Analizar encabezado de correo electrónico
Pega los encabezados sin procesar de un mensaje y verás quién lo envió de verdad, si pasó SPF, DKIM y DMARC y qué camino siguió de servidor en servidor. La herramienta lee lo que el servidor receptor ya anotó en los encabezados, así que sirve para analizar un encabezado de correo y no es un veredicto sobre si el mensaje es seguro.
Analizar encabezado de correo, paso a paso
- En tu app de correo abre el mensaje, elige «Mostrar original» o «Ver código fuente» y copia el bloque de encabezados (todo lo que hay encima de la línea en blanco previa al cuerpo del mensaje).
- Pégalo en Encabezados de correo sin procesar (hasta 200 000 caracteres). Borrar vacía el cuadro.
- Pulsa Analizar encabezados. Si nada del texto parece un encabezado, te lo indica y puedes pegar de nuevo.
- Lee los Resultados: asunto y fecha, y después las tarjetas Remitente real, Autenticación y Ruta. La flecha atrás vuelve al texto pegado y Empezar de nuevo lo borra todo.
Cómo saber si un correo es falso: Remitente real
Tres direcciones pueden diferir, y esas diferencias son lo útil. Return-Path es adonde van los rebotes y lo fija el servidor que de verdad envió el mensaje. From es el nombre y la dirección que ves en la bandeja de entrada. Reply-To es adonde irá tu respuesta, y Sender aparece cuando el mensaje se envió en nombre de la dirección de From. La tarjeta también muestra la Primera IP pública de la ruta.
Debajo pueden salir dos avisos. «From y Return-Path están en el mismo dominio» es lo esperable. «From y Return-Path están en dominios distintos» invita a mirar con más calma, aunque los servicios de boletines y de envío masivo lo hacen de forma legítima. «Las respuestas van a un dominio distinto del de From» merece una segunda mirada antes de responder.
Comprobar SPF, DKIM y DMARC
La tarjeta Autenticación muestra cada comprobación como una insignia, junto con las propiedades registradas, como smtp.mailfrom, header.d y header.from. SPF pregunta si el servidor remitente podía enviar en nombre del dominio, DKIM si el mensaje está firmado y la firma es válida, y DMARC si la política del propio dominio acepta el mensaje.
- Correcto: el servidor receptor hizo la comprobación y salió bien.
- Fallo: la comprobación falló; el servidor no estaba autorizado o la firma no coincidía.
- Fallo leve: solo en SPF; probablemente el servidor no está autorizado, pero el dominio no exige rechazar el mensaje.
- Neutral: el dominio no afirma nada en un sentido ni en otro.
- Ninguno: el dominio no publicó nada con lo que comparar.
- Error temporal y Error permanente: el servidor no pudo terminar la comprobación, por ejemplo por una consulta DNS agotada o un registro roto.
- Política: el resultado lo decidió la política del propio servidor receptor.
- Sin verificar: hay una firma DKIM, pero ningún servidor registró un resultado.
- No encontrado: los encabezados no traen ningún resultado de esa comprobación.
Los resultados salen del encabezado Authentication-Results más alto, incluido el estilo de Outlook sin identificador de servidor. Si no hay ninguno, SPF recurre a Received-SPF y DKIM al encabezado DKIM-Signature.
Ver cabecera de correo: la ruta del mensaje
Cada servidor que maneja el mensaje añade una línea Received arriba del todo. La tarjeta Ruta las invierte para que el salto más antiguo salga primero y muestra, por salto, el servidor emisor (de), sus direcciones IP, el servidor receptor (por), el protocolo, la hora en UTC y cuánto tardó respecto al salto anterior. El resumen indica cuántos servidores hubo y el tiempo total en tránsito.
Una demora larga entre dos saltos revela dónde esperó el mensaje, por ejemplo en una cola o en un filtro de spam. Mostrar valores sin procesar enseña el texto exacto del encabezado bajo cada fila.
Ver cabecera de correo en Outlook y Gmail
En Gmail abre el mensaje, usa el menú de tres puntos, elige «Mostrar original» y copia el bloque de encabezados de arriba. Para ver la cabecera de correo en Outlook, busca las propiedades o los detalles del mensaje (en el Outlook clásico: Archivo y luego Propiedades; en el nuevo: Ver y luego Ver detalles del mensaje). Los nombres de los menús cambian entre versiones, y casi todas las demás apps de correo tienen una opción parecida para ver el código fuente.
Lo que esta herramienta no puede hacer
No verifica firmas ni consulta nada en el DNS. Informa de los resultados que el servidor receptor escribió en los encabezados. Un mensaje falsificado puede llegar con líneas Authentication-Results inventadas, así que solo es fiable la más alta, la que añadió tu propio proveedor; las anteriores las escribieron otros y pueden ser falsas. No garantiza que un mensaje sea seguro o inseguro, y no busca dónde se encuentra una dirección IP.
