Analizador de encabezados de correo

Cada encabezado Received registra un salto, el paso de un servidor de correo al siguiente. Léelos de abajo hacia arriba: el más bajo es el primer servidor que tocó el mensaje, el de arriba es el servidor que te lo entregó. La línea registra qué host lo envió (from), qué host lo recibió (by), el protocolo usado (with) y una marca de tiempo. Un hueco grande entre dos marcas de tiempo apunta a un retraso de cola en ese salto.

El servidor receptor escribe este encabezado para registrar lo que encontraron sus propias comprobaciones. Empieza con un authserv-id (el nombre del servidor, como mx.google.com) y luego lista cada método y su resultado: spf=pass, dkim=pass, dmarc=pass. Cada resultado nombra la identidad que juzgó, escrita como ptype.property: smtp.mailfrom para SPF, header.d para el dominio firmante de DKIM, header.from para DMARC. Este es el único lugar donde vive realmente el veredicto SPF, DKIM y DMARC. El analizador lo cita. No vuelve a ejecutar las comprobaciones.

El remitente añade este encabezado y firma parte del mensaje con una clave privada. El receptor la verifica con una clave pública publicada en el DNS. Las etiquetas que importan: d= es el dominio firmante, s= es el selector (así la clave pública se encuentra en s._domainkey.d), h= lista qué encabezados cubre la firma, bh= es el hash del cuerpo y b= es la firma en sí. El analizador te muestra las etiquetas. Verificar la firma necesita una consulta DNS, que no realiza.

Una nota legible que algunos receptores añaden junto al resultado SPF, indicando la IP de conexión (client-ip=) y el remitente de sobre contra el que se comprobó. Toma el valor spf= dentro de Authentication-Results como el resultado con autoridad. Received-SPF es una copia de conveniencia.

La cadena ARC (Authenticated Received Chain) permite a un reenviador registrar el resultado de autenticación que vio, para que un receptor posterior pueda seguir confiando en un correo cuyo SPF o DKIM se rompió en tránsito. Cada eslabón lleva un número de instancia i= (1 para el primer salto, sumando). El ARC-Seal informa de un valor de validez de cadena cv=: none significa que es el primer eslabón, pass que la cadena ha validado hasta aquí, fail que no validó. El analizador informa del cv= que declara cada sello. No valida los sellos por sí mismo. Más sobre la alineación DMARC.

Cuatro direcciones que suelen coincidir. From es de quién dice el mensaje que viene, y la identidad que juzga DMARC. Return-Path es el remitente de sobre, a donde van los rebotes, y la identidad que juzga SPF. Reply-To es a donde se envía una respuesta. Sender nombra a quién envió realmente el mensaje cuando difiere de From. Cuando estas direcciones apuntan a dominios sin relación, puede ser una señal de suplantación. La tarjeta de triaje antiphishing de arriba las compara por ti. Más sobre la alineación DMARC.

Un identificador único a nivel mundial que el servidor de envío estampa en el mensaje. Su parte de dominio suele coincidir con el sistema de envío, lo que es una comprobación rápida, y es el valor que los equipos de soporte piden para rastrear un mensaje concreto en los registros.

La hora a la que se compuso el mensaje, según la reportó el sistema del remitente. Compárala con las marcas de tiempo de los encabezados Received. Una Date muy alejada de la hora del primer salto puede indicar un reloj mal configurado o un mensaje reproducido.

Microsoft 365 estampa estos encabezados en el correo entrante para registrar lo que observó su filtro: la IP y el país de conexión, los niveles de confianza de spam y de correo masivo, el veredicto del filtro y cualquier consejo de seguridad. Son lo primero que leer cuando un correo legítimo cae en Correo no deseado en Microsoft 365. Los códigos se decodifican en la siguiente sección y en la tarjeta de Microsoft 365 de arriba.

¿Esta herramienta sube mis encabezados?

No. El analizador no sube tus encabezados. El procesamiento se realiza completamente en tu navegador. Puedes abrir las DevTools y mirar la pestaña Red mientras pulsas Analizar; ninguna petición lleva el texto de tus encabezados. La página en sí carga los scripts estándar del sitio (analítica, chat) antes de que pegues nada; esos scripts nunca ven el contenido de tus encabezados.

¿Verifica de forma independiente SPF, DKIM, DMARC y ARC?

No. La herramienta informa de lo que el encabezado Authentication-Results dice que verificó el servidor receptor. Para reverificar una firma DKIM o consultar una política DMARC publicada haría falta una consulta DNS, lo que rompería la garantía de privacidad. Los veredictos se etiquetan con su procedencia: según Authentication-Results, firma presente (sin verificar) o desconocido.

