Cómo leer los encabezados de un correo y detectar uno falso

Los encabezados son las líneas técnicas que van escondidas arriba de cada correo: quién dice enviarlo, a dónde van las respuestas, por qué servidores pasó y si superó las revisiones SPF, DKIM y DMARC. Para saber si un correo es falso, abre los encabezados completos, busca la línea Authentication-Results que agregó tu propio proveedor de correo y compara el dominio del "De" con el de Reply-To y el de esas revisiones. Si DMARC falló y las respuestas van a otra parte, trátalo como falso.

Qué son los encabezados y quién los escribe

Algunos encabezados los escribe quien envía el correo, así que pueden decir cualquier cosa. Otros los agregan los servidores que transportan el mensaje, y los más útiles los pone tu propio proveedor cuando el correo te llega.

• From es el "De" que ves. Lo escribe el remitente, y el nombre que aparece antes de la dirección es solo texto.
• Reply-To es a dónde va tu respuesta. Si apunta a otra organización, le estarías contestando a otra persona.
• Return-Path es la dirección oculta a donde vuelven los rebotes. Los servicios de envío masivo suelen poner aquí su propio dominio, así que un dominio distinto no es sospechoso por sí solo.
• Received es una línea por cada servidor que manejó el mensaje.
• Authentication-Results trae los veredictos de SPF, DKIM y DMARC, escritos por el servidor que recibió el correo.
• Date, Message-ID y X-Mailer (el programa con el que se envió) también los escribe el remitente.

Paso 1: encuentra los encabezados completos

1. Todavía no abras enlaces ni respondas. Abre el correo en un computador: muchas apps del celular no muestran los encabezados completos.
2. En Gmail desde el navegador, haz clic en el menú de tres puntos junto a Responder y elige "Mostrar original". Se abre una pestaña nueva con el texto completo.
3. En Outlook desde el navegador, haz clic en el menú de tres puntos, luego en "Ver" y en "Ver origen del mensaje".
4. En Apple Mail en un Mac, usa la opción del menú superior que muestra todos los encabezados (en inglés: View > Message > All Headers).
5. Copia todo desde la primera línea hasta la primera línea en blanco, que es donde terminan los encabezados y empieza el mensaje.

Los nombres de los menús pueden cambiar según la versión y el idioma. Si no lo encuentras, busca "ver mensaje original" o "origen del mensaje" en la ayuda de tu proveedor.

Paso 2: lee las líneas Received de abajo hacia arriba

Cada servidor que maneja un correo pone su línea Received encima de las que ya había. La más nueva queda arriba y la más vieja abajo, así que el recorrido se sigue desde abajo.

Las líneas de arriba las escribieron los servidores de tu proveedor. Las de abajo se escribieron antes, y el remitente las puede inventar. La primera línea en la que puedes confiar es la que dice que tu proveedor recibió el mensaje: "from" (desde) algún servidor "by" (por) el servidor de tu proveedor. Ese servidor del "from", con su dirección IP (la dirección numérica de una máquina en internet), es el que de verdad entregó el correo.

Cada línea termina con una hora. Unos segundos entre servidores es normal; las demoras largas suelen ser una cola de envío y no prueban nada.

Paso 3: confía solo en el Authentication-Results de tu proveedor

Cuando llega un correo, tu proveedor lo revisa y escribe tres veredictos:

• SPF (Sender Policy Framework): ¿el servidor que lo envió está en la lista que publicó el dominio? El dominio revisado aparece como smtp.mailfrom y sale del Return-Path.
• DKIM (DomainKeys Identified Mail): ¿el correo trae una firma digital válida? El dominio que firmó aparece como header.d o header.i.
• DMARC: ¿pasó SPF o DKIM para el dominio del "De" visible, que aparece como header.from?

Usa solo la línea Authentication-Results que agregó tu proveedor, que normalmente es la más cercana al principio. Las de más abajo pudo escribirlas el remitente, y un dmarc=pass falso es solo texto.

Qué es la alineación

Un estafador puede pasar SPF con su propio dominio y aun así poner el dominio de otro en el "De". DMARC lo detecta con la alineación: SPF o DKIM solo cuentan si el dominio que revisaron coincide con el del "De". En el modo normal, llamado relajado, un subdominio como correo.tienda-ejemplo.co coincide con tienda-ejemplo.co. En la práctica, compara smtp.mailfrom y header.d con header.from. Para ver cómo lo configura un dominio, lee Cómo configurar DMARC en un día.

Un ejemplo completo

Tu negocio le compra mercancía a una tienda con dominio tienda-ejemplo.co. Te llega un correo de "Tienda Ejemplo Cartera" que dice que cambiaron de cuenta bancaria y te pide pagar la próxima factura en la nueva. Estos son sus encabezados clave, de arriba hacia abajo, inventados y recortados; mx.mailhost.example es el servidor de tu proveedor de correo.

