Ein E-Mail-Header ist der Block technischer Metadaten, der am Anfang jeder Nachricht steht, oberhalb von sichtbarem Betreff und Text. Er hält die Kette der Mailserver fest, die die Nachricht durchlaufen hat (die "Received"-Zeilen, von unten nach oben gelesen), in vielen Fällen die ursprüngliche IP-Adresse, Zeitstempel sowie Authentifizierungsergebnisse wie SPF, DKIM und DMARC, die zeigen, ob der Absender der war, für den er sich ausgab.
Für Ermittler steckt im Header die eigentliche Geschichte einer E-Mail. Ein Anzeigename und eine "From"-Adresse sind trivial zu fälschen, doch die Received-Kette und die Authentifizierungsergebnisse sind weit schwerer zu manipulieren und können den echten sendenden Server, den ungefähren Standort des Absenders und die Frage offenbaren, ob eine Nachricht gefälscht oder Teil einer Phishing-Kampagne ist. Header zu lesen ist eine Kernfähigkeit der E-Mail- und Betrugsermittlung.