Analizador de Cabeceras de Correo (メールヘッダー解析ツール)
Pega las cabeceras sin procesar de un correo recibido (Received:, Authentication-Results:, etc.) para ver la ruta de entrega salto por salto, junto con los resultados de SPF/DKIM/DMARC. El análisis se realiza 100% en tu navegador.
Qué significa cada cláusula de Received:
| Cláusula | Significado |
|---|---|
| from | El nombre de host/dirección IP del servidor que entregó este mensaje, tal como lo registró el servidor receptor que escribió esta línea. El remitente puede añadir tantas líneas Received falsas como quiera, así que las líneas más antiguas son las más fáciles de falsificar. Para conocer la IP de origen real, usa el from de la línea más antigua escrita por un servidor receptor que controles (en la lista de esta herramienta, el primer salto cuyo "by" es tu propio servidor). |
| by | El nombre de host del servidor que recibió el mensaje en este salto (por ejemplo, tu propio servidor de correo). |
| with | El protocolo de entrega utilizado (por ejemplo, ESMTP, ESMTPS, SMTP). ESMTPS indica que la conexión se cifró con TLS. |
| for | La dirección del destinatario para la que se entregó el mensaje. Suele omitirse en listas de correo o mensajes con varios destinatarios. |
| timestamp | La fecha y hora en que este salto recibió el mensaje. La hora y la zona horaria las registra el servidor receptor que escribió esta línea (RFC 5321 §4.4). La diferencia entre saltos da una medida aproximada del retraso de entrega. |
Qué significa cada campo de Authentication-Results:
| Campo | Significado |
|---|---|
| SPF | Resultado de SPF (Sender Policy Framework): indica si la IP emisora figura entre las direcciones que el registro DNS del dominio permite. |
| DKIM | Resultado de DKIM (DomainKeys Identified Mail): indica si la firma criptográfica del cuerpo y las cabeceras principales se verificó con la clave pública del dominio emisor. |
| DMARC | Resultado de DMARC (Domain-based Message Authentication, Reporting & Conformance): un veredicto global que comprueba la alineación de SPF/DKIM con el dominio de la cabecera From. |
Rastrear la ruta de un mensaje por sus cabeceras
Pegue las cabeceras en bruto de un mensaje que haya recibido y esta herramienta descompone las líneas Received: salto a salto para exponer la ruta, y enumera los dictámenes de SPF, DKIM y DMARC registrados en Authentication-Results:. Todo el análisis ocurre dentro del navegador, así que nada de lo que pegue sale de su equipo.
Lo primero que hay que entender al leerlas es que las líneas Received: corren de abajo arriba. Cada servidor, al recibir el mensaje, añade su propia línea en lo más alto, de modo que el tramo más antiguo queda abajo y el servidor que lo recibió el último queda arriba. Más importante todavía: cualquiera puede falsificar estas cabeceras. Un remitente puede fabricar cuantas líneas Received: le plazca y ponerlas a la cabeza. Lo que cabe creer es la línea escrita por un servidor bajo su propio control, y cuanto haya por encima de ella; cuanto quede por debajo no significa más que alguien lo afirmó. Otro tanto vale para Authentication-Results:, pues si no se mira qué servidor emitió el dictamen, el dictamen mismo puede ser falso.
Cómo se usa
- Pegue las cabeceras en bruto Se obtienen desde "mostrar original" o "ver código fuente" en su cliente de correo.
- Lea las líneas Received de abajo arriba Lo de abajo es el primer remitente; lo de arriba, el servidor que lo recibió el último.
- Compruebe los resultados de autenticación Los dictámenes de SPF, DKIM y DMARC se exponen juntos.
- Determine dónde empieza la confianza Cuanto quede por debajo de la línea escrita por un servidor bajo su control puede haber sido falsificado.
Consejos para aprovecharla mejor
- En Gmail, abre el mensaje, haz clic en el menú de tres puntos arriba a la derecha y elige "Mostrar original" para obtener las cabeceras sin procesar. En Outlook, usa Archivo > Propiedades > Encabezados de Internet.
- Las cabeceras Received: se añaden al mensaje en orden del más nuevo al más antiguo (el lado receptor aparece primero), por lo que esta herramienta las reordena cronológicamente de emisor a receptor por ti.
