Analiza un archivo .eml: cabeceras, cadena Received, enlaces, hashes de adjuntos y remitentes que no cuadran.
Nueva
Verificador de autenticación de correo
Red: DoHNueva
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Verificador de autenticación de correo
Para qué sirve
Introduce un dominio para ver lo bien protegido que está frente a la suplantación (spoofing): el árbol de include de SPF con su recuento de búsquedas, la política DMARC, el tamaño de las claves DKIM, MTA-STS, TLS-RPT, BIMI y MX.
Los nombres DNS que consultas se envían al servidor de retransmisión DNS de PhishDestroy (/api/dns-resolve.php), que realiza la consulta a Cloudflare o a Google DNS a través de HTTPS.
Cómo utilizar Verificador de autenticación de correo
- Introduce un dominio. Escribe un dominio, una dirección de correo o una URL. La herramienta se queda solo con el dominio, quita el www. inicial de una URL y elimina prefijos como _dmarc.
- Añade selectores DKIM. Si tienes un mensaje del dominio, copia el valor s= de su cabecera DKIM-Signature en el campo de selectores. Se comprueban hasta 10.
- Ejecuta la comprobación. Pulsa Check (Comprobar), o Try common DKIM selectors (Probar selectores DKIM habituales) para probar 15 nombres frecuentes. El contador muestra cuántas consultas DNS se usaron.
- Lee la tabla Summary. Cada registro recibe pass, warn, fail, info o error con una conclusión de una línea. Las secciones de debajo muestran los registros sin procesar y el árbol de include de SPF.
- Usa el resultado. Un dominio sin SPF y sin una política DMARC de aplicación es fácil de suplantar. Tenlo en cuenta al valorar un mensaje que dice proceder de él.
Ejemplo
Un dominio que no envía correo
example.comChecked example[.]com · 6 DNS queries through the relay (Cloudflare)
Summary
RECORD STATUS FINDING
SPF pass "v=spf1 -all": no server may send mail as example[.]com, so any message from it is forged
DMARC warn p=reject, sp=reject
DKIM info Not checked: DKIM keys can only be found by selector (see the DKIM-Signature s= of a message)
MTA-STS info No MTA-STS record (optional): senders may deliver over unencrypted or unverified TLS
TLS-RPT info No TLS-RPT record (optional): no reports about TLS delivery failures
BIMI info No BIMI record (optional). DMARC is at enforcement
MX info Null MX "0 .": the domain accepts no mail (RFC 7505)
SPF
DNS-QUERYING TERMS
0 of 10
VOID LOOKUPS
0 of 2
UNLISTED SENDERS GET
fail (-all)
v=spf1 -all
Include and redirect tree (lookups are numbered in evaluation order; include, a, mx, ptr, exists and redirect count, RFC 7208 §4.6.4)
example[.]com · 0 lookups here, 0 in this branch
fail -all
DMARC
Found at _dmarc.example[.]com
v=DMARC1;p=reject;sp=reject;adkim=s;aspf=s
warn no rua: the owner receives no aggregate reports
TAG VALUE MEANING
v DMARC1 version
p reject policy for the domain itself — reject: failing mail is refused
sp reject policy for subdomains (default: p) — reject: failing mail is refused
adkim s DKIM alignment: r = same organization, s = exact domain (default r)
aspf s SPF alignment: r = same organization, s = exact domain (default r)
DKIM
DNS cannot list DKIM keys: each one sits under a selector chosen by the sender (selector._domainkey.example[.]com). Enter the s= value from a message's DKIM-Signature header, or press “Try common
…SPF v=spf1 -all, DMARC p=reject y un MX nulo (0 .): el dominio declara que no envía ni recibe correo, por lo que cualquier mensaje procedente de él es falso. DMARC se marca como «warn» únicamente porque el registro no tiene una dirección «rua=», por lo que el propietario no recibe informes agregados; la política en sí (p=reject, sp=reject) se aplica plenamente.
