Cómo obtener las cabeceras.
- Gmail: abra el correo → menú ⋮ (tres puntos) → «Mostrar original» → «Copiar al portapapeles» o «Descargar original» (.eml).
- Outlook (web): abra el correo → ⋯ → «Ver» → «Ver detalles del mensaje» (o «Ver origen del mensaje»).
- Outlook (escritorio): abra el correo → Archivo → Propiedades → cuadro «Encabezados de Internet».
- Pida a la víctima que reenvíe el correo como archivo adjunto (.eml): un reenvío normal pierde las cabeceras originales.
Qué es. Las cabeceras son el "sobre" del correo: cada servidor por el que pasa agrega una línea Received con su nombre, la IP desde la que recibió y la hora. También registran si el remitente se autenticó (SPF, DKIM, DMARC).
Cómo leerlo.
- Recorrido: los saltos en orden, del primero al último, con la hora en Chile y UTC y la demora entre saltos.
- Confiable / Declarado: los saltos confiables los agregó la infraestructura del receptor. Los declarados los escribió el lado del remitente y se pueden falsificar.
- IP de origen candidata: la IP desde la que el primer servidor confiable recibió el correo.
- SPF / DKIM / DMARC: «pass» indica que el dominio autorizó el envío; «fail» o «softfail», que no.
- Alineación: si el dominio del remitente visible coincide con el que firmó el correo y con el de respuesta.
Qué se puede concluir. Qué servidor entregó el correo al receptor, si el dominio del remitente fue suplantado y por qué servicio se envió.
Qué NO se puede concluir. Si el correo se envió desde un servicio web (Gmail, Outlook, Yahoo…), la IP visible es la del proveedor, no la del usuario: para obtenerla se necesita un requerimiento con el Message-ID y la fecha. Los saltos declarados pueden ser falsos. Una IP privada (192.168.x.x, 10.x.x.x) es de la red interna del remitente y no identifica a nadie en internet.
Utilidad investigativa. Detecta suplantación (phishing), identifica el servidor o servicio de envío al que dirigir un requerimiento y entrega el Message-ID, que permite al proveedor ubicar el mensaje exacto.