Módulo 3 · 3.3
Aprender a leer el remitente y las cabeceras
Módulo 3: Reconocer el phishing · Tiempo de lectura: 13 minutos
Objetivo de aprendizaje: Después de esta lección podrá evaluar el remitente de un correo a partir del nombre mostrado, la dirección From, Reply-To, Return-Path, las líneas Received y el resultado de SPF, DKIM y DMARC en Authentication-Results.
Conceptos clave: nombre mostrado, From, Reply-To, Return-Path, Received, Authentication-Results, resultado SPF/DKIM/DMARC, alineación
Lo que ve y lo que realmente aparece
Un programa de correo normalmente solo le muestra una pequeña parte del remitente: un nombre, a veces una dirección. Detrás de eso hay un bloque de líneas técnicas que no ve, las cabeceras. En ellas consta quién dice ser el remitente, adónde quiere recibir las respuestas, por qué servidores ha pasado el correo y qué ha comprobado su servidor de correo.
No necesita ser técnico para leerlas. Necesita conocer seis:
| Cabecera | Qué es | Quién la rellena |
|---|---|---|
| Nombre mostrado | El nombre delante de la dirección, por ejemplo Mijnbank | El remitente, de libre elección |
From | La dirección del remitente que usted ve | El remitente |
Reply-To | Adónde va su respuesta si pulsa en Responder | El remitente |
Return-Path | La dirección técnica del remitente para los mensajes de error (remitente del sobre) | Su servidor de correo, según lo indicado por el emisor |
Received | Una línea por cada servidor que transmitió el correo | Cada servidor de la ruta |
Authentication-Results | El resultado de SPF, DKIM y DMARC | Su servidor de correo |
Las tres primeras las puede escribir el remitente como quiera. Solo en las tres últimas interviene una comprobación.
El nombre mostrado no dice nada
El nombre mostrado es simplemente texto. Cualquiera puede usar como nombre «Mijnbank Atención al cliente» o el nombre de su director. Muchos programas de correo, sobre todo en el teléfono, solo muestran ese nombre. Un truco conocido es incluir una dirección dentro del nombre:
From: "info@mijnbank.example" <noreply@aanvaller.example>Usted ve info@mijnbank.example, pero la dirección real está entre los símbolos de mayor y menor que. Toque o haga clic siempre sobre el nombre para ver la dirección completa.
También la dirección From en sí puede falsificarse: en el protocolo de correo, un servidor puede indicar cualquier dirección From. Que eso funcione sin acabar en la carpeta de spam depende de SPF, DKIM y DMARC del dominio que se está suplantando. De eso trata el resto de esta lección.
Reply-To: responder a otra persona
Con Reply-To un correo indica: «no me responda a mí, sino a esta dirección». Los boletines y formularios web lo usan de forma habitual. Los estafadores lo usan para apropiarse de una conversación. El correo llega desde una dirección real o que lo parece, pero su respuesta, con los datos solicitados o la confirmación del pago, va al atacante.
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>Ante una solicitud de dinero o de datos, fíjese siempre en la dirección de la ventana de respuesta antes de pulsar Enviar.
Return-Path, Received y la ruta
El Return-Path es la dirección adonde van los mensajes de error. También se le llama remitente del sobre: la dirección en el exterior del sobre, mientras que From figura en la propia carta. Sobre ese dominio comprueba SPF. En boletines y facturas de un programa de contabilidad, el Return-Path suele ser un dominio del servicio de envío. Eso es normal.
Cada servidor que transmite el correo añade una línea Received encima. Por tanto, se leen de abajo hacia arriba: la última es el principio de la ruta, la primera es la última parada (su propio servidor de correo). Tenga en cuenta que solo puede confiar en las líneas superiores, las que ha añadido su propio proveedor. Por debajo, un remitente puede incluir líneas inventadas.
Authentication-Results: el resultado de la comprobación
Su propio servidor de correo comprueba al recibir el mensaje tres cosas (más explicación en el módulo 4 y en el curso de DNS):
- SPF: ¿podía este servidor enviar correo en nombre del dominio del Return-Path?
- DKIM: ¿es correcta la firma digital, y de qué dominio es (
d=oheader.d=)? - DMARC: ¿pertenece al menos una de esas dos comprobaciones superadas al dominio de From? Esto se llama alineación. «Pertenece a» significa: el mismo dominio registrable (lección 3.2).
mail.mijnbank.exampleestá alineado conmijnbank.example(mismo dominio registrable).
