为从事严肃工作的团队打造
诉讼律所
应急响应
数字取证实验室
执法机构
eDiscovery 服务商
// 交互式演示
看一个邮件头如何招供。
加载示例取证邮件头，观看 HeaderLume 逐跳重建该邮件的传输路径 — 与设备上的运行方式完全一致。
HeaderLume — 取证分析会话
evidence/message-0447.eml
SPF
—
SPF: PASS — 发送 IP 203.0.113.47 依据该域名公布的 SPF 记录，是 veridian-legal.example 的授权发件方。
DKIM
—
DKIM: PASS — 加密签名（选择器 s2048）验证通过。邮件正文与关键邮件头在传输中未被篡改。
DMARC
—
DMARC: WARNING — From 域对齐宽松且策略为 p=none。伪造邮件不会被收件方拒收。
ARC
—
ARC: SEALED — 认证结果经有效 ARC 签章（i=1）在整条转发链上得到保全。
idle — no evidence loaded
// 能力
一间完整的取证实验室。全程无需网络。
专为不能让证据泄露到云端的鉴定人、诉讼律师和应急响应人员打造。
离线 MIME 解析器
原始 RFC-5322 邮件头解析完全在设备上执行。任何数据都不会离开鉴定人的电脑。
3D 传输路由测绘
绘制路径的地理地图：解析 IP 跳点并测量中继延迟异常。
认证信号灯
对 SPF、DKIM、DMARC 与 ARC 安全签章进行即时状态审计。
eDiscovery 加载文件
自动生成 Concordance .DAT 加载文件与 .OPT 图像日志，供 Relativity 导入。
省内存的 MBOX 流式处理
以异步方式逐行流式处理巨型邮箱数据库（10GB+），不会因内存耗尽而崩溃。
Absolute Zero Telemetry
由 App Sandbox 强制执行的离线隔离开关，可即时阻断所有网络套接字。
// 实战一线
为鉴定人的工作台而造。
原生 macOS，默认深色，为长时间分析而设计。点击浏览工作流程。
// 为什么不手工来？
手工读邮件头没法规模化。也站不住脚。
谁都能盯着 Received 链看。产出可辩护、可复现的结论是另一门手艺。
| 任务 | 手工阅读邮件头 | 通用网页检测器 | HeaderLume |
|---|
| 解析完整 Received 链 | 数分钟，易出错 | 部分 | 即时，每一跳 |
| 中继延迟异常检测 | 逐跳手工计算 | 无 | 自动 Δ 分析 |
| SPF / DKIM / DMARC / ARC 审计 | 需要命令行工具 | 基础 | 信号灯即时呈现 |
| 证据保密性 | 本地 | 上传给第三方 | 100% 设备端，沙盒隔离 |
| 10GB+ MBOX 归档 | 不可行 | 有上传限制 | 异步流式处理 |
| 可呈堂的输出 | 手工排版 | 屏幕截图 | PDF 证书 + .DAT/.OPT |
// 为法庭而造
对方律师挥不掉的鉴定结论。
每份 HeaderLume 分析证书都嵌入鉴定人身份、时间戳与 SHA-256 证据哈希 — 用于认证电子记录的元数据基石。
分析从不离开这台电脑，因此你的证据保管链完好无损：没有可被传唤的第三方处理者，也没有需要向法官解释的云服务条款。
Concordance .DAT 与 .OPT 导出可直接进入 Relativity 及诉讼支持团队已在使用的其他审阅平台。
FRE 902(13)–(14)
自我认证的电子记录
由电子过程生成的经认证记录，以及带数字标识（哈希）复制的数据，可以在无需当庭基础证言的情况下被采纳。HeaderLume 的证书正是围绕这一框架构建的。
符合 Daubert 标准的方法论
可复现、有文档的流程
对公开标准（RFC 5322、RFC 7208、RFC 6376、RFC 7489）的确定性解析，意味着另一位鉴定人可以一步不差地复现你的结论。
evidence-0447 · sealed · SHA-256 logged
