Leer el remitente y las cabeceras

Módulo 2: Leer correo · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: Después de esta lección sabrá distinguir el nombre visible de la dirección real de un remitente, abrir las cabeceras de un mensaje y leer Return-Path, Received, Authentication-Results y List-Unsubscribe, y sabrá qué revelan sobre usted las imágenes externas y las confirmaciones de lectura.

Conceptos clave: nombre visible, Responder a, Cabeceras, Mostrar código, Authentication-Results, alineación, List-Unsubscribe, recursos externos, píxel de seguimiento, confirmación de lectura

Un nombre no es una dirección

En la lista de mensajes, en la mayoría de los correos no ve una dirección de correo, sino un nombre: "Mohamed", "Estudio floral Example", "Atención al cliente". Es el nombre visible. En la cabecera From aparece delante de la dirección:

From: Laura Fernández <laura@example.com>

El nombre visible lo elige el propio remitente, y cualquiera puede poner cualquier nombre. Un estafador puede, por tanto, enviar correos como "Laura Fernández" desde una dirección completamente distinta. En la lección 4.1 configurará su propio nombre visible; ahora se trata de que no se fíe a ciegas del nombre de los demás.

En el webmail, haga clic en Detalles, encima de un mensaje abierto. Verá entonces, además del nombre, la dirección completa del remitente y de todos los destinatarios. Si un correo le pide algo, mire siempre la dirección, y sobre todo la parte que va después de la @.

Responder a: adónde va realmente su respuesta

Un correo puede tener una cabecera Reply-To, en el webmail Responder a. Si hace clic en Responder, su respuesta va a esa dirección y no a la de From. Hay buenas razones para ello. Una tienda online, por ejemplo, envía desde noreply@ y pone la dirección de atención al cliente en Responder a.

Pero también es un truco conocido. Un correo parece venir del director, con la dirección correcta en From, pero Responder a apunta a una dirección del estafador. Quien responde, habla a partir de ese momento con el estafador. Por eso, ante una petición inesperada, compruebe en la pantalla de redacción a qué dirección va su respuesta antes de hacer clic en Enviar.

Abrir las cabeceras

La vista de un correo solo muestra unas pocas cabeceras. El resto puede abrirlo de dos maneras:

• Cabeceras, encima del mensaje: el webmail abre una ventana con todas las cabeceras del mensaje, como ve en la imagen.
• Más > Mostrar código: el webmail abre en una pestaña nueva el mensaje completo tal como está en el servidor, es decir, las cabeceras, una línea vacía y, a continuación, el contenido y los archivos adjuntos como texto.

En el menú Más también encontrará Exportar.... Con esta opción descarga el mensaje como archivo .eml, por ejemplo para dárselo a su proveedor o a un compañero que tenga que revisar las cabeceras.

Al principio, las cabeceras parecen un caos. No necesita conocerlas todas. Busque de forma específica cuatro tipos.

Cuatro cabeceras que dicen algo

Mohamed recibe un boletín de su mayorista, "Distribuciones Example". En las cabeceras aparece, entre otras cosas, lo siguiente (abreviado):

Return-Path: <bounce-7731@mailer.example.org>
Received: from mailer.example.org (mailer.example.org [198.51.100.40])
        by mx.example.net with ESMTPS
        for <mohamed@example.net>; Mon, 09 Nov 2026 07:02:11 +0100
Authentication-Results: mx.example.net;
        spf=pass smtp.mailfrom=mailer.example.org;
        dkim=pass header.d=example.org;
        dmarc=pass header.from=example.org
From: Distribuciones Example <noticias@example.org>
List-Unsubscribe: <https://www.example.org/afmelden?id=7731>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Return-Path es la dirección del remitente del sobre de la lección 1.1. Los mensajes de error se envían allí. En los boletines suele ser una dirección distinta para cada destinatario, para que el remitente pueda ver qué dirección ya no funciona.

Received indica qué servidor entregó el correo a qué servidor. La línea superior la ha creado el propio servidor de Mohamed. Es la línea más fiable: aquí ve desde qué servidor y qué dirección IP llegó realmente el correo.

Authentication-Results es el informe del servidor receptor sobre las comprobaciones de la lección 1.1:

• spf=pass con smtp.mailfrom: el servidor que entregó el correo puede enviar en nombre del dominio del remitente del sobre.
• dkim=pass con header.d: la firma digital es correcta y la ha puesto ese dominio.
• dmarc=pass con header.from: el dominio de From corresponde a una comprobación SPF o DKIM superada. Esto se llama alineación. Aquí, DKIM lo ha firmado example.org, y From también es example.org. mailer.example.org también cuenta como alineado, porque pertenece al mismo dominio.