El resultado figura en Authentication-Results. Confíe únicamente en la línea con el nombre de su propio servidor de correo al principio; un remitente también puede incluir él mismo una línea de este tipo.
| Resultado | Significado |
|---|---|
pass | La comprobación se ha superado |
fail | La comprobación ha fallado: no estaba permitido o la firma no coincide |
softfail (SPF) | Probablemente no estaba permitido, pero el dominio no quiere rechazar de forma estricta (~all) |
none | No había nada que comprobar: ningún registro o ninguna firma |
La lección más importante: dmarc=pass solo significa «este correo procede realmente del dominio indicado en From». No dice nada sobre si ese dominio es de confianza. Un atacante con su propio dominio similar puede tenerlo todo en pass perfectamente.
En la práctica: así se ve
Tres bloques de cabeceras recreados, reducidos a las líneas que importan. El destinatario es Bakkerij Example; su propio servidor de correo se llama mx1.example.com.
Ejemplo 1: auténtico.
Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mail.mijnbank.example;
dkim=pass header.d=mijnbank.example header.s=sel2026;
dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaarEl dominio de From es mijnbank.example y DKIM está firmado por mijnbank.example, y el Return-Path cae dentro: ambos alineados, DMARC se supera. El correo procede realmente de ese dominio. Para ver el resumen anual, acceda igualmente al banco mediante su propio marcador.
Ejemplo 2: remitente falsificado.
Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mailer.aanvaller.example;
dkim=none;
dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummerSPF se supera, pero para aanvaller.example, no para el dominio de From. No hay firma. DMARC falla, por tanto. Como el proveedor tiene p=none, el correo se ha entregado de todos modos. Con p=reject habría sido rechazado. A esto se suma el Reply-To hacia otro dominio. Falso.
Ejemplo 3: dominio similar con todo en pass.
Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mijnbank-veilig.example;
dkim=pass header.d=mijnbank-veilig.example header.s=k1;
dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Confirme sus datos para la nueva tarjeta de pagoTodo se supera, porque el atacante ha configurado correctamente todo para su propio dominio. Pero mijnbank-veilig.example no es mijnbank.example, el banco real. Falso.
Abrir las cabeceras usted mismo. En el correo web basado en Roundcube (como en WebOké), abra el mensaje y elija en el menú Más (los tres puntos) la opción Mostrar código fuente. Otros programas lo llaman, por ejemplo, «Mostrar original» o «Código fuente del mensaje». Busque en el texto Authentication-Results. En el teléfono esto a menudo no es posible; en ese caso, consulte el correo en el correo web desde un ordenador.
Resumen
- El nombre mostrado, From y Reply-To los escribe el propio remitente. Mire siempre la dirección real y el Reply-To antes de responder.
- Return-Path es la dirección del sobre sobre la que comprueba SPF. Las líneas Received se leen de abajo hacia arriba; confíe solo en las de su propio proveedor.
- Authentication-Results indica el resultado de SPF, DKIM y DMARC. DMARC comprueba si SPF o DKIM están alineados con el dominio de From.
dmarc=failen un dominio conocido es una señal clara de falsificación.dmarc=passsolo demuestra que el correo procede del dominio de From. Compruebe siempre si ese dominio es el auténtico.
Cuestionario
Ejercicio
Ejercicio A3.3: Leer los encabezados. Recibirá tres bloques de cabeceras. Indique para cada bloque: el dominio en Return-Path, el dominio de la firma DKIM (d=), el resultado de DMARC y si el correo es auténtico o falso. El programa lo corregirá y, en caso de error, le señalará la línea donde está la respuesta.
Para saber más
Los pasos de los artículos de WebOké son válidos para el entorno de WebOké; en otros proveedores funciona de forma parecida.
- ¿Qué es DMARC? Explicación en lenguaje sencillo
- Mis correos electrónicos no llegan o terminan en la carpeta de spam: así puede averiguarlo
- Comprobación pública de correo (SPF, DMARC, MX) de un dominio: https://www.weboke.es/comprobar-correo, y la prueba de correo de internet.nl: https://internet.nl
- Curso de DNS, lecciones 4.3 SPF, 4.4 DKIM y 4.5 DMARC: https://www.weboke.es/curso-dns
- RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601
- Cómo reconocer el phishing: así se interpreta un enlace y un remitente
- Consultar y leer las cabeceras (headers) de un correo electrónico