// 实务场景
HeaderLume 的用武之地。
同一个解析器，三张截然不同的工作台。
诉讼与 eDiscovery
认证有争议的邮件、标记伪造链条，并向律师递交可作呈堂证物的 PDF 证书 — SHA-256 哈希与鉴定人元数据已内嵌。加载文件可直接进入 Relativity。
PDF certificates · .DAT / .OPT
应急响应
数秒完成钓鱼与 BEC 攻击的分诊：追踪真实源头、审计 SPF/DKIM/DMARC 对齐、捕捉中继延迟异常 — 处理的是绝不能触碰第三方服务器的特权材料。
SPF · DKIM · DMARC · ARC
取证实验室与执法机构
处理完整的保管人邮箱 — 10GB+ MBOX 归档异步流式处理 — 在一条证据保管链从不离开工作台的物理隔离流程中。
10GB+ MBOX · air-gap
// 授权
证据级工具，适配任何规模。
免费开始。案件量增长时再升级。
Basic
给好奇的调查者
$0
免费下载。无需账户。
- 单个 EML 解析
- 原始邮件头可视化
- 本地 DNS 检查
免费下载
最受欢迎
Premium
在职鉴定人的年度订阅
$199.99$99.99/ 首年
此后按每年 $199.99 自动续订。支持家人共享。
- 无限 EML / MBOX 解析
- 3D 传输测绘
- eDiscovery 加载文件导出
- 可呈堂的 PDF 证书
开通 Premium — 零风险
Genesis Partner
面向律所与实验室的终身许可
$999.99
一次付费。永久拥有。
- 终身许可，含未来所有大版本升级
- 优先开发者支持
- 企业多席位部署密钥
成为合作伙伴
订阅经由 Mac App Store 结算 — 随时一键取消，并适用 Apple 标准退款保障。你的银行卡信息绝不会触及我们的服务器（我们根本没有服务器）。
// 常见问题
每位鉴定人都会问的问题。逐一作答。
如何在 Mac 上查看邮件头？
在 Apple Mail 中打开邮件，选择 显示 → 邮件 → 所有邮件头，然后把原始文本粘贴进 HeaderLume（或拖入 .eml 文件）。它会解析每个 Received 跳点、解析源 IP，并把传输路由绘制成可视化图形 — 无需人工解码。
HeaderLume 能追踪邮件发件人的 IP 地址吗？
能。它遍历原始 RFC-5322 邮件头中的 Received 链，提取每个中继 IP，并逐跳绘制地理路由 — 同时标记提示伪造或拦截的中继延迟异常。注意：真实源头可能被链条中的第一家服务商遮蔽；HeaderLume 会准确展示证据能到达的边界。
邮件头分析可以作为呈堂证据吗？
经妥善认证的邮件头证据被法庭例行采纳。HeaderLume 的 PDF 证书内嵌鉴定人元数据与 SHA-256 证据哈希，旨在支持依据 FRE 902(13)–(14) 对自我认证电子记录的认证。（各辖区的具体要求请咨询你的律师。）
HeaderLume 会把我的邮件上传到任何地方吗？
不会。所有解析都在 macOS App Sandbox 内本地运行 — 没有跟踪脚本、没有分析统计、没有日志。Absolute Zero Telemetry 开关会阻断每一个出站套接字，包括可选的地理位置查询，实现完全物理隔离的检验。
SPF、DKIM 和 DMARC 有什么区别？
SPF 验证发送服务器的 IP 是否获域名授权。DKIM 以加密方式证明邮件在传输中未被篡改。DMARC 把两者与可见的 From 地址绑定，并告诉收件方失败时如何处理。HeaderLume 以即时信号灯的形式审计这三者 — 外加转发邮件的 ARC 签章。
HeaderLume 支持哪些导入导出格式？
导入：粘贴的原始邮件头、.eml 文件与 MBOX 归档（异步流式处理，支持 10GB+）。导出：可呈堂的 PDF 分析证书、PNG 遥测图表，以及供 Relativity 导入的 Concordance .DAT / .OPT 加载文件。
