Cómo leer las cabeceras de un correo: ¿de dónde viene?

Cada correo lleva un currículum que tu programa de correo suele ocultar: la cabecera. En ella queda registrado por qué servidores pasó el mensaje, cuándo llegó a cada uno y si superó las comprobaciones contra remitentes falsificados. Si sabes leer una cabecera, detectas antes el phishing y averiguas por qué un correo llegó tarde o acabó en spam.

Dónde encontrar la cabecera

Todos los programas de correo pueden mostrar la cabecera completa; solo cambia el nombre de la opción:

• Gmail: abre el mensaje, haz clic en los tres puntos de arriba a la derecha y elige "Mostrar original".
• Outlook en la web: tres puntos, luego "Ver" y "Ver detalles del mensaje".
• Outlook para Windows: "Archivo", "Propiedades", apartado "Encabezados de Internet".
• Apple Mail: "Visualización", "Mensaje", "Todas las cabeceras".
• Thunderbird: "Ver", "Código fuente del mensaje".
• TossPost: en cada mensaje, la pestaña "Cabeceras" muestra todas las líneas y "Código fuente" el texto original completo.

Las líneas que importan

Una cabecera se compone de muchas líneas del tipo Nombre: valor. Para la mayoría de las preguntas bastan estas:

Línea	Qué te dice
From	El remitente que se muestra. Puede ser cualquier cosa.
Reply-To	A dónde va una respuesta. En las estafas suele ser otra dirección distinta de From.
Return-Path	A dónde van los avisos de error; es la dirección que comprueba SPF.
Date	Cuándo envió el remitente el correo, según su propio reloj.
Message-ID	Un identificador único, normalmente con el dominio del sistema que envía.
Received	Una parada en el recorrido del correo. Suele haber varias.
Authentication-Results	El resultado de SPF, DKIM y DMARC en el servidor que recibe.
DKIM-Signature	La firma digital y el dominio que firmó (d=).
List-Unsubscribe	El enlace para darse de baja de una newsletter.

Seguir el recorrido de un correo

Cada servidor que reenvía un correo añade una nueva línea Received arriba de la cabecera. Por eso el recorrido se lee de abajo arriba: la línea más baja es la primera parada y la de más arriba, la última antes de tu bandeja.

Received: from mail.example.org (mail.example.org [198.51.100.7])
        by mx.example.net with ESMTPS; Tue, 20 Oct 2026 09:14:05 +0200
Received: from app-3.internal.example.org (10.0.0.12)
        by mail.example.org with ESMTP; Tue, 20 Oct 2026 09:14:02 +0200

Aquí un servidor interno de aplicaciones entregó el correo al servidor de correo de example.org, que lo envió tres segundos después al destinatario example.net. Si comparas las horas de dos paradas seguidas, ves dónde se atascó un correo. Si entre dos líneas pasan minutos u horas, esa parada causó el retraso.

Detectar un remitente falsificado

Los correos de phishing se hacen pasar por un banco, una empresa de mensajería o un compañero. La cabecera suele delatarlos:

• Authentication-Results muestra fail: si DMARC falla aunque el correo dice venir de una gran empresa, es una señal de alarma clara.
• From, Reply-To y Return-Path no encajan: un correo "de tu banco" cuya dirección de respuesta está en un proveedor de correo gratuito es sospechoso.
• El nombre visible engaña: From: "Soporte Banco" <[email protected]> – lo que cuenta es la dirección entre los signos < y >, no el nombre de delante.
• Servidores extraños en el recorrido: si un correo dice venir de una empresa pero la línea Received más baja nombra un servidor que no tiene nada que ver con ella, algo falla.

Ninguna señal por sí sola demuestra una estafa. Pero si se cumplen varias, no hagas clic en ningún enlace ni abras archivos adjuntos.

Lo que la cabecera no te dice

La cabecera es reveladora, pero no es un detector de mentiras:

• Solo las líneas de arriba son fiables. Las líneas Received que añadió tu propio proveedor son ciertas. Todo lo que hay debajo puede haberlo escrito el remitente.
• La ubicación del remitente suele quedar oculta. Los grandes servicios de correo web no transmiten la dirección IP de sus usuarios, y la IP de un servidor solo te dice dónde está el centro de datos.
• Date es lo que afirma el remitente. Un reloj mal puesto o la mala intención pueden falsearla; las horas de las líneas Received son más fiables.

Leer cabeceras más rápido

Una cabecera larga con decenas de líneas es pesada de leer. El analizador de cabeceras de TossPost lo hace por ti: pega la cabecera y verás las paradas del correo en el orden correcto con los retrasos entre ellas, el resultado de SPF, DKIM y DMARC, si los dominios coinciden con el remitente, marcas de spam y el enlace de baja. La cabecera solo se usa para el análisis y no se guarda.

Para saber cómo llegan tus propios correos, envía uno al mail tester. En el artículo SPF, DKIM y DMARC explicados verás qué hay detrás de las comprobaciones.

En resumen

La cabecera muestra de dónde viene un correo, qué recorrido hizo y si superó las comprobaciones contra la falsificación. Lee las líneas Received de abajo arriba, compara From, Reply-To y Return-Path, y mira Authentication-Results.

Analiza una cabecera ahora