Что я смотрю

Чей это ящик. Банк, ведомство или магазин пишут со своего домена. Бесплатная почта, которую за минуту заводит кто угодно, у них не бывает.
Похож ли домен на знакомый. «sberbamk», «gosuslugi-help», «ozon-vozvrat» — название вставляют, чтобы ты не вчитывался.
Что написано в имени. Имя отправителя пишет кто угодно: «Служба безопасности» или даже чужой адрес в имени — а письмо пришло с совсем другого.
Мелочи. Дешёвые доменные зоны, национальные буквы вместо латинских, цифры вместо имени сервера.

Итог — как в «Проверке»: «похоже на подделку», «есть повод насторожиться» или «тревожных признаков нет».

Чего адрес не скажет

«От кого» можно подделать. Даже настоящий домен в письме не гарантия. Почта часто сама помечает такие письма — смотри предупреждения над письмом.
Настоящий ящик могли взломать. Письмо от знакомого с его обычного адреса тоже бывает разводом. Решает, о чём просят.

Если в письме просят код, пароль, данные карты или «скачать документ» — не важно, с какого адреса. Открой приложение или сайт сам и посмотри там. А сам текст письма можно проверить в «Проверке».