En resumen
Los encabezados de un correo registran por dónde pasó, quién dice enviarlo y si superó las verificaciones de autenticidad. Para analizarlos: abre el original del mensaje, revisa Authentication-Results (SPF, DKIM y DMARC), compara From, Return-Path y Reply-To, y lee las líneas Received de abajo hacia arriba hasta la primera IP externa. Esa IP, con su PTR y su ASN, indica desde qué red salió el correo.
Cómo ver los encabezados
| Programa | Dónde están |
|---|---|
| Gmail | Menú ⋮ del mensaje › Mostrar original |
| Outlook en la web | Menú ··· › Ver › Ver detalles del mensaje |
| Outlook para escritorio | Abrir el mensaje › Archivo › Propiedades › Encabezados de Internet |
| Apple Mail | Visualización › Mensaje › Todos los encabezados |
| Thunderbird | Ctrl+U (Ver código fuente) |
| Roundcube (webmail de cPanel) | Más › Ver código fuente |
Si vas a reenviar un correo sospechoso a tu equipo técnico, envíalo como adjunto (o adjunta el archivo .eml). Un reenvío normal pierde los encabezados originales.
Los campos que importan
| Campo | Qué indica | Qué mirar |
|---|---|---|
| From | El remitente que ve el usuario | Es lo más fácil de falsificar: compáralo con los demás |
| Return-Path | La dirección del sobre SMTP, donde vuelven los rebotes | Si su dominio no tiene nada que ver con el From, desconfía |
| Reply-To | A dónde irá la respuesta | Distinto del From es típico del fraude BEC |
| Received | Cada servidor por el que pasó, con IP y hora | Se leen de abajo hacia arriba |
| Authentication-Results | El resultado de SPF, DKIM y DMARC según tu servidor | El campo más útil de todos |
| DKIM-Signature | La firma criptográfica y el dominio que firmó (d=) | El dominio d= debería coincidir con el del From |
| Message-ID | Identificador único asignado al crear el mensaje | Un dominio extraño aquí delata el programa o servidor real |
| X-Spam-Status | La puntuación de SpamAssassin | Qué reglas se activaron |
Un ejemplo comentado
Este es un correo de phishing simplificado que suplanta a un proveedor. Las IPs y dominios son de ejemplo:
Received: from mail.ejemplo-hosting.cl (mail.ejemplo-hosting.cl [192.0.2.10])
by servidor.tuempresa.cl with esmtps; Tue, 13 Oct 2026 10:41:07 -0300
Received: from [203.0.113.77] (port=51234 helo=WIN-8KQ2)
by mail.ejemplo-hosting.cl with esmtpa; Tue, 13 Oct 2026 13:41:05 +0000
Authentication-Results: servidor.tuempresa.cl;
spf=pass smtp.mailfrom=facturacion@proveedor-pagos.cl;
dkim=pass header.d=proveedor-pagos.cl;
dmarc=pass header.from=proveedor-pagos.cl
From: "Proveedor S.A." <facturacion@proveedor-pagos.cl>
Reply-To: pagos.proveedor@gmail.com
Return-Path: <facturacion@proveedor-pagos.cl>
Subject: Factura pendiente - cambio de cuenta bancaria- Todo pasa SPF, DKIM y DMARC. Eso solo prueba que el correo salió de quien controla proveedor-pagos.cl, no que ese dominio sea el de tu proveedor real (que podría ser proveedor.cl).
- El Reply-To es una cuenta de Gmail. Si respondes, la conversación sigue con el atacante.
- El primer Received (el de abajo) muestra que el mensaje entró desde la IP 203.0.113.77, con un equipo llamado WIN-8KQ2 que se autenticó en un hosting: una cuenta comprometida o creada para el ataque.
- El asunto pide cambiar una cuenta bancaria: la señal clásica de fraude.
Cómo leer las líneas Received
Cada servidor que recibe el correo agrega su propia línea Received encima de las anteriores. Por eso se leen de abajo hacia arriba: la de abajo es el origen y la de arriba es tu propio servidor.
Solo puedes confiar en las líneas que agregaron servidores que controlas o que verificaste. Un atacante puede inventar líneas Received falsas debajo de las reales para despistar. La regla práctica: busca la primera línea, desde arriba, en la que un servidor de confianza dice haber recibido el mensaje "from" una IP externa. Esa es la IP de origen real.
Qué significan SPF, DKIM y DMARC en los resultados
| Resultado | Significa | Ojo con |
|---|---|---|
| spf=pass | La IP de origen está autorizada por el dominio del Return-Path | Ese dominio puede no ser el del From |
| spf=fail o softfail | La IP no está autorizada | También ocurre con reenvíos legítimos |
| dkim=pass | El contenido no cambió y lo firmó el dominio d= | Cualquiera puede firmar con su propio dominio |
| dmarc=pass | SPF o DKIM pasan y su dominio coincide con el del From | Es la única prueba de que el From no está falsificado |
| dmarc=fail | El From usa un dominio que no autorizó ese envío | Señal fuerte de suplantación |
En resumen: dmarc=pass dice que el dominio del From es auténtico. No dice que el dominio sea el que el usuario cree. Los dominios parecidos, recién registrados y bien configurados pasan todas las pruebas.
Rastrear la IP de origen y su red (ASN)
Con la IP de origen puedes saber a qué red pertenece, si es un servidor de correo legítimo o una conexión doméstica, y a quién avisar del abuso:
# Nombre inverso (PTR) de la IP
dig -x 203.0.113.77 +short
# Red y ASN (número de sistema autónomo) con Team Cymru
whois -h whois.cymru.com " -v 203.0.113.77"
# Datos del bloque de IP y contacto de abuso
whois 203.0.113.77 | grep -iE "orgname|org-name|country|abuse"El ASN dice qué empresa opera la red: un proveedor de nube, un hosting o un ISP residencial. Si muchos correos de spam vienen del mismo ASN, puedes reportarlo a su contacto de abuso o, como medida temporal, bloquear ese rango en tu servidor.
Señales de phishing en los encabezados
- dmarc=fail con un From de un banco, un organismo público o tu propia empresa.
- Reply-To en un servicio gratuito (Gmail, Outlook.com) cuando el From es una empresa.
- Return-Path y From en dominios sin relación.
- Un dominio parecido al real: letras cambiadas, guiones o terminaciones distintas (.co en vez de .cl, -pagos.com).
- Received de origen desde una IP residencial o un país donde el remitente no opera.
- Message-ID con un dominio ajeno al remitente.
Preguntas frecuentes
¿Se pueden falsificar los encabezados de un correo?
Algunos sí: From, Reply-To y las líneas Received más antiguas los escribe quien envía. Los que agregan tus propios servidores, como Authentication-Results y las líneas Received superiores, son confiables.
Si un correo pasa SPF, DKIM y DMARC, ¿es seguro?
No necesariamente. Solo demuestra que el dominio del remitente es auténtico. Un atacante puede registrar un dominio parecido al real y configurarlo correctamente.
¿Cómo saber desde qué país se envió un correo?
Busca la IP de origen en las líneas Received y consúltala con whois. Indica el país del bloque de IPs, aunque el atacante puede estar usando un servidor alquilado en otro país.
¿Qué es el ASN de una IP?
El número del sistema autónomo: identifica a la empresa que opera esa red, por ejemplo un proveedor de nube o un ISP. Sirve para saber a quién reportar el abuso.
Protege el correo entrante de todo tu servidor
Clisec revisa SPF, DKIM, DMARC, la reputación del remitente y las señales de suplantación de cada correo entrante, antes de entregarlo.