Leer el remitente y las cabeceras

Módulo 2: Leer correo · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: Después de esta lección sabrá distinguir entre el nombre visible y la dirección real de un remitente, abrir las cabeceras de un mensaje y leer Return-Path, Received, Authentication-Results y List-Unsubscribe. Además, sabrá qué revelan sobre usted las imágenes externas y las confirmaciones de lectura.

Conceptos clave: nombre visible, Responder a, Cabeceras, Mostrar código, Authentication-Results, alineación, List-Unsubscribe, recursos externos, píxel de seguimiento, confirmación de lectura

Un nombre no es una dirección

En la lista de mensajes, en la mayoría de los correos no ve una dirección de correo electrónico, sino un nombre: "Ahmed", "Bloemenatelier Example", "Atención al cliente". Es el nombre visible. En la cabecera From aparece delante de la dirección:

From: Sanne de Vries <sanne@example.com>

El nombre visible lo elige el propio remitente, y cualquiera puede poner el nombre que quiera. Por tanto, un estafador puede enviar correos como "Sanne de Vries" desde una dirección completamente distinta. En la lección 4.1 configurará su propio nombre visible; ahora se trata de que no se fíe a ciegas del nombre de los demás.

En el webmail, haga clic en Detalles, encima de un mensaje abierto. Así verá, además del nombre, la dirección completa del remitente y de todos los destinatarios. Cuando un correo le pida algo, fíjese siempre en la dirección, y sobre todo en la parte que va después de la @.

Responder a: adónde va realmente su respuesta

Un correo puede tener una cabecera Reply-To, que en el webmail aparece como Responder a. Si hace clic en Responder, su respuesta va a esa dirección y no a la de From. Hay buenas razones para ello. Por ejemplo, una tienda online envía desde noreply@ y pone la dirección de atención al cliente en Responder a.

Pero también es un truco conocido. Un correo parece venir del director, con la dirección correcta en From, pero Responder a apunta a una dirección del estafador. Quien responde, habla a partir de ese momento con el estafador. Por eso, ante una petición inesperada, compruebe en la pantalla de redacción a qué dirección va su respuesta antes de hacer clic en Enviar.

Abrir las cabeceras

La vista de un correo solo muestra unas pocas cabeceras. El resto puede abrirlo de dos maneras:

• Cabeceras, encima del mensaje: el webmail abre una ventana con todas las cabeceras del mensaje, como se ve en la imagen.
• Más > Mostrar código: el webmail abre en una pestaña nueva el mensaje completo tal como está en el servidor, es decir, las cabeceras, una línea en blanco y, a continuación, el contenido y los adjuntos como texto.

En el menú Más también encontrará Exportar.... Con esta opción descarga el mensaje como archivo .eml, por ejemplo para dárselo a su proveedor o a un compañero que tenga que revisar las cabeceras.

Al principio, las cabeceras parecen un caos. No hace falta que las conozca todas. Busque de forma específica cuatro tipos.

Cuatro cabeceras que dicen algo

Ahmed recibe un boletín de su mayorista, "Groothandel Example". En las cabeceras aparece, entre otras cosas, lo siguiente (abreviado):

Return-Path: <bounce-7731@mailer.example.org>
Received: from mailer.example.org (mailer.example.org [198.51.100.40])
        by mx.example.net with ESMTPS
        for <ahmed@example.net>; Mon, 09 Nov 2026 07:02:11 +0100
Authentication-Results: mx.example.net;
        spf=pass smtp.mailfrom=mailer.example.org;
        dkim=pass header.d=example.org;
        dmarc=pass header.from=example.org
From: Groothandel Example <nieuws@example.org>
List-Unsubscribe: <https://www.example.org/afmelden?id=7731>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Return-Path es la dirección del remitente del sobre de la lección 1.1. Los mensajes de error van a esa dirección. En los boletines suele ser una dirección distinta para cada destinatario, para que el remitente pueda ver qué dirección ya no funciona.

Received indica qué servidor entregó el correo a qué servidor. La línea superior la ha creado el propio servidor de Ahmed. Es la línea más fiable: en ella ve desde qué servidor y desde qué dirección IP llegó realmente el correo.

Authentication-Results es el informe del servidor receptor sobre las comprobaciones de la lección 1.1:

• spf=pass con smtp.mailfrom: el servidor que entregó el correo está autorizado para enviar en nombre del dominio del remitente del sobre.
• dkim=pass con header.d: la firma digital es correcta y la ha puesto ese dominio.
• dmarc=pass con header.from: el dominio de From corresponde a una comprobación SPF o DKIM superada. Esto se llama alineación. Aquí, DKIM está firmado por example.org, y From también es example.org. También mailer.example.org cuenta como alineado, porque pertenece al mismo dominio.

