Analiza un archivo .eml: cabeceras, cadena Received, enlaces, hashes de adjuntos y remitentes que no cuadran.
Nueva
Analizador de cabeceras de correo
Se ejecuta localmente
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Analizador de cabeceras de correo
Para qué sirve
Pega los encabezados sin procesar de un mensaje sospechoso para ver los campos «De», «Para», «Fecha» y «Asunto», los resultados de SPF, DKIM y DMARC que ha registrado el servidor receptor, todos los saltos «Received» ordenados de mayor a menor, y una tabla con todos los encabezados, incluidos «Reply-To» y «Return-Path».
Funciona íntegramente en tu navegador: no se sube nada de lo que introduzcas.
Cómo utilizar Analizador de cabeceras de correo
- Copia las cabeceras. Abre el código fuente del mensaje (Mostrar original en Gmail, Ver código fuente del mensaje en Outlook, Ver código fuente en Thunderbird) y copia las líneas de cabecera hasta la primera línea vacía.
- Pega y analiza. Pégalos en los encabezados de correo electrónico en formato «Raw» y pulsa «Analizar». Si también pegas el cuerpo del mensaje, el analizador se detiene en la primera línea en blanco e indica cuántas líneas no ha leído.
- Lee los campos superiores. Primero aparecen From, To y Date, y después Subject si existe. Los valores se muestran exactamente como están escritos, sin decodificar.
- Lee los resultados de la autenticación. SPF, DKIM y DMARC muestran los resultados que el servidor receptor ha incluido en el encabezado «Authentication-Results» situado en la parte superior, junto con el nombre del servidor. Aquí no se vuelven a comprobar.
- Sigue el recorrido del lúpulo. Los saltos recibidos se muestran ordenados de mayor a menor antigüedad, al igual que en EML Analyzer: el salto 1 es el más cercano al remitente, y el último salto lo añadió el servidor que te entregó el mensaje.
- Echa un vistazo a la tabla completa. «All headers» muestra una lista de todos los encabezados, incluidos «Reply-To» y «Return-Path». «Send to» envía el resultado analizado, por ejemplo, a EML Analyzer.
Ejemplo
Aviso bancario suplantado
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>Los campos superiores muestran el nombre y la dirección del remitente, seguidos de los resultados de autenticación que ha registrado el servidor receptor (spf=pass, dkim=none, dmarc=fail) y dos saltos «Received», ordenados de mayor a menor antigüedad, tal y como aparece en EML Analyzer: en el salto 1, mail.example.net acepta el mensaje procedente de 198.51.100.10; en el salto 2, mx.example.com lo acepta procedente de mail.example.net. La tabla con los 10 encabezados muestra un «Reply-To» en otro dominio; junto con «dmarc=fail», estos son dos indicios de que se trata de un remitente suplantado.
Qué comprueba
| Señal | Qué significa |
|---|---|
| From | Compara el nombre visible con la dirección entre corchetes angulares. El nombre de una marca junto a un dominio sin relación es una señal habitual de suplantación. |
| To | Si falta tu propia dirección, probablemente estabas en Bcc (CCO) o en una lista de correo. El phishing masivo usa a menudo Bcc. |
| Date | La escribe el software del remitente, así que se puede falsificar. Compárala con las horas de los saltos Received. |
| Subject | Se muestra sin procesar. Un valor como =?UTF-8?B?...?= es texto codificado que este analizador no decodifica. |
| SPF, DKIM, DMARC | Los resultados del servidor receptor. Un valor «dmarc=fail» para el dominio de una marca es un claro indicio de suplantación de identidad; si no se indica nada, significa que el servidor no ha devuelto ningún resultado para esa comprobación. |
| Lúpulo recibido | Cada salto se limita a 200 caracteres. Solo se pueden considerar fiables los saltos que aparecen al final de la lista, añadidos por tu propio proveedor; los anteriores pueden ser falsos. |
| Responder a | Si la dirección de respuesta pertenece a un dominio distinto al del campo «De», tu respuesta se enviaría a otra dirección. |
| Return-Path | La dirección de rebote que comprueba el SPF. Es habitual que, en los servicios de correo electrónico, este dominio sea distinto del campo «De», pero conviene tenerlo en cuenta. |
| Message-ID | La parte posterior a @ suele nombrar el sistema que creó el mensaje. Compárala con el dominio de From. |
Más ejemplos
Nombre del remitente y asunto codificados
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000Los campos «De», «Para», «Fecha» y «Asunto» están rellenados, pero el nombre y el asunto aparecen como «=?UTF-8?B?...?=», ya que no se ha descodificado nada (se lee «Equipo de nóminas» y «Actualización salarial»). La lista de saltos recibidos muestra el salto comprimido en una sola línea, y la lista de todos los encabezados muestra cada uno de ellos.
Cuerpo pegado junto con las cabeceras
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.Solo las líneas que preceden a la primera línea en blanco se interpretan como encabezados. Una nota debajo de la tabla indica que las líneas posteriores a esta, es decir, el cuerpo del mensaje, no se interpretaron como encabezados.
Una línea Subject plegada
From: Example Shop <orders@example.com>
Subject: Your order
has shippedFrom muestra Example Shop con la dirección orders@example.com, To y Date muestran un guion, y Subject dice «Your order has shipped» en una sola línea. Received hops (0) y All headers (2).
Preguntas frecuentes
¿Cómo se leen los saltos Received?
Los saltos se numeran de mayor a menor, al igual que en EML Analyzer: el salto 1 es el encabezado «Received» situado al final, añadido por el primer servidor que gestionó el mensaje, y el último salto es el situado en la parte superior, añadido por el servidor que te lo entregó. Solo se puede confiar en los saltos añadidos por tu propio proveedor de correo, ya que un remitente puede falsificar cualquier línea «Received» que se encuentre por debajo de ellos.
¿Comprueba SPF, DKIM o DMARC?
No. Muestra los resultados de SPF, DKIM y DMARC del encabezado «Authentication-Results» situado en la parte superior y enumera los campos «Received-SPF» y «DKIM-Signature» tal y como los escribió el servidor receptor, sin verificar nada, decodificando =?UTF-8?B?...?= los asuntos ni leer el cuerpo del mensaje (se detiene en la primera línea en blanco), y acorta los valores largos (los saltos a 200 caracteres y las celdas de la tabla a 300). Para un archivo .eml completo, utiliza EML Analyzer.
¿Se suben las cabeceras?
No. El análisis se hace en tu navegador y no se envía nada a ningún sitio. Las cabeceras pueden contener direcciones personales e IP internas, así que elimínalas antes de compartirlas.
¿Puedo pegar el mensaje completo, con el cuerpo?
Sí, pero solo se lee el bloque de encabezado: el análisis se detiene en la primera línea en blanco, tal y como define el RFC 5322, y la página indica cuántas líneas del cuerpo se han omitido. EML Analyzer lee los mensajes completos, incluidos los archivos adjuntos.
¿Qué pasa con las líneas de cabecera plegadas?
Una línea que empieza por un espacio o un tabulador se une a la cabecera anterior con un solo espacio, así que una cabecera Received o Subject larga aparece como un único valor.
¿Qué encabezado «Authentication-Results» se utiliza?
El que aparece en primer lugar, que fue añadido en último lugar por el servidor que te envió el mensaje. Los encabezados «Authentication-Results» que aparecen más abajo pueden proceder de servidores anteriores o haber sido falsificados por el remitente.