Authentification (SPF / DKIM / DMARC) — Vérifie que l'expéditeur est autorisé à envoyer au nom du domaine. Un échec SPF ou DKIM est un indicateur fort de spoofing.

Spoofing & Alignement — Compare le domaine dans From:, Return-Path, DKIM d= et DMARC. Une divergence est un signe classique d'usurpation.

Chaîne Received — Reconstruit le trajet de l'email serveur par serveur. Anomalies : trop de sauts, IPs résidentielles, timestamps incohérents.

Sujet & Contenu — Détecte les mots-clés d'urgence, les noms de banques françaises, les majuscules excessives et emojis.

Analyse d'URLs — Identifie l'absence de HTTPS, IPs brutes, TLDs à risque, raccourcisseurs, homoglyphes et mots sensibles sur domaines non légitimes.

Scoring — Chaque vérification modifie les scores. Le verdict combine risque phishing (0-100), risque spam (0-100) et confiance globale.