Qué hace un analizador de cabeceras de correo
Un analizador de cabeceras de correo toma el texto crudo de las cabeceras de un email (todo lo que está por encima de la línea en blanco que separa cabeceras y cuerpo) y te muestra qué servidores gestionaron el mensaje, quién lo firmó y si pasan las comprobaciones de autenticación. Todo corre en tu navegador: no sale ningún dato de tu dispositivo.
En una pantalla obtienes cuatro cosas: el bloque básico de identidad (From, To, Subject, Message-ID, Date), los veredictos SPF / DKIM / DMARC de la cabecera Authentication-Results, una línea de tiempo cronológica de saltos Received (más antiguo primero, con el retraso entre saltos) y una puntuación heurística de spam 0-10 con razones concretas.
Para cada IP que aparezca en la cadena Received obtienes un enlace clicable a la herramienta whois-lookup: un clic y puedes ver quién posee el servidor relay.
Cómo usarla
- Copia las cabeceras crudas desde tu cliente de correo. Gmail: abre el mensaje → menú de tres puntos → "Mostrar original" → copia el texto completo. Outlook: abre el mensaje → Archivo → Propiedades → campo "Encabezados de Internet". Apple Mail: abre el mensaje → Vista → Mensaje → Todos los encabezados.
- Pega en el textarea de arriba. Puedes pegar solo las cabeceras o el mensaje entero: la herramienta corta el cuerpo en la primera línea en blanco.
- Comprueba la puntuación de spam arriba. Verde 0-2 = parece sano, amarillo 3-5 = señales de aviso, rojo 6-10 = muy probable phishing o spam.
- En la sección Authentication-Results verifica que SPF / DKIM / DMARC todos muestren pass. Un veredicto rojo suele significar que el mensaje no vino realmente del remitente afirmado.
- Desplázate a la cadena Received. El salto superior (#1) es el servidor más antiguo: el primero que aceptó el mensaje. El último salto es el servidor que lo entregó a tu buzón.
- Pulsa cualquier IP de la cadena para abrir whois-lookup en una nueva pestaña y ver a quién pertenece esa dirección.
- Si ves un primer salto raro (una "notificación bancaria" cuyo primer salto es una máquina de hosting en un país aleatorio), tienes una evidencia fuerte de suplantación del remitente.
Cuándo es útil
Cinco situaciones del día a día en las que un análisis de cabeceras zanja la cuestión:
- ¿Es este correo phishing?. Recibiste un mensaje "del banco" con un enlace para "verificar tu cuenta". Compara From vs Return-Path vs el primer salto en la cadena Received. Si el primer servidor no tiene nada que ver con el banco, es phishing de libro.
- Mi correo crítico nunca llegó, el destinatario dice que envió la respuesta. Pídele las cabeceras completas del mensaje que cree haber recibido. Puedes trazar la ruta exacta, ver dónde se atascó y cuánto tardó cada salto.
- Queja de cliente: "Tu correo cayó en spam". Mira las cabeceras de la copia que reenvió. La mayoría de las veces encontrarás SPF fail o DKIM fail en Authentication-Results: esa es una causa concreta, no una suposición.
- Auditoría post-incidente. Un atacante envió correos desde el dominio de tu empresa. Por las cabeceras de los mensajes sospechosos puedes saber si pasaron por tu servidor de correo real (cuenta comprometida) o por un servidor extraño con un From falsificado (suplantación, tu dominio no tiene DMARC).
- Correo extraño de un compañero. El CFO envía un correo al equipo de finanzas pidiendo una transferencia urgente. Comprueba Reply-To y Return-Path: en ataques BEC (Business Email Compromise) difieren del campo From, así que tu respuesta acaba en manos del atacante.
Herramientas relacionadas: verificador DNS de email (auditar el SPF/DKIM/DMARC de tu dominio), consulta WHOIS (propietario de una IP en la cadena Received), consulta DNS.