¿Cómo veo los encabezados en Gmail?

Abre el mensaje, haz clic en el menú de tres puntos en la esquina superior derecha del mensaje y elige Mostrar original. Gmail abre una nueva pestaña con la fuente completa. Copia todo lo que esté por encima de la primera línea en blanco, o pulsa Descargar original para guardar el archivo .eml.

¿Cómo veo los encabezados en Outlook?

Outlook web: abre el mensaje, haz clic en el menú de tres puntos, elige Ver y luego Ver origen del mensaje. Outlook clásico para Windows: abre el mensaje en su propia ventana, elige Archivo > Propiedades y copia el cuadro de encabezados de Internet. Nuevo Outlook y Outlook para Mac: abre el mensaje, haz clic en el menú de tres puntos y elige Ver origen.

¿Cómo veo los encabezados en Apple Mail?

Abre el mensaje y en la barra de menú elige Visualización > Mensaje > Todos los encabezados (o pulsa Mayús+Cmd+H). Los encabezados completos aparecen sobre el cuerpo del mensaje.

¿Cómo veo los encabezados en Thunderbird?

Abre el mensaje y en la barra de menú elige Ver > Encabezados > Todos. También puedes guardar el mensaje como .eml desde Archivo > Guardar como y soltar el .eml en el analizador.

¿Qué significa X-Forefront-Antispam-Report?

Es un encabezado de Microsoft 365 que registra lo que observó el filtro de flujo de correo entrante. El analizador decodifica los códigos que contiene: CIP (la IP de conexión), CTRY (su país), SCL (nivel de confianza de spam, -1 a 9), BCL (nivel de confianza de correo masivo 0-9), SFV (veredicto del filtro antispam), SFTY (consejo de seguridad antiphishing), IPV (estado de la lista de autorización de IP) y los flags de override SOR / SOT / SOI. Cada fila de la sección M365 muestra el valor crudo y una explicación en lenguaje claro.

¿Es seguro pegar un encabezado de producción sensible?

El procesamiento ocurre localmente, así que el texto del encabezado no se envía a ninguna parte por el analizador. Si tu organización prohíbe pegar cualquier dato de producción en una página de terceros, sigue esa política: es la regla más segura, y aun así puedes verificar la promesa de privacidad mirando las DevTools mientras pulsas Analizar.

¿Se puede saber si un correo está suplantado a partir del encabezado?

A menudo, aunque no siempre con certeza. El encabezado muestra indicios, no pruebas. La señal más fuerte es un fallo de DMARC en el encabezado Authentication-Results, que significa que el dominio From no se autenticó. La tarjeta de triaje antiphishing añade más: un nombre visible en From que cita una marca que no coincide con su dirección, o un Reply-To y un Return-Path en dominios sin relación. Cualquiera de estos merece una segunda mirada. Ninguno por sí solo demuestra que el mensaje es malicioso, y un correo de phishing bien construido aún puede superar las comprobaciones básicas, así que trata el encabezado como un dato, no como un veredicto final. DMARC se supera pero la suplantación continúa.

¿Por qué mi correo legítimo muestra DMARC=fail?

Casi siempre por la alineación, no porque el mensaje sea falso. DMARC solo se supera cuando SPF o DKIM autentica un dominio que coincide con el dominio From. Cuando envías a través de un servicio de terceros (una plataforma de marketing, una mesa de ayuda, una herramienta de nóminas) y no has configurado tu propio dominio dentro de él, SPF se supera para el dominio del proveedor y DKIM firma con el dominio del proveedor, así que ninguno se alinea con tu From. Un reenviador rompe la alineación de la misma forma. Lee el encabezado Authentication-Results y la tarjeta de triaje antiphishing aquí para ver qué identidad no logró alinearse, y luego corrígela dentro del servicio de envío. El correo del proveedor falla DMARC: arreglos por proveedor.

¿Que un correo supere DMARC significa que es seguro?

No. Que un correo supere DMARC te dice una sola cosa: el mensaje vino realmente del dominio de la dirección From y no fue suplantado. No dice nada sobre si ese dominio es de fiar ni sobre si el contenido es seguro. Un atacante que controla un dominio, o que registró un dominio parecido, puede enviar correo que supere DMARC para ese dominio. La autenticación responde a «¿viene esto realmente de este dominio?», no a «¿debo confiar en este dominio?». Usa el resultado como punto de partida y luego juzga al remitente y el contenido por sí mismos.