Cómo rastrear el origen de un correo desde sus encabezados

La línea «De» visible de un correo se falsifica con facilidad. La verdad vive en el encabezado de correo — los metadatos ocultos que registran los servidores que cruzó un mensaje y las comprobaciones de autenticación que pasó o falló. Leerlos te dice de dónde vino realmente un mensaje y si conviene confiar en él.

Lo que necesitarás

• El encabezado completo y en bruto del correo (la opción «mostrar original» o «ver fuente» de tu cliente)
• Una herramienta de análisis de encabezados de la categoría Números de teléfono y correos
• Búsquedas de IP y dominio de la categoría Nombres de dominio y usuarios

Pasos

1. Extrae el encabezado en bruto. Abre la fuente original del mensaje para ver cada campo, no solo el resumen amable que muestra tu cliente.
2. Lee la cadena Received de abajo hacia arriba. La línea «Received» más baja suele ser el origen; cada línea encima es el siguiente salto. Súbela para encontrar el primer servidor de envío y su dirección IP.
3. Comprueba los resultados de autenticación. Mira SPF, DKIM y DMARC. Los fallos — o un dominio «De» que no coincide con el servidor de envío — son fuertes señales de suplantación.
4. Geolocaliza y atribuye la IP de origen. Busca la IP de origen para su propietario y ubicación aproximada; contrasta los registros WHOIS del dominio remitente.
5. Correlaciona con el contenido. Sopesa el origen técnico frente a las afirmaciones, enlaces y adjuntos del mensaje para juzgar si es legítimo, suplantado o phishing.

Errores comunes

• Confiar en el nombre visible. No tiene autoridad; solo la cadena de encabezados y los resultados de autenticación la tienen.
• Leer mal el orden de los Received. Lee de abajo hacia arriba — invertirlo te señala tu propio servidor de correo, no al remitente.
• Olvidar relés y servicios. Listas de correo y plataformas de marketing añaden saltos legítimos que pueden parecer sospechosos si se leen mal.

Verifica tu resultado

Has rastreado el correo cuando puedes nombrar el servidor y la IP de origen, indicar si SPF/DKIM/DMARC pasaron, y explicar si la dirección «De» es genuina o falsificada.