Analizador de cabeceras de correo

La cabecera de un correo es el bloque de metadatos que viaja con cada mensaje y que registra cómo llegó hasta ti: quién lo envió, qué servidores lo retransmitieron, cuándo lo gestionó cada uno y si el dominio remitente superó la autenticación. Tu cliente de correo oculta casi todo y solo te muestra De, Para, Asunto y Fecha. El resto es donde está la información útil.

Coge ese bloque en bruto, que es denso, repetitivo y está escrito para máquinas, y lo convierte en algo legible. Este extrae la ruta de entrega salto a salto, saca los veredictos de SPF, DKIM y DMARC que registró el servidor receptor, comprueba si el dominio del remitente visible coincide con el que realmente se autenticó y señala los patrones que aparecen en el correo falsificado.

Depende de tu cliente. Gmail: abre el mensaje, menú de tres puntos, "Show original". Outlook web: menú de tres puntos, "View", "View message source". Apple Mail: menú Visualización, Mensaje, "All Headers". Yahoo: menú de tres puntos, "View raw message". Thunderbird: Ctrl+U. Las instrucciones completas de cada uno están en la sección de arriba.

SPF comprueba si el servidor que envió el mensaje está en la lista de servidores autorizados por el dominio. DKIM verifica una firma criptográfica que demuestra que el mensaje no se alteró por el camino y que salió realmente de ese dominio. DMARC ata los dos anteriores y añade lo que más importa: exige que el dominio que superó SPF o DKIM sea el mismo que aparece en la línea From:. Un mensaje puede superar SPF y aun así ser una falsificación si el dominio que lo superó no es el que tú ves.

La señal individual más fuerte es un fallo de DMARC en un mensaje que dice venir de una marca grande: esos dominios publican políticas estrictas, así que un mensaje auténtico suyo la supera. Después, fíjate en un Reply-To que apunte a un dominio distinto del de la dirección From, un Return-Path que no coincida con ninguno de los dos y la ausencia de Message-ID. Cualquiera de ellas por separado puede ser inocente. Dos o tres juntas, en un mensaje que quiere que hagas clic en algo, no lo son.

Casi siempre por un reenvío. Cuando se reenvía un mensaje, el servidor que lo reenvía pasa a ser el remitente a efectos de SPF, y no está en la lista autorizada del dominio original, así que SPF falla sin que el remitente original tenga culpa alguna. Justamente para esto existe DKIM: la firma sobrevive al reenvío. Si DKIM se superó y SPF falló, lo más probable es que haya habido un reenvío.

Cada servidor añade su propia línea Received: al principio del bloque de cabeceras a medida que pasa el mensaje, así que las cabeceras en bruto se leen de lo más nuevo a lo más antiguo: el último servidor que tocó el mensaje está arriba y el remitente original, abajo. Esta herramienta las invierte, de modo que la ruta de entrega que ves sigue el orden en que el mensaje viajó de verdad.

Solo de forma aproximada, y muchas veces ni eso. La IP de origen te dice qué servidor envió el mensaje, que para cualquiera que use Gmail, Outlook o cualquier proveedor habitual es un centro de datos, no una persona. El correo enviado desde un servidor propio o desde un equipo comprometido puede revelar más. Trata cualquier ubicación obtenida así como una señal débil, nunca como una identificación.

No. Todo el análisis se ejecuta como JavaScript dentro de tu navegador: las cabeceras nunca se envían a nuestros servidores, ni se registran, ni se guardan. Puedes desconectarte de internet después de que cargue la página y la herramienta sigue funcionando. Las cabeceras de correo suelen contener nombres de host internos, direcciones de destinatarios y detalles de enrutamiento, que es exactamente el tipo de cosa que no debería acabar en manos de un tercero para procesarla.

No. No hay registro, ni límite de mensajes que puedas analizar, ni plan de pago. Y si además necesitas una dirección desechable para probar dónde acaba tu propio correo, puedes crear una en esta misma página con un clic: también es gratis.