Un encabezado de correo es el bloque de metadatos técnicos que se transporta en la parte superior de cada mensaje, por encima del asunto y el cuerpo visibles. Registra la cadena de servidores de correo por los que pasó el mensaje (las líneas «Received», que se leen de abajo hacia arriba), en muchos casos la dirección IP de origen, las marcas de tiempo y resultados de autenticación como SPF, DKIM y DMARC que muestran si el remitente era quien decía ser.
Para los investigadores, el encabezado es donde vive la verdadera historia de un correo. Un nombre visible y una dirección «De» se falsifican con facilidad, pero la cadena Received y los resultados de autenticación son mucho más difíciles de falsear y pueden revelar el verdadero servidor de envío, la ubicación aproximada del remitente y si un mensaje está suplantado o forma parte de una campaña de phishing. Leer encabezados es una habilidad básica en la investigación de correo y fraude.