Cómo leer los encabezados de un correo: encuentra al remitente real, la ruta de entrega y por qué un mensaje llegó a spam

Para leer los encabezados de un correo, abre el origen completo del mensaje (en Gmail: el menú ⋮ → Mostrar original), busca las líneas Received y léelas de abajo hacia arriba: esa es la ruta que siguió el mensaje, servidor por servidor. Después revisa Authentication-Results: ahí se registra si SPF, DKIM y DMARC pasaron cuando tu servidor de correo aceptó el mensaje. Esos dos bloques responden las tres preguntas más habituales: de dónde viene realmente este correo, si el remitente es legítimo y por qué terminó en spam.

Qué son los encabezados de correo y cuáles importan

Todo correo tiene dos partes: encabezados y cuerpo. Los encabezados son una lista de líneas con el formato Nombre: valor. Algunos los escribe el programa de correo del remitente (From, Subject, Date), otros los añade cada servidor por el camino (Received) y el servidor receptor (Return-Path, Authentication-Results). Tu cliente de correo solo muestra unos pocos. La lista completa suele tener decenas de líneas, y casi todas son ruido. Estos son los que vale la pena conocer:

Cómo ver los encabezados de correo en Gmail, Outlook, Apple Mail y otros

• Gmail (web): abre el mensaje → ⋮ → Mostrar original. La página comienza con un breve resumen (veredictos de SPF, DKIM y DMARC), seguido de los encabezados sin procesar. Descargar original guarda un archivo .eml.
• Outlook para Windows: abre el mensaje en su propia ventana → Archivo → Propiedades → Encabezados de Internet.
• Outlook en la web y el nuevo Outlook: el menú … del mensaje → Ver → Ver detalles del mensaje.
• Apple Mail: Visualización → Mensaje → Todos los encabezados, o Origen sin procesar para ver todo.
• Thunderbird: Ctrl+U (⌘U en Mac) abre el origen del mensaje.
• Yahoo Mail: … → Ver mensaje sin procesar.

Los menús cambian entre versiones, así que si una ruta no coincide, busca en la ayuda del cliente “origen del mensaje” o “encabezados de Internet”. Dos notas prácticas: la mayoría de las apps móviles no muestran los encabezados completos, así que usa una computadora; y una copia de tu propia carpeta de Enviados no sirve para el diagnóstico: todavía no ha viajado a ningún lado, así que no tiene líneas Received del lado del destinatario ni resultados de comprobación.

Paso a paso: cómo leer un bloque de encabezados

1. Empieza por la identidad visible. Anota la dirección From, la de Reply-To (si existe) y el Return-Path. Tres dominios distintos son motivo para investigar más, no un veredicto.
2. Busca el Authentication-Results superior. Si hay varios, el de arriba lo añadió tu propio proveedor: confía en ese. Lee spf=, dkim= y dmarc=.
3. Comprueba la alineación. DMARC solo tiene en cuenta SPF o DKIM si su dominio coincide con el dominio de From (consulta más abajo).
4. Lee las líneas Received de abajo hacia arriba. La línea más baja es el primer salto; la línea superior es tu buzón.
5. Encuentra la primera IP pública de la que la parte confiable de la cadena recibió el mensaje: es la mejor "IP del remitente" disponible.
6. Consulta los encabezados del filtro de spam para ver cómo se puntuó el mensaje y quién lo hizo.

Cómo leer la cadena Received de abajo hacia arriba

Cada servidor añade su línea Received encima de las existentes, por lo que el orden queda invertido. Una cadena simplificada podría verse así:

Received: by 2002:a05:6000:1a8b with SMTP id …;
        Tue, 13 Oct 2026 09:14:07 -0700 (PDT)
Received: from mail.shop.example (mail.shop.example. [203.0.113.40])
        by mx.google.com with ESMTPS id …
        for <you@gmail.com>; Tue, 13 Oct 2026 09:14:05 -0700 (PDT)
Received: from app-07.internal (unknown [10.0.4.17])
        by mail.shop.example (Postfix) with ESMTP id 4F2A1;
        Tue, 13 Oct 2026 16:13:58 +0000 (UTC)

Línea inferior: una máquina interna con IP privada (10.0.4.17) entregó el mensaje al servidor de correo de la tienda. Línea intermedia: el MX de Google lo aceptó desde 203.0.113.40 mediante TLS (ESMTPS). Línea superior: entrega interna al buzón. En cada línea, from indica cómo se presentó el host emisor, la parte entre corchetes es lo que el servidor receptor vio realmente (nombre de DNS inverso e IP) y by es el servidor receptor. La IP entre corchetes la registró el receptor, por lo que es más confiable que el nombre que aparece después de from.

