Análisis de cabeceras: SPF, DKIM, DMARC y ruta

Cómo funciona

El analizador lee el bloque de cabeceras como lo hace un servidor de correo: une las líneas plegadas, descodifica los asuntos y nombres codificados y presenta las cabeceras Received como una ruta de entrega, con el retraso en cada salto.

Para la autenticación solo confía en la cabecera Authentication-Results superior, la que añadió su propio proveedor de correo. Muestra los resultados SPF, DKIM y DMARC, comprueba si la firma DKIM y la dirección de rebote pertenecen al dominio From y busca trucos de suplantación habituales: otra dirección oculta en el nombre visible, una marca conocida en el nombre, respuestas desviadas a otro dominio y fechas ausentes o extrañas.

Cómo interpretar el resultado

DMARC es la comprobación que protege la dirección From que usted ve. Si se supera, el SPF o el DKIM del propio titular del dominio la ha confirmado; si falla, es muy probable que la dirección esté falsificada. SPF y DKIM por sí solos pueden superarse para cualquier dominio que controle el remitente.

Todo lo que aparece por debajo de las líneas de su proveedor puede escribirlo el remitente, así que trate los saltos anteriores como afirmaciones, no como hechos.

Preguntas

¿Dónde encuentro las cabeceras completas?

Gmail: abra el mensaje, elija Más (⋮) y Mostrar original. Outlook en la web: Más acciones, Ver, Ver origen del mensaje. Outlook para Windows: Archivo, Propiedades, Encabezados de Internet. Apple Mail: Visualización, Mensaje, Todas las cabeceras. Thunderbird: Ver, Código fuente del mensaje.

¿Se envían mis cabeceras a algún sitio?

No. Las cabeceras se analizan en su navegador y no se sube nada. Contienen su dirección de correo y datos de red, así que piénselo dos veces antes de pegarlas en servicios en línea.

¿Por qué un correo de phishing puede superar SPF y DKIM?

SPF y DKIM confirman el dominio que envió o firmó el mensaje, que puede ser el propio dominio del atacante. Solo DMARC vincula esos resultados con la dirección From que usted ve.

¿Qué hago si el resultado muestra indicios de falsificación?

No haga clic en enlaces, no abra adjuntos ni responda. Notifique el mensaje como phishing en su programa de correo y avise a su equipo de TI o de seguridad.