Analizador de cabeceras de correo

En Gmail, abre el mensaje, despliega el menú de tres puntos y elige Mostrar original. En Outlook web, en el mismo menú, elige Ver origen del mensaje; en el cliente de escritorio es Archivo, después Propiedades, y el cuadro de Encabezados de Internet. En Apple Mail, activa Visualización, Mensaje y Todas las cabeceras. Copia el bloque entero y pégalo aquí: también sirve el mensaje completo, porque todo lo que hay tras la primera línea en blanco se ignora.

Cada servidor que gestiona un mensaje añade arriba una cabecera Received con la hora en que lo recibió, así que la lista va del revés. Invertirla da el orden real, y el hueco entre una marca de tiempo y la siguiente es lo que el mensaje esperó a ser aceptado por ese servidor. Un salto de un minuto o más es donde vive el retraso. Comprueba antes el desajuste de relojes: si un servidor tiene la hora mal, los retrasos a su alrededor no significan nada, y por eso un salto con marca anterior a la del previo se comunica como tal en lugar de mostrarse en negativo.

Las que escribe el remitente sí pueden falsificarse, y ahí entran From, Reply-To, Date y cualquier Received inventada para alargar la ruta. Incluso las cabeceras añadidas después de que el mensaje saliera del control del remitente solo aportan pruebas dentro de un límite de confianza. Empieza por la entrada Authentication-Results normal superior y comprueba si su authserv-id nombra un sistema de correo en el que confías. Las entradas inferiores son afirmaciones anteriores, no pruebas independientes; si la cadena empieza en un servidor hostil, su registro también puede serlo.

Registra lo que concluyó el servidor receptor al ejecutar SPF, DKIM y DMARC. spf=pass significa que el servidor remitente estaba autorizado para el dominio del sobre. dkim=pass significa que una firma verificó, así que las partes firmadas llegaron sin alterar. dmarc=pass significa que alguna de las dos pasó para un dominio que coincide con el From que ve quien lee, que es la parte que ata la autenticación a la identidad declarada. Esta herramienta muestra cada veredicto con su significado práctico: informa de la conclusión del receptor en lugar de repetir las comprobaciones.

Porque DMARC exige además alineación. SPF comprueba el remitente del sobre que aparece en Return-Path, que en el correo enviado a través de un proveedor suele ser una dirección de rebotes en el dominio del propio proveedor. Eso pasa SPF para el proveedor mientras el From muestra el tuyo, así que no se alinean y DMARC falla igualmente. Firmar con DKIM desde tu dominio es la mitad más robusta, porque la alineación DKIM sobrevive al reenvío y la de SPF no.

Fija una longitud de cuerpo, de modo que la firma solo cubre los primeros l bytes. Lo que se añada después verifica exactamente igual que antes, lo que significa que alguien puede sumar contenido a un mensaje firmado sin romper la firma. Existe para sobrevivir a las listas de correo que añaden pies de página, y por eso esta herramienta la señala: una firma que dice pass sobre una fracción desconocida del cuerpo es más débil que una que lo cubre entero.

Es la codificación de la RFC 2047. Los campos de cabecera son ASCII, así que cualquier otro alfabeto se codifica en base64 o quoted-printable con su juego de caracteres delante. Los clientes lo descifran antes de mostrarlo, y por eso la forma codificada solo aparece en un registro, un ticket o un bloque de cabeceras copiado. Esta herramienta lo descifra, incluidos los juegos antiguos (Shift_JIS, GB2312, Big5 y la familia ISO-8859) que siguen llegando desde sistemas heredados.

A veces. La cabecera Received inferior registra la dirección que vio el primer servidor receptor, que en un mensaje enviado desde un cliente de correo suele ser la red del remitente. Pero si el mensaje salió de una interfaz de correo web, esa dirección es del proveedor, y un remitente con servidor propio puede escribir cabeceras Received anteriores diciendo lo que quiera. Solo los saltos añadidos por servidores en los que confías son prueba, y las direcciones que contienen son a menudo rangos privados que no identifican nada fuera de esa red.

No. El análisis ocurre en tu navegador y no se envía nada. Aquí importa más que en la mayoría de herramientas, porque un bloque de cabeceras contiene con frecuencia la dirección del destinatario, nombres de máquinas internas, identificadores de cola y rangos de direcciones privadas. Además hay un interruptor de ocultación que enmascara los nombres de buzón y el final de las direcciones IP en lo que copies o descargues, para cuando el resultado tenga que ir a un ticket compartido.

El reenvío rompe la autenticación: SPF falla porque el reenviador no está en la lista del dominio original, y las listas de correo suelen romper DKIM al reescribir el asunto o añadir un pie. ARC permite que un intermediario deje constancia de lo que vio antes de hacer esos cambios y selle ese registro, para que el receptor final decida si se fía. Varios conjuntos ARC significan sencillamente que el mensaje pasó por varios intermediarios de ese tipo: es la forma normal de todo lo que llega por una lista.

Que el nombre mostrado delante de la dirección contiene una dirección propia, y no es aquella desde la que llegó el mensaje. Como casi todos los clientes muestran solo el nombre, un mensaje puede parecer de un banco mientras se envía desde un buzón sin ninguna relación. Es la suplantación más barata que existe, no necesita infraestructura comprometida y resulta invisible hasta que miras la cabecera From en crudo.

Miran los dos extremos del mismo problema. El verificador lee lo que un dominio publica en DNS (su cadena SPF, su política DMARC y sus claves DKIM) y juzga la configuración. Esta herramienta lee un mensaje ya entregado e informa de lo que le ocurrió en realidad. Usa el verificador al configurar un dominio, y esta cuando un mensaje concreto haya salido mal. Las tarjetas de firma enlazan con él, así que un dominio firmante encontrado aquí puede comprobarse allí con un clic.