Una regla importa más que todas las demás: solo son confiables las líneas añadidas por servidores en los que confías. Cualquiera puede insertar líneas Received falsas en un mensaje antes de enviarlo. Empieza por arriba y sigue la cadena hacia abajo mientras los servidores pertenezcan a tu proveedor; el salto en el que tu proveedor aceptó el mensaje es donde termina la parte confiable.

Retrasos entre saltos

Compara las marcas de tiempo de saltos contiguos después de convertirlas a una misma zona horaria (fíjate en los distintos desfases del ejemplo: −0700 y +0000). Es normal que cada salto tarde segundos. Minutos u horas suelen indicar greylisting (el receptor pidió al remitente que reintentara más tarde), una cola en el lado emisor, análisis de contenido o reintentos tras un error temporal. Un retraso negativo no significa que el mensaje viajara al pasado: significa que los relojes de dos servidores no coinciden.

Cómo encontrar la IP real del remitente

La "IP de origen" es la primera dirección pública en la parte confiable de la cadena Received: la máquina desde la que tu proveedor (o el primer relay del proveedor) aceptó el mensaje. Los rangos privados como 10.x.x.x, 172.16–31.x.x y 192.168.x.x son redes internas y no dicen nada sobre la ubicación. Ten presentes los límites:

• Si alguien escribe desde Gmail, Outlook.com u otro servicio de webmail, el primer salto público es el servidor de ese proveedor. La IP del domicilio u oficina de la persona normalmente no aparece en los encabezados.
• Los servidores corporativos y algunos proveedores sí añaden la IP del cliente (a veces en un encabezado X- aparte). Puede ser una VPN, la puerta de enlace de un operador móvil o un proxy de oficina.
• La geolocalización de IP es aproximada: muestra dónde está registrada o enrutada la dirección, no dónde se encuentra una persona.

Cuando tengas la IP, compárala con las listas negras de IP y consulta a quién pertenece con la geolocalización de IP o el DNS inverso. Si aparece en una lista, el artículo por qué mi IP está en una lista negra explica qué significan las listas y cómo funciona la eliminación.

Resultados de SPF, DKIM y DMARC y alineación

Una línea típica de Gmail se ve así:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@shop.example header.s=s1 header.b=Ab12Cd34;
       spf=pass (google.com: domain of bounce@mail.shop.example designates 203.0.113.40 as permitted sender) smtp.mailfrom=bounce@mail.shop.example;
       dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=shop.example

Qué dice cada parte:

• spf=pass: la IP que entregó el mensaje está permitida por el registro SPF del dominio del Return-Path (smtp.mailfrom). softfail y fail significan que no está permitida; permerror significa que el registro en sí está roto.
• dkim=pass: la firma de header.i/d= coincidió con la clave publicada en el DNS bajo el selector header.s. fail significa que el mensaje se modificó en el camino o que la clave no coincide.
• dmarc=pass: al menos uno de SPF o DKIM pasó para un dominio alineado con From. La parte p= muestra la política publicada del dominio.

La alineación es donde surge la mayor parte de la confusión. SPF comprueba el dominio del Return-Path y DKIM comprueba el dominio de d=, pero las personas ven el dominio de From. DMARC los vincula: con alineación relajada (la predeterminada), mail.shop.example y shop.example cuentan como coincidencia porque comparten el dominio organizacional; con alineación estricta deben ser idénticos. Por eso puedes ver spf=pass y dkim=pass junto a dmarc=fail: ambas comprobaciones pasaron, pero para el dominio de un servicio de envío en lugar del tuyo.

Para comprobar lo que publica un dominio en este momento, usa el verificador de SPF, el verificador de DKIM (toma el selector de s= en DKIM-Signature) y el verificador de DMARC. Cómo encajan los tres se explica en SPF, DKIM y DMARC explicados, y los selectores en qué es un registro DKIM y un selector.

