Herramienta 2.5

Analizador de encabezados de correo (SPF y DKIM)

Pega los encabezados de un correo para ver por qué servidores pasó, qué resultado de SPF, DKIM y DMARC anotó tu proveedor y si el remitente parece falso.

Funciona en tu equipoFunciona completa en tu navegador: nada de lo que escribes o subes sale de tu equipo.

Revisión automática; no garantiza seguridad.

Cómo usarla

Abre el correo y busca en el menú de tu programa de correo la opción Mostrar original, Ver código fuente o parecida. Copia todo desde arriba hasta la primera línea en blanco.
Pégalo en el recuadro y haz clic en Analizar encabezados. El texto se lee en tu navegador y no se envía a ningún lado.
Lee primero las señales de alerta, luego los resultados de autenticación y la cadena de servidores, del más antiguo al más reciente.

Lo que muestran los encabezados y el nombre del remitente no

El nombre que ves en la bandeja, como “Tu Banco”, lo escribe quien envía el mensaje y puede decir cualquier cosa. Los encabezados son las líneas que van antes del mensaje y que los servidores de correo agregan en el camino: qué servidor se lo pasó a cuál, a qué hora, a dónde irán las respuestas y qué concluyó tu propio proveedor al revisar SPF, DKIM y DMARC.

Esta herramienta lee esas líneas y las ordena: un resumen de los datos del remitente, una lista de señales de alerta, los resultados de autenticación y la cadena de servidores. Trabaja solo con el texto que pegas y no consulta nada en internet. Tampoco hace ella misma las revisiones de SPF o DKIM: muestra los veredictos que tu proveedor escribió en el encabezado Authentication-Results.

Ejemplo: un “actualiza tus datos” que no viene del banco

Un mensaje con el asunto “Actualiza tus datos” trae estos encabezados: From: "soporte@tubanco.co" <alertas@tienda-ejemplo.co>, Reply-To: <cobros@example.net> y una línea Authentication-Results con spf=fail, dkim=none y dmarc=fail.

La herramienta muestra cuatro señales de alerta. El nombre visible es una dirección, soporte@tubanco.co, pero el remitente real es alertas@tienda-ejemplo.co. Las respuestas irían a example.net, un tercer dominio. SPF falló: el servidor que lo envió no está autorizado para enviar por tienda-ejemplo.co. Y DMARC falló: ni SPF ni DKIM probaron que el mensaje venga del dominio que aparece en From. Todo junto dice que el banco no lo envió: no lo respondas ni abras sus enlaces.

En qué líneas confiar, y cuándo una diferencia es normal

Cada servidor agrega su línea Received: arriba, así que la cadena se lee de abajo hacia arriba; la herramienta la muestra de la más antigua a la más reciente. Solo son confiables las líneas que agregó tu propio proveedor, las de arriba. Todo lo que está debajo lo pudo escribir el remitente, incluidas líneas Received falsas. Lo mismo vale para Authentication-Results: confía en la que agregó tu proveedor.

Un Return-Path distinto es común en correos legítimos: las plataformas de facturación, de boletines y de soporte reciben los rebotes en su propio dominio, por eso la herramienta lo marca en ámbar y no en rojo. Pasa algo parecido con un programa de envío marcado como script o herramienta masiva, porque las tiendas y los boletines también los usan. Las dos cosas solo pesan junto con otras señales. La columna de demora compara el reloj de cada servidor con el anterior; una demora negativa marcada (skew) significa que dos relojes no coinciden.

Preguntas frecuentes

¿Cómo veo los encabezados completos en Gmail, Outlook o Apple Mail?

En Gmail web, abre el correo, haz clic en los tres puntos junto a Responder y elige “Mostrar original”. En Outlook web, abre el mensaje, haz clic en los tres puntos, luego en “Ver” y en “Ver origen del mensaje”. En Apple Mail en Mac, abre el mensaje y presiona Opción-Comando-U. La mayoría de las apps del celular no muestran los encabezados completos, así que abre tu cuenta en el navegador de un computador.