Importante: solo cuentan los Authentication-Results de su propio servidor receptor. Un remitente puede poner él mismo en su mensaje una línea falsa con "pass". Por eso, fíjese en qué servidor escribió la línea (la primera palabra, aquí mx.example.net). No todos los servidores añaden esta línea. Si no la ve, todavía puede comprobar si hay una cabecera DKIM-Signature y para qué dominio (d=).

Y tenga en cuenta que pass solo significa que el correo procede realmente de ese dominio. Un estafador con su propio dominio, como example-betaling.example, puede obtener sin problema un pass en las tres comprobaciones. La comprobación indica quién envía, no si es de fiar.

List-Unsubscribe es una dirección de baja que los programas de correo pueden usar para mostrar un botón de baja. Si además aparece List-Unsubscribe-Post, la baja se puede hacer con un solo clic, sin tener que confirmarla antes en un sitio web. En un boletín al que usted mismo se suscribió, darse de baja es el camino correcto. Con el spam real no: ahí solo confirma que su dirección existe (lección 8.2).

Imágenes externas y píxeles de seguimiento

Muchos boletines descargan sus imágenes de internet en el momento en que usted abre el correo. Son recursos externos. Una imagen así puede llevar un código único en su dirección, o incluso ser una imagen invisible de un solo píxel: un píxel de seguimiento. En cuanto abre el correo y se carga la imagen, el remitente sabe que lo ha abierto, cuándo y desde qué dirección IP.

El webmail de WebOké no carga los recursos externos de forma predeterminada. En ese caso verá una barra con el aviso de que están bloqueados y un botón para cargarlos solo en ese mensaje. En Configuración > Preferencias > Vista de Mensajes puede elegir en Permitir recursos remotos entre nunca, de sus contactos, de remitentes de confianza o siempre. No se recomienda la opción siempre: así cualquier remitente, incluido un spammer, ve que su dirección existe y que se lee.

Confirmaciones de lectura

Un remitente puede solicitar una confirmación de lectura: un aviso cuando usted abre el mensaje. El webmail le preguntará entonces si desea enviarla. No está obligado. Además, la confirmación solo indica que el mensaje apareció en su pantalla, no que lo leyera ni lo entendiera. En Vista de Mensajes puede configurar qué hace el webmail con estas solicitudes; si tiene dudas, deje que le pregunte siempre. Si el remitente es desconocido, no envíe ninguna.

En la práctica: así funciona en el webmail

Encima de un mensaje abierto encontrará Detalles, Cabeceras y Sólo texto. Mostrar código y Exportar... están en Más. Los recursos externos se configuran en Configuración > Preferencias > Vista de Mensajes. El manual de Roundcube describe los botones en Leer un mensaje; cómo leer las cabeceras también se explica en la base de conocimientos. En otros webmails, como Gmail u Outlook.com, funciona de forma similar, aunque allí el botón para ver el código fuente se llama de otra manera.

Resumen

• El nombre visible lo elige el propio remitente; con Detalles compruebe la dirección real y el dominio.
• Responder a determina adónde va su respuesta, y puede apuntar a otro dominio.
• Con Cabeceras o Más > Mostrar código ve todas las cabeceras; lea Return-Path, la línea Received superior, Authentication-Results y List-Unsubscribe.
• Solo cuentan los Authentication-Results de su propio servidor, y pass indica quién envía, no si es de fiar.
• Los recursos externos y las confirmaciones de lectura le dicen al remitente que usted abrió el correo.

Cuestionario

Ejercicio

Ejercicio A2.2: Analizar un correo real. Elija un correo que haya recibido, por ejemplo un boletín. Ábralo, elija Más > Mostrar código y copie solo las cabeceras: todo hasta la primera línea en blanco. Péguelas en el formulario e indique el dominio del remitente (From) y el dominio de Return-Path. El programa analiza en memoria las cabeceras pegadas (no se guarda nada), compara sus respuestas y muestra lo que ha encontrado: la cadena Received, el dominio DKIM y si los dominios están alineados. Verde: las dos respuestas son correctas. Naranja: una es correcta. Rojo: ninguna es correcta.

Para saber más

Los pasos indicados para el webmail se refieren al webmail de WebOké; en otros webmails funciona de forma similar.

• Roundcube Webmail 3.1: Leer un mensaje
• Consultar y leer las cabeceras (headers) de un correo electrónico
• Curso gratuito: El correo electrónico en orden: configuración y buena entrega 1.5: Leer las cabeceras: ¿de dónde venía este correo?
• Curso gratuito Seguridad online para empresarios 3.3: Aprender a leer el remitente y las cabeceras
• Curso gratuito: El correo electrónico en orden: configuración y buena entrega 7.2: Consentimiento, baja y una lista limpia
• RFC 5322, Internet Message Format (en inglés): https://www.rfc-editor.org/rfc/rfc5322
• RFC 2369, List-Unsubscribe y otras cabeceras de listas (en inglés): https://www.rfc-editor.org/rfc/rfc2369
• RFC 8058, baja con un solo clic (en inglés): https://www.rfc-editor.org/rfc/rfc8058