Importante: solo cuentan las Authentication-Results de su propio servidor receptor. Un remitente puede añadir él mismo a su mensaje una línea falsa con "pass". Por eso, fíjese en qué servidor escribió la línea (la primera palabra, aquí mx.example.net). No todos los servidores añaden esta línea. Si no la ve, todavía puede comprobar si hay una cabecera DKIM-Signature y para qué dominio (d=).

Y tenga en cuenta: pass solo significa que el correo procede realmente de ese dominio. Un estafador con dominio propio, como example-payment.example, puede obtener sin problema un pass en las tres. La comprobación dice quién envía, no si es de fiar.

List-Unsubscribe es una dirección de baja que los programas de correo pueden usar para un botón de baja. Si además está List-Unsubscribe-Post, la baja puede hacerse con un solo clic, sin tener que confirmar antes en un sitio web. En un boletín al que se suscribió usted mismo, darse de baja es la vía correcta. Con el spam real no: ahí solo confirma que su dirección existe (lección 8.2).

Imágenes externas y píxeles de seguimiento

Muchos boletines descargan sus imágenes de internet en el momento en que usted abre el correo. Son recursos externos. Una imagen así puede llevar un código único en la dirección, o incluso ser una imagen invisible de un solo píxel: un píxel de seguimiento. En cuanto abre el correo y se carga la imagen, el remitente sabe que lo abrió, cuándo y desde qué dirección IP.

El webmail de WebOké no carga los recursos externos de forma predeterminada. Verá entonces una barra con el aviso de que están bloqueados y un botón para cargarlos solo para ese mensaje. En Configuración > Preferencias > Vista de Mensajes puede elegir en Permitir recursos remotos entre nunca, de sus contactos, de remitentes de confianza o siempre. No se recomienda siempre: así cualquier remitente, también un spammer, ve que su dirección existe y se lee.

Confirmaciones de lectura

Un remitente puede solicitar una confirmación de lectura: un aviso cuando usted abre el mensaje. El webmail le pregunta entonces si desea enviarla. No está obligado. Además, la confirmación solo indica que el mensaje apareció en su pantalla, no que lo leyera o lo entendiera. En Vista de Mensajes configura qué hace el webmail con estas solicitudes; en caso de duda, deje que le pregunte siempre. A un remitente desconocido no le envíe ninguna.

En la práctica: así funciona en el webmail

Encima de un mensaje abierto están Detalles, Cabeceras y Sólo texto. Mostrar código y Exportar... los encontrará en Más. Los recursos externos se configuran en Configuración > Preferencias > Vista de Mensajes. El manual de Roundcube describe los botones en Leer un mensaje; cómo leer las cabeceras también se explica en la base de conocimientos. En otros webmails, como Gmail u Outlook.com, funciona de forma parecida, aunque el botón para ver el código fuente se llama de otra manera.

Resumen

• El nombre visible lo elige el propio remitente; con Detalles compruebe la dirección real y el dominio.
• Responder a determina adónde va su respuesta y puede apuntar a otro dominio.
• Con Cabeceras o Más > Mostrar código ve todas las cabeceras; lea Return-Path, la Received superior, Authentication-Results y List-Unsubscribe.
• Solo cuentan las Authentication-Results de su propio servidor, y pass dice quién envía, no si es de fiar.
• Los recursos externos y las confirmaciones de lectura indican al remitente que usted abrió el correo.

Cuestionario

Ejercicio

Ejercicio A2.2: Analizar un correo real. Elija un correo que haya recibido, por ejemplo un boletín. Ábralo, elija Más > Mostrar código y copie solo las cabeceras: todo hasta la primera línea vacía. Péguelas en el formulario e indique el dominio del remitente (From) y el dominio de Return-Path. El programa analiza en memoria las cabeceras pegadas (no se guarda nada), compara sus respuestas y le muestra lo que encontró: la cadena Received, el dominio DKIM y si los dominios están alineados. Verde: las dos respuestas son correctas. Naranja: una es correcta. Rojo: ninguna es correcta.

Para saber más

Cuando se indican pasos en el webmail, se refieren al webmail de WebOké; en otros webmails funciona de forma parecida.

• Roundcube Webmail 3.1: Leer un mensaje
• Consultar y leer las cabeceras (headers) de un correo electrónico
• Curso gratuito: El correo electrónico en orden: configuración y buena entrega 1.5: Leer las cabeceras: ¿de dónde venía este correo?
• Curso gratuito Seguridad online para empresarios 3.3: Aprender a leer el remitente y las cabeceras
• Curso gratuito: El correo electrónico en orden: configuración y buena entrega 7.2: Consentimiento, baja y una lista limpia
• RFC 5322, Internet Message Format (en inglés): https://www.rfc-editor.org/rfc/rfc5322
• RFC 2369, List-Unsubscribe y otras cabeceras de listas (en inglés): https://www.rfc-editor.org/rfc/rfc2369
• RFC 8058, baja con un solo clic (en inglés): https://www.rfc-editor.org/rfc/rfc8058
• Exportar un mensaje como .eml y volver a importarlo