¿Qué diferencia hay entre SPF, DKIM y DMARC?

SPF es una lista, publicada en el DNS de un dominio, de los servidores que pueden enviar su correo. DKIM es una firma que pone el servidor que envía, y que muestra qué dominio firmó el mensaje y que no se modificó en el camino. DMARC revisa que al menos una de las dos haya pasado para el dominio que aparece en From, y les dice a los servidores qué hacer cuando ninguna pasó: nada, mandarlo a spam o rechazarlo.

¿Por qué un correo legítimo muestra otro Return-Path?

Las empresas que envían facturas, comprobantes o boletines muchas veces lo hacen con servicios como SendGrid, Amazon SES o Mailchimp, que usan su propio dominio en `Return-Path` para recibir los rebotes. Si DKIM está firmado con el dominio de la empresa y DMARC pasa, esa diferencia es normal.

¿Se pueden falsificar las líneas Received?

El remitente puede agregar líneas `Received:` falsas antes de enviar. Lo que no puede cambiar son las líneas que agregan los servidores de tu proveedor cuando llega el mensaje, las de arriba, ni la línea `Authentication-Results` que escribe tu proveedor. Esas son las que hay que creer.

Si SPF, DKIM y DMARC pasan, ¿el correo es seguro?

No necesariamente. Un estafador que envía desde un dominio propio, con SPF, DKIM y DMARC configurados, pasa las tres. Las revisiones prueban qué dominio envió el mensaje, no que sea honesto, así que fíjate en ese dominio: que `tubanco-seguridad.co` pase DMARC no lo convierte en `tubanco.co`.

Guías sobre esta herramienta

G24Cómo leer los encabezados de un correo y detectar uno falsoEncuentra los encabezados de un correo en Gmail, Outlook o Apple Mail, lee las líneas Received y SPF, DKIM y DMARC, y averigua si el remitente es falso.

2.1¿Cuál es mi IP?Mira tu dirección IP pública, si es IPv4 o IPv6, tu país, la versión de TLS y HTTP, y lo que cualquier sitio web puede saber de ti por tu conexión.
2.2Seguridad de correoRevisa el SPF, DKIM, DMARC, MTA-STS, BIMI y DNSSEC de un dominio y obtén registros DNS listos para copiar para lo que falte.
2.3Generador de registro SPFArma un solo registro SPF para tu dominio con tus servicios de correo, servidores y rangos IP.
2.4Consulta DNSConsulta los registros DNS de cualquier dominio (A, AAAA, CNAME, MX, TXT, NS, SOA, CAA, SRV) o el DNS inverso de una IP, con TTL y validación DNSSEC.
2.6Propagación DNSPregúntales a 10 resolvedores públicos (Google, Cloudflare, Quad9…) por los registros A, AAAA, CNAME, MX, NS o TXT de un nombre y mira si ya tienen tu cambio.
2.7Lector de reportes DMARCAbre un reporte agregado de DMARC (.xml, .xml.gz o .zip) y mira, por cada IP que envió, cuántos mensajes pasaron o fallaron SPF y DKIM.
2.8¿Está caído?Revisa si una página responde, con su estado HTTP, tiempo de respuesta, redirecciones y HTTPS, medido una vez desde nuestro servidor en Colombia.
2.9Generador de registro DMARCArma un registro TXT de DMARC: política, modo de prueba, correos para reportes y alineación.
2.10Vista previa de enlacesMira cómo se verá tu enlace en WhatsApp, X, LinkedIn o Facebook: revisa título, descripción, og:image y etiquetas de Twitter, con correcciones.
2.11Calculadora de subredesEscribe una IP con su prefijo y obtén la red, la máscara, el broadcast, el rango y la cantidad de hosts, y divídela en subredes iguales.

╌╌ FIN ╌╌