Cómo obtener las cabeceras
- Outlook (nuevo y web): abrir el mensaje → «…» → «Ver» → «Ver detalles del mensaje».
- Outlook (clásico): abrir el mensaje con doble clic → «Archivo» → «Propiedades» → campo «Encabezados de Internet».
- Gmail: abrir el mensaje → ⋮ → «Mostrar original» → «Copiar al portapapeles».
- Apple Mail: «Visualización» → «Mensaje» → «Fuente original» (⌥⌘U).
- Thunderbird: «Ver» → «Código fuente del mensaje» (Ctrl+U).
También puedes pegar el código fuente completo; el texto tras la primera línea vacía se ignora.
Leer la ruta de entrega
Cada servidor que reenvía un correo añade una línea Received arriba. Así, la línea de abajo es el primer salto y la de arriba el último, ya en tu lado.
Solo son fiables las líneas que escribieron tus propios servidores; lo de debajo puede haberlo inventado el remitente. El retraso es la diferencia entre dos marcas de tiempo. Los saltos grandes suelen deberse a greylisting, colas o filtros antispam, a veces a relojes mal puestos.
SPF, DKIM y DMARC
- SPF comprueba si el servidor que entrega puede enviar para el dominio del Return-Path.
- DKIM comprueba una firma sobre cabeceras y contenido. Suele sobrevivir al reenvío.
- DMARC exige además que SPF o DKIM coincidan con el dominio del From visible. Solo eso protege frente a remitentes falsificados.
El resultado está en Authentication-Results, que escribe el servidor receptor. Si falta un «pass», comprueba los registros del dominio en el comprobador SPF, DMARC y DKIM y las IP de los saltos por DNS inverso en la consulta DNS.
Señales típicas de phishing
Dirección de respuesta en un correo gratuito, un nombre visible que parece otra dirección, DMARC «fail» en una marca conocida o un primer salto en una red muy distinta de la habitual. Ninguno de estos puntos prueba nada por sí solo; varios juntos son una señal fuerte.
FAQ
¿Se suben mis correos?
No. El análisis se ejecuta por completo en JavaScript en tu navegador. Solo si haces clic en una IP o dominio se abre la herramienta correspondiente con ese valor.
¿Por qué DMARC da «fail» si SPF y DKIM dan «pass»?
SPF y DKIM valen entonces para otro dominio que el del From visible, a menudo el de un servicio de envíos. Para que DMARC pase, al menos uno debe coincidir con el dominio remitente, p. ej. con una firma DKIM con tu propio dominio en el servicio de envíos.
¿Qué significa SCL en Microsoft 365?
El Spam Confidence Level va de −1 (de confianza) a 0–1 (no es spam) y 5–9 (spam). A partir de 5 el correo suele ir a la carpeta de correo no deseado.
¿Por qué el primer salto muestra una IP privada?
Muchos remitentes pasan el correo internamente de un servidor de aplicaciones a su pasarela de correo. Para el origen importa el primer salto con dirección pública.
¿Puede un remitente falsificar las líneas Received?
Las que están por debajo del primer servidor ajeno, sí. Las que escribieron tu propio servidor de correo y el servidor que entrega directamente, no.