Un'intestazione del messaggio è il metadato associato a un messaggio email. Registra dettagli come i campi del mittente e del destinatario, gli ID del messaggio, le marcature temporali, i salti tra server e i risultati dell'autenticazione. In un'indagine, le intestazioni aiutano gli analisti a tracciare come un messaggio si è spostato tra i server di posta, dove potrebbe essere originato e se è stato alterato durante il transito.
Le intestazioni dei messaggi sono importanti nella sicurezza informatica perché supportano l'analisi del phishing, il rilevamento dello spoofing e la ricostruzione degli incidenti. Gli aggressori spesso falsificano i nomi visualizzati o i campi dell'envelope, ma non possono nascondere completamente la cronologia di instradamento scritta nelle intestazioni e nei log dei server. I difensori confrontano le intestazioni con i log SMTP, i record del gateway di posta, i risultati di SPF, DKIM e DMARC per individuare abusi di relay, account compromessi o inoltri sospetti. Un'intestazione da sola non è la prova di una compromissione, ma è una parte fondamentale della catena delle prove.