eml-bestand op het vak.
- Druk op “Analyse” (analyseren). Lees eerst het blok “Authentication” (authenticatie) — dat laat zien of de mail bewijst wie hem heeft verstuurd, wat ontvangende servers het belangrijkst vinden — en daarna de inhoudsregels, elk met hun eigen punten.
Waarom er niets wordt geüpload
Alles wat deze pagina doet, doet code die in je browsertabblad draait, met dezelfde engine die ook webpagina’s tekent. Je bestand wordt van schijf naar het geheugen van dat tabblad gelezen, daar bewerkt en weer weggeschreven als download. Het wordt nergens naartoe gestuurd — niet naar ons, en niet naar een derde partij.
Controleer het zelf
- Open de ontwikkelaarstools van je browser (F12) en kies het tabblad Netwerk.
- Laad je bestand en start de tool.
- De enige verzoeken die je ziet, halen de code van de tool zelf op — en bij een paar zware tools hun opensource-engine van een openbare CDN — plus één kleine bezoekmelding aan loreatec.jp (adres en titel van de pagina, meer niet). In geen van die verzoeken zit jouw bestand.
Veelgestelde vragen
Waarom de broncode plakken in plaats van een testbericht sturen?
Omdat het ontvangen van een bericht een mailserver vereist, en die heeft deze site niet — alles hier draait in je browser. Die ruil is eerlijk: een spamtester die je mail ontvangt, kan hem lezen en bewaart hem dagenlang; hier verlaat hij je computer nooit. Wat je kwijtraakt, is het adres van de verzendende server zoals een ontvanger dat zou zien, dus de tool leest dat in plaats daarvan uit de eigen bezorgheaders van het bericht, en laat je het corrigeren.
Hoe controleert hij DKIM zonder server?
DKIM is een handtekening die bewijst dat het bericht echt van het domein van de afzender komt en onderweg niet is veranderd. Om dat te controleren zijn maar twee dingen nodig die browsers al ingebouwd hebben: een manier om een vingerafdruk van het bericht te berekenen en een manier om een handtekening tegen een publieke sleutel te toetsen. De tool bereidt het bericht precies voor zoals de standaard (RFC 6376) vereist, haalt de publieke sleutel op naam uit DNS op, en controleert. Dit is getest tegen de officiële voorbeelden in RFC 8463, voor zowel RSA- als Ed25519-sleutels.
DKIM zegt dat de body niet overeenkomt, maar de mail kwam gewoon aan.
Bijna altijd ligt dat aan het plakken. Een bericht via een browser kopiëren kan tabs, spaties aan het einde van regels en regeleinden veranderen, en de DKIM-handtekening dekt de body teken voor teken. Download het origineel als .eml-bestand en sleep dat hier in plaats daarvan naartoe. Mislukt het ook met het .eml-bestand, dan is de body na het ondertekenen echt veranderd — een voettekst van een mailinglijst, een banner die een antivirusprogramma heeft toegevoegd, of een doorstuurserver.
Is de score hetzelfde als het bekende cijfer op tien?
Nee, en dat doet hij ook niet alsof. Het is onze eigen verzameling regels, en elke regel staat met zijn punten op de pagina, zodat je precies kunt zien waar het getal vandaan komt. Geen enkele score kan voorspellen waar een mail terechtkomt: de grootste factor is je reputatie als afzender bij elke ontvanger, en die is van buitenaf onzichtbaar — voor iedereen, ook voor de betaalde tools.
Waarom staan sommige blocklists als “not checkable” (niet te controleren) vermeld?
Een blocklist is een openbare lijst van adressen waarvan bekend is dat ze spam versturen. Sommige daarvan weigeren vragen die via openbare DNS-diensten binnenkomen, en een browser kan alleen via openbare DNS-diensten vragen. Spamhaus, URIBL en SURBL antwoorden met een code die betekent “dat vertel ik je niet”. Dat als “schoon” melden zou de gevaarlijkste soort fout zijn, dus de tool noemt ze bij naam en linkt in plaats daarvan naar hun eigen opzoekpagina’s. De vijftien lijsten die wel antwoorden, worden gewoon gecontroleerd.
Kan ik een bericht controleren zonder enig netwerkverkeer?
Ja — vink het DNS-vakje uit. Alles wat alleen op basis van het bericht te controleren is, blijft werken: headers, de bezorgroute, de structuur, de HTML, de links, de wettelijke vereisten en de DKIM-bodycontrole. Alleen de onderdelen die echt DNS nodig hebben, worden gemarkeerd als “not checked” (niet gecontroleerd).