Qué comprueba
| Señal | Qué significa |
|---|---|
| Registro SPF | Que falte el registro es un fail. +all deja pasar a cualquier servidor, y ?all o la ausencia de all no dan protección; lo esperable es -all o ~all. |
| Recuentos de búsquedas SPF y búsquedas vacías | include, a, mx, ptr, exists y redirect cuestan cada uno una búsqueda DNS. Más de 10 búsquedas, o más de 2 que no devuelven nada, rompen SPF con un permerror. |
| Política DMARC | p=none solo supervisa, quarantine envía el correo que falla a spam y reject lo rechaza. Los avisos cubren también pct por debajo de 100, sp=none y la falta de una dirección rua. |
| DMARC heredado | Si un subdominio no tiene registro, se lee el del dominio organizativo y se marca como heredado. |
| Clave DKIM | Se muestra por selector con su tipo y tamaño. Una clave RSA de menos de 1024 bits es un fail, de menos de 2048 un aviso, y un p= vacío significa que la clave está revocada. |
| MTA-STS y TLS-RPT | Registros opcionales que piden a los remitentes usar TLS verificado e informar de los fallos. Si faltan, recibes una nota, no un error. |
| BIMI | Un registro opcional para el logotipo de la marca. Solo cuenta cuando DMARC está en quarantine o reject con pct=100. |
| MX | Lista los servidores de correo. Un MX nulo (0 .) significa que el dominio no acepta correo; NXDOMAIN significa que el dominio no existe. |
Más ejemplos
Una URL en lugar de un dominio
https://www.example.net/loginUna nota de que www.example.net se comprueba como example.net, y después 6 consultas DNS: SPF pass para "v=spf1 -all", DMARC warn por p=reject, sp=reject sin dirección rua, DKIM sin comprobar, ningún registro MTA-STS, TLS-RPT ni BIMI, y un MX nulo.
Un dominio que no existe
nothing.exampleSPF fail (no hay registro SPF), DMARC fail (no hay registro DMARC) y MX fail porque nothing.example no existe (NXDOMAIN). La fila de BIMI indica que DMARC no está en modo de aplicación.
Un nombre de registro DKIM
google._domainkey.example.orgEl selector google pasa al campo de selectores y se comprueba example.org. La fila de DKIM dice «google: revoked» porque el registro de la clave tiene un p= vacío.
Preguntas frecuentes
¿Qué consulta el verificador de autenticación de correo?
El registro SPF y cada include y redirect que incorpora, contando los términos que consultan el DNS frente al límite de 10 y las búsquedas vacías frente al límite de 2 (RFC 7208). También lee el registro DMARC, con recurso al dominio organizativo, las claves DKIM de los selectores que indiques y los registros MTA-STS, TLS-RPT, BIMI y MX.
¿Qué no puede ver el verificador?
El DNS no permite listar las claves DKIM: cada una está bajo un selector elegido por el remitente, así que introduce el valor s= de la cabecera DKIM-Signature de un mensaje o prueba los selectores habituales; no encontrar una clave no demuestra nada. No se descargan el archivo de política MTA-STS ni el logotipo BIMI, y no se expanden las macros SPF que dependen del remitente.
¿Qué se envía por la red?
Solo nombres DNS construidos a partir del dominio que introduces, como _dmarc.example.com, que van al relé DNS de PhishDestroy, el cual pregunta a Cloudflare o a Google mediante DNS over HTTPS. Una comprobación usa entre 5 y 25 consultas aproximadamente; el relé admite 60 por minuto.
¿Un buen resultado significa que un correo de este dominio es auténtico?
No. El verificador lee la política publicada del dominio, no un mensaje concreto. Para ver si un correo determinado superó SPF, DKIM y DMARC, abre su código fuente en EML Analyzer.
¿Por qué DMARC aparece como warn incluso con p=reject?
Los avisos cubren también ajustes que reducen la cobertura o los informes: la falta de una dirección rua para los informes agregados, pct por debajo de 100 o sp=none para los subdominios. La política reject en sí sigue aplicándose.
¿Qué es una búsqueda vacía?
Una consulta DNS realizada al evaluar SPF que no devuelve registros utilizables, por ejemplo un término a: o mx: cuyo nombre no tiene direcciones ni servidores de correo. SPF admite dos; una tercera hace que falle con un permerror.