Línea del encabezado	Qué te dice
Return-Path: <bounce@example.net>	Los rebotes van a example.net. Por sí solo, es normal en servicios de envío masivo.
Received: from mail.example.net [203.0.113.45] by mx.mailhost.example; 09:14:07	La escribió tu proveedor: el correo llegó desde mail.example.net.
Authentication-Results: mx.mailhost.example; spf=pass smtp.mailfrom=bounce@example.net; dkim=none; dmarc=fail (p=NONE) header.from=tienda-ejemplo.co	SPF pasó, pero para example.net. No hay firma DKIM. DMARC falló: nada prueba que lo haya enviado la tienda.
Received: from [192.0.2.10] by mail.example.net; 09:13:58	La línea más vieja, escrita del lado del remitente. Puede ser inventada.
From: "Tienda Ejemplo Cartera" <cartera@tienda-ejemplo.co>	Lo que ves. Cualquiera puede escribirlo.
Reply-To: <pagos.cartera@example.org>	Tu respuesta iría a un tercer dominio.
X-Mailer: bulk-mailer 1.4	Un programa de envío masivo. Es una nota, no una prueba.

SPF pasó para el dominio equivocado, así que no está alineado, y DMARC falló. El dominio de la tienda solo monitorea (p=none), por eso el correo falso igual llegó. Súmale el Reply-To y el correo es falso. Antes de cambiar cualquier dato de pago, llama a la tienda a un número que ya tengas.

Paso 4: revísalo con las herramientas de eThorns

1. Pega los encabezados en el analizador de encabezados y presiona "Analizar encabezados". Solo lee el texto que pegas: no consulta nada y no envía nada a ningún servidor.
2. Mira el resumen: From, Reply-To, Return-Path, la fecha, el programa de envío y el Message-ID, todo junto.
3. Revisa las señales de alerta: un nombre visible que es una dirección de correo de otro dominio, un Reply-To de otra organización, una fecha en el futuro y fallas de SPF, DKIM o DMARC. Como avisos más suaves marca un Return-Path de otra organización, un X-Mailer de script o de envío masivo y un softfail de SPF. El ejemplo de arriba da dos alertas y dos avisos.
4. Revisa los veredictos. La herramienta no hace la revisión SPF ni DKIM por su cuenta: lee las líneas Authentication-Results empezando por arriba. Si hay varias, confirma que el veredicto que usas es el de tu proveedor.
5. Mira la cadena Received: los saltos de abajo hacia arriba, con la demora entre cada uno. El salto 1 es el menos confiable.
6. Si el correo trae enlaces, pega el texto en el detector de estafas. Solo los enlaces van al servidor de eThorns, que los sigue y revisa la edad de cada dominio; los resultados se guardan hasta una hora.
7. Revisa el dominio del remitente real con el verificador de seguridad de correo, que consulta el DNS público de Cloudflare desde tu navegador. Si no tiene DMARC, o solo tiene p=none, cualquiera puede poner ese dominio en el "De", como en el ejemplo.

Lo que los encabezados no pueden probar

• Pasar no es una garantía. DMARC prueba que el correo salió del dominio del "De", no que ese dominio sea de quien dice ser. Quien registre tubanco-seguro.co puede pasar las tres revisiones con él.
• Una cuenta hackeada envía correo real. Si le roban el buzón a una empresa con la que trabajas, sus mensajes pasan todo.
• La primera IP no es una persona. Puede ser un servidor alquilado o un computador infectado.
• Los encabezados no dicen nada de los enlaces ni de los adjuntos. Esos se revisan aparte.
• Un correo reenviado trae encabezados nuevos. Ves los del reenvío, no los del original.

Si el correo dice ser de la DIAN, mira Correo falso de la DIAN.

Lista de revisión

• Encabezados copiados en un computador, hasta la primera línea en blanco.
• SPF, DKIM y DMARC leídos en el Authentication-Results de tu proveedor.
• DMARC en pass, con header.from mostrando justo el dominio que esperabas.
• Sin Reply-To, o con uno de la misma organización del "De".
• Las líneas Received leídas de abajo hacia arriba, confiando solo en las de tu proveedor.
• Cualquier pedido de dinero confirmado por teléfono, a un número que ya tenías.

Preguntas frecuentes

¿Un estafador puede falsificar los encabezados?

La mayoría sí, incluso líneas Received y Authentication-Results falsas más abajo. Lo que no puede escribir son las líneas que agrega tu proveedor arriba cuando el correo llega.

DMARC pasó. ¿El correo es seguro?

No necesariamente. Significa que el correo sí viene del dominio del "De". Revisa que ese dominio sea el que esperabas y no uno parecido; el verificador de dominios falsos te ayuda.

¿Por qué un boletín real tiene otro Return-Path?

Los servicios de envío masivo usan su propio dominio para procesar los rebotes. Si DMARC pasa, es normal.

¿Es seguro pegar mis encabezados en el analizador?

Sí. Funciona en tu navegador y no envía nada. Eso sí, los encabezados traen tu dirección de correo, así que compártelos con otras personas con el mismo cuidado que el correo.

Pruébalo

• 2.5Analizador de encabezadosPega los encabezados de un correo para ver por qué servidores pasó, qué resultado de SPF, DKIM y DMARC anotó tu proveedor y si el remitente parece falso.
• 1.1¿Es una estafa?Pega el mensaje o enlace que te llegó y mira sus señales de alerta: imitación de marcas, dominios nuevos, enlaces acortados, frases de estafa.
• 2.2Seguridad de correoRevisa el SPF, DKIM, DMARC, MTA-STS, BIMI y DNSSEC de un dominio y obtén registros DNS listos para copiar para lo que falte.