Tarea: ¿por qué mi correo fue a spam?

Pide al destinatario los encabezados del mensaje que llegó a spam (tu copia en Enviados no sirve), y luego revisa esta lista:

1. Autenticación. Cualquier fail, softfail o none en SPF, DKIM o DMARC es lo primero que debes corregir.
2. Alineación. Si DMARC falla mientras SPF y DKIM pasan, configura un dominio de rebotes personalizado y la firma DKIM con tu propio dominio en tu servicio de correo.
3. IP de envío. Comprueba la primera IP pública de tu lado en listas negras.
4. Veredictos del filtro de spam. SpamAssassin enumera las reglas activadas en X-Spam-Status; en Microsoft 365, un valor SCL de 5 o superior significa que el mensaje se clasificó como spam.
5. Encabezados de correo masivo. Los boletines sin un encabezado List-Unsubscribe que funcione reciben peor trato de los grandes proveedores de correo.

Si todo pasa y la IP está limpia, la causa suele ser la reputación o el contenido, que los encabezados no muestran directamente.

Tarea: ¿el remitente es genuino? Señales de suplantación y phishing

• El mensaje dice ser de un banco o de un servicio conocido, pero DMARC falla o no existe.
• Reply-To apunta a un dominio distinto, sobre todo a un correo gratuito.
• El nombre mostrado contiene una dirección distinta de la real: "support@bank.example" <alerts@bank-help.example>.
• Un dominio parecido en From o Return-Path (un dígito en lugar de una letra, una palabra adicional, otro TLD).
• La primera IP pública pertenece a una red que no tiene nada que ver con el supuesto remitente.
• Un filtro de spam en el camino ya marcó el mensaje.

Privacidad: ten cuidado al compartir encabezados

Los encabezados suelen contener más datos personales que el mensaje visible: tu dirección completa y a veces la de otros destinatarios, nombres de host internos, direcciones IP, el programa de correo del remitente y enlaces personales de cancelación de suscripción o de seguimiento. Antes de publicar encabezados en un foro o en un ticket, reemplaza tu dirección y los tokens largos de los enlaces por marcadores, pero conserva intactos Received, Authentication-Results y DKIM-Signature: sin ellos nadie puede diagnosticar nada. Es mejor usar herramientas que procesen los encabezados de forma local que otras que guarden lo que pegas.

Errores comunes

• Leer las líneas Received de arriba hacia abajo y tomar el servidor del destinatario por el del remitente.
• Confiar en todas las líneas Received, incluidas las añadidas antes de que el mensaje llegara a un servidor de confianza.
• Tratar spf=pass como prueba de que From es genuino: SPF comprueba el Return-Path.
• Diagnosticar un problema de spam a partir de la copia de la carpeta Enviados.
• Comparar marcas de tiempo sin convertir las zonas horarias.

Analiza los encabezados con la herramienta de PromoPilot

Pega los encabezados o arrastra un archivo .eml al Email Header Analyzer. Muestra los saltos de abajo hacia arriba con los retrasos en UTC, señala el paso más lento y los desajustes de reloj, indica la primera IP pública de la cadena, los resultados de SPF, DKIM, DMARC y ARC que registró el receptor, la alineación entre From, Return-Path y el d= de DKIM, los encabezados de filtros de spam, los encabezados de cancelación de suscripción con un clic y señales de suplantación, como un Reply-To distinto o una dirección en el nombre visible.

Lo que no hace:

• No vuelve a verificar las firmas DKIM. Para eso se necesita el mensaje completo y el DNS tal como estaba en el momento de la entrega, así que la herramienta muestra lo que registró el servidor receptor y revisa los dominios por sí misma.
• No consulta IP ni dominios por su cuenta: los enlaces junto a cada IP llevan a nuestras comprobaciones de listas negras, geolocalización y DNS inverso si quieres ejecutarlas.
• No puede leer archivos .msg de Outlook (un formato binario): copia los encabezados de Internet o guarda el mensaje como .eml.
• El dominio organizativo para la alineación se determina de forma aproximada, sin la Public Suffix List completa.

El análisis se ejecuta en JavaScript en tu navegador; los encabezados no se envían a nuestro servidor. No hay límite diario; cada análisis acepta hasta 2 MB de texto (de un .eml se lee el primer 1 MB).