По заголовкам можно восстановить путь письма: каждый почтовый сервер дописывает строку с временем приёма и адресом, откуда пришло сообщение. Доверять можно строкам, которые добавили серверы, не подконтрольные отправителю, — ниже первого такого сервера строки мог вписать сам отправитель. Если домен подписывает письма, подпись показывает, менялись ли после отправки подписанные поля заголовка и текст; для проверки нужен опубликованный ключ, а его со временем заменяют.
Многие веб-почтовые сервисы, например Gmail, не указывают адрес компьютера, с которого пользователь написал письмо, — видно только их собственный сервер. Ошибка проверки подписи после пересылки ещё не означает подделки. Распечатка или пересланная копия обычно теряет часть заголовков.
Для исследования нужен исходный файл письма, выгруженный из почтовой программы или ящика, а лучше — доступ к самому ящику или его копия. Если письмо оспаривается, полезно получить его экземпляры и у отправителя, и у получателя.