Tus encabezados se leen en tu navegador. No se sube ni se guarda nada. Los encabezados truncados o mal formados se tratan sin errores: se decodifican las líneas plegadas y los nombres y asuntos codificados, y la lectura se detiene en la línea en blanco previa al cuerpo del mensaje.
Preguntas frecuentes
¿Cómo se analiza un encabezado de correo electrónico?
Copia el bloque completo de encabezados del mensaje, pégalo en «Encabezados de correo sin procesar» y pulsa «Analizar encabezados». La pantalla de resultados ordena las líneas que importan: la tarjeta «Remitente real» (Return-Path, From, Reply-To), la tarjeta «Autenticación» (SPF, DKIM, DMARC) y la tarjeta «Ruta» con todos los servidores por los que pasó. Con «Mostrar valores sin procesar» ves el texto exacto del encabezado detrás de cada fila.
¿Dónde veo la cabecera de un correo en Gmail o en Outlook?
En Gmail abre el mensaje, usa el menú de tres puntos y elige «Mostrar original»; luego copia el bloque de encabezados de arriba. En Outlook busca las propiedades o los detalles del mensaje (Archivo, luego Propiedades, en el clásico; Ver, luego Ver detalles del mensaje, en el nuevo). Los nombres de los menús cambian según la versión.
¿Cómo ver el encabezado de un correo en Gmail y de dónde viene realmente?
En Gmail se abre desde «Mostrar original». Para saber de dónde viene, mira el Return-Path y la «Primera IP pública de la ruta» en la tarjeta «Remitente real». El Return-Path lo fija el servidor que envió el mensaje, y la primera IP pública es la dirección externa más antigua de las líneas Received. Ambos pueden ser un servicio de correo y no una persona, y un mensaje falsificado puede falsear las líneas que trae desde el principio, así que son pistas, no pruebas.
¿Puedo saber la IP de quien envió un correo?
A menudo se ve una IP, pero no siempre la del remitente. La herramienta lista las direcciones IP de cada línea Received y marca la primera pública de la ruta. Cuando alguien envía desde Gmail, Outlook o un servicio de boletines, esa dirección es del servidor de correo, no de su móvil ni de su ordenador. La herramienta no busca la ubicación de una IP.
¿Cómo saber si un correo es falso o verdadero?
Compara las identidades y lee los resultados de autenticación. Aparece un aviso cuando From y Return-Path están en dominios distintos o cuando las respuestas van a un dominio distinto del de From. Luego mira SPF, DKIM y DMARC: un «Fallo» en DMARC en un mensaje que dice venir de un banco o de alguien que conoces es una señal de alarma. En los boletines es normal que los dominios difieran, así que usa los avisos como motivo para mirar con más calma, no como veredicto.
¿Qué es un fallo leve de SPF?
Un fallo leve significa que el registro SPF del dominio emisor indica que el servidor que entregó el mensaje probablemente no está autorizado, pero no exige rechazarlo. Los servidores receptores suelen aceptar ese correo y marcarlo, así que un fallo leve es un aviso y no una prueba de falsificación. «Fallo» es el resultado más estricto y «Neutral» significa que el dominio no afirma nada.
¿Por qué sale «Sin verificar», «Ninguno» o «No encontrado»?
«Sin verificar» significa que hay una firma DKIM pero ningún servidor registró un resultado. «Ninguno» indica que el dominio no publicó nada con lo que comparar. «No encontrado» quiere decir que los encabezados no traen ningún resultado de esa comprobación, algo que ocurre cuando el servidor receptor no lo anota o cuando solo se pegó una parte de los encabezados. «Política», «Error temporal» y «Error permanente» son resultados que escribió el propio servidor.
¿Puedo fiarme de las líneas Authentication-Results de un encabezado?
Solo de la más alta, la que añadió tu propio proveedor de correo. Las líneas anteriores de la ruta las escribieron otros servidores y puede falsificarlas quien envió el mensaje. Esta herramienta lee esas líneas tal como están registradas; no comprueba firmas ni consulta el DNS, sino que informa de lo que tu proveedor ya decidió.
¿Es gratis y se suben mis encabezados?
Es gratis y no hace falta cuenta. Los encabezados se leen en tu navegador y no se suben ni se guardan. El texto pegado tiene un límite de 200 000 caracteres, mucho más que un bloque de encabezados normal.
Recomendado
-
Yubico Security Key C NFC¿Un correo falso? Protege tus cuentas con una llave de seguridad física.
-
YubiKey 5C NFCUna llave versátil para accesos de administrador y trabajo, a prueba de phishing.
-
Hub USB-C Belkin de 4 puertos (100 W)Más puertos para el portátil con el que investigas problemas de correo.
Ayuda a mantener las herramientas gratis. ✨
Imágenes meramente ilustrativas. En calidad de Afiliado de Amazon, obtengo ingresos por las compras adscritas que cumplen los requisitos aplicables.
