Analizador de encabezados de correo
Pega los encabezados en bruto de un mensaje —o suelta el .eml completo— y obtén la historia que cuentan: la cadena Received salto a salto con el retraso en cada paso, los veredictos SPF, DKIM y DMARC que registró tu proveedor, si Reply-To y Return-Path apuntan en silencio a dominios distintos del From, y los enlaces del cuerpo neutralizados y sus adjuntos marcados. Cada hallazgo se lista con su motivo y su peso. Funciona por completo en tu navegador: los encabezados son un mapa de la ruta de tu correo, y los mapas no deberían subirse para su inspección.
O suelta un archivo .eml en cualquier parte de este cuadro, o elige uno:
Hallazgos
Identidad del remitente
Authentication-Results
Cadena Received (el salto más reciente primero: es el orden en que los servidores los anteponen)
| # | From | By | Sellado (UTC) | Retraso desde el salto anterior |
|---|
Enlaces en el cuerpo (neutralizados: seguros para leer, no para hacer clic)
Adjuntos
Cómo obtener los encabezados de un mensaje
Cada cliente de correo los esconde un menú más adentro de lo que debería. En Gmail, abre el mensaje, haz clic en el menú de tres puntos y elige «Mostrar original»: el bloque completo de encabezados está en la parte superior de lo que aparece, sobre el cuerpo codificado. En Outlook en la web es «Ver código fuente del mensaje» en los mismos tres puntos; en Outlook de escritorio, abre el mensaje y luego Archivo → Propiedades muestra los encabezados de internet en un cuadro en la parte inferior. Apple Mail usa Visualización → Mensaje → Todos los encabezados, o Código fuente para el archivo completo. Para entregar al analizador la evidencia completa, guarda o exporta el mensaje como .eml («Descargar mensaje» en Gmail, Archivo → Guardar como en formato de código fuente en Apple Mail) y suelta el archivo: de él se leen los encabezados, el cuerpo y los nombres de los adjuntos. Los encabezados por sí solos bastan para el análisis de la cadena y la autenticación; el .eml añade las comprobaciones de enlaces y adjuntos, que es donde vive una buena tercera parte de la evidencia de phishing.
Qué lee esto — y qué honestamente no puede leer
El alcance se dice sin rodeos para que la puntuación nunca se confunda con más de lo que es. Este analizador lee los encabezados y extrae lo que contiene el cuerpo. No verifica las firmas DKIM: informa del veredicto que tu servidor receptor registró en Authentication-Results cuando el mensaje llegó, que es la verificación que cuenta, hecha en el único momento en que podía hacerse con el mensaje original intacto. No vuelve a ejecutar SPF contra DNS, y no comprueba las URL contra fuentes de amenazas ni las abre: los enlaces se neutralizan (hxxps, puntos entre corchetes) para que puedas leer el destino real con seguridad, y se marcan por su forma: hosts con IP en bruto, trucos con el signo @, punycode, acortadores, texto de enlace que nombra un dominio y va a otro. La puntuación es una suma de esos hallazgos etiquetados, mostrada junto a los propios hallazgos: puntos por un Reply-To en un dominio distinto, por un fallo de DMARC registrado, por un ejecutable con nombre de documento. Lee la lista, no solo la banda. El artículo complementario, anatomía de un encabezado de correo de phishing, disecciona un mensaje de principio a fin, y los compañeros del lado del envío —la comprobación de entregabilidad de correo para tus registros y el analizador de informes DMARC para la retroalimentación que generan— cubren el trabajo especular de no parecerse al ejemplo. Por qué el correo legítimo sigue cayendo en spam a pesar de los tres protocolos se trata en por qué tu correo cae en spam.
Preguntas frecuentes
¿Qué pueden probar realmente los encabezados de un correo?
Los encabezados que escribe un servidor receptor son evidencia; los que escribe un remitente son afirmaciones. El Authentication-Results de tu proveedor registra lo que sus comprobaciones encontraron cuando el mensaje llegó, y los saltos Received sellados por servidores de tu lado de internet son difíciles de falsificar a posteriori. Los saltos inferiores —los más cercanos al remitente— puede escribirlos cualquiera, y por eso este analizador informa de lo que dice cada salto y marca los tiempos que no cuadran, en lugar de declarar genuina una cadena. El recorrido completo está en anatomía de un encabezado de correo de phishing.
El mensaje superó DMARC. ¿Significa eso que es seguro?
Significa que el dominio From está respaldado de verdad por quien controla ese dominio, nada más. Un dominio parecido (el nombre de tu banco con una letra cambiada, registrado nuevo con SPF, DKIM y DMARC perfectos) supera todas las comprobaciones siendo por completo fraudulento, y lo mismo ocurre con correo real desde una cuenta comprometida en el dominio verdadero. La autenticación responde «¿es de verdad del dominio que afirma?», nunca «¿deberías confiar en lo que pide?». Lee la petición, no solo la autenticación.
¿Esta herramienta verifica la firma DKIM en sí?
No, y lo dice en lugar de darlo a entender. Este analizador lee el encabezado Authentication-Results registrado por el servidor receptor en el momento de la entrega: el veredicto de una verificación que ya ocurrió. Volver a verificar aquí significaría obtener la clave del remitente desde DNS y reproducir la canonicalización exacta de los encabezados originales, que es trabajo de un servidor de correo, no de un lector de encabezados. La misma honestidad se aplica a las URL: se extraen y se neutralizan para su inspección, no se comprueban contra fuentes de amenazas.
¿Es seguro pegar aquí un correo sospechoso?
Sí: el análisis se ejecuta en tu navegador y nada de lo que pegues se transmite ni se almacena. Eso importa más de lo que parece: los encabezados contienen tu dirección, los nombres de host internos y las direcciones IP de tu proveedor, y la ruta completa que un mensaje siguió para llegar a ti. Pagarlos en un chat de IA o en un servicio de pegado en línea para preguntar «¿esto es phishing?» publica exactamente los metadatos que a un atacante le gustaría enumerar. Un lector local es la forma adecuada para este trabajo.
La puntuación es baja pero el mensaje sigue pareciendo incorrecto. ¿En qué confío?
En tu instinto. La puntuación solo cuenta las señales visibles en los encabezados y en los enlaces extraídos del cuerpo: no puede leer el tono, la ingeniería de la urgencia, un importe de factura falsificado, ni el hecho de que tu «director ejecutivo» nunca escribe así. Una puntuación baja significa que los encabezados no aportan evidencia técnica sólida contra el mensaje; es un suelo para la sospecha, no una autorización. Si lo que pide es dinero, credenciales o secreto, verifícalo por un canal en el que ya confíes, digan lo que digan los encabezados.