- Si los servidores de correo de la ruta tienen relojes ligeramente desincronizados, el "retraso desde el salto anterior" puede mostrar un número negativo. Un valor negativo pequeño suele reflejar solo desfase de reloj, no un problema real de entrega.
- Aunque SPF, DKIM y DMARC pasen todos, eso no garantiza que el mensaje no sea una estafa. La autenticación solo verifica que se siguió correctamente la configuración del propio dueño del dominio, no puede detectar a un atacante que posee legítimamente un dominio parecido.
- Si el retraso aumenta bruscamente entre dos saltos concretos, es probable que en ese tramo de la ruta haya ocurrido un cuello de botella de entrega o una retención por un filtro antispam.
Cuándo resulta útil
Investigar de dónde vino un correo basura
La dirección de origen verdadera aparece en la línea Received: más baja en que pueda confiar.
Descubrir una suplantación
Un nombre visible y una línea From se falsifican sin esfuerzo, así que juzgue por los resultados de autenticación.
Rastrear un retraso en la entrega
Leer las horas de cada salto le muestra dónde se detuvo el mensaje.
Confirmar que su propio correo pasa la autenticación
Envíese un mensaje de prueba y vea si SPF, DKIM y DMARC pasan todos.
Términos de las cabeceras de correo
- Received
- La cabecera a la que cada servidor receptor añade su línea en lo más alto. La ruta se lee de abajo arriba.
- Authentication-Results
- La cabecera que registra los dictámenes de SPF, DKIM y DMARC alcanzados por el lado receptor. Lo que importa es qué servidor la escribió.
- Return-Path
- Adónde se devuelve una entrega fallida. El SPF se comprueba contra este dominio.
- From
- El remitente tal como se muestra. Ahí puede escribirse cualquier cosa, de modo que no prueba nada sobre quién envió el mensaje.
- Message-ID
- La cadena que identifica un mensaje de manera única, usada para distinguir duplicados del mismo.
- Salto
- Un solo servidor por el que pasó el mensaje. Cada salto deja tras de sí una línea
Received:.
Preguntas frecuentes
A propósito — Las cabeceras de correo son una pila de matasellos digitales
Igual que el matasellos de una carta registra qué oficina postal la procesó y cuándo, las cabeceras Received: de un correo son una pila de "matasellos digitales": cada servidor que retransmitió el mensaje estampa en él su propia marca de tiempo. El protocolo SMTP (RFC 5321) exige que cada servidor de retransmisión añada su propia información al principio del bloque de cabeceras, de modo que un registro completo de la ruta de entrega se acumula de forma natural con cada mensaje.
Esto resulta especialmente útil para rastrear el origen del correo no deseado. El problema es que las cabeceras Received: pueden falsificarse con la misma libertad que la cabecera From: el remitente puede añadir cualquier número de líneas Received: falsas antes de enviar el mensaje, de modo que las líneas más antiguas (las de más abajo) son las que tienen más probabilidades de ser falsas. Las únicas líneas realmente fiables son las que escriben los servidores receptores bajo tu control. La más antigua de ellas se registró cuando tu servidor aceptó la conexión desde fuera, y la dirección IP de conexión que figura en su from es algo que el remitente no puede falsificar. Ese «primer origen de conexión registrado por tu propio servidor» es justo lo primero que revisan los especialistas en antispam.
SPF, DKIM y DMARC se añadieron más tarde para frenar la suplantación que los matasellos por sí solos no pueden evitar. SPF comprueba si la IP emisora está en la lista permitida del dominio, DKIM verifica una firma criptográfica para confirmar que el contenido no fue alterado, y DMARC combina ambas comprobaciones frente al dominio de la cabecera From para emitir un veredicto global. Después de que Google y Yahoo exigieran de facto DMARC a los remitentes masivos en 2024, las cabeceras Authentication-Results pasaron a ser algo habitual en las bandejas de entrada cotidianas.
Las cabeceras de correo son algo que casi nadie abre nunca, pero en el momento en que lo haces, encuentras un registro de viaje preciso e invisible: por qué servidores del mundo pasó un único mensaje y cuántos segundos tardó en cada etapa.