Comprueba los registros SPF (con el límite de 10 búsquedas), DMARC, DKIM, MTA-STS y BIMI de un dominio.
Red: DoHNueva
Analizador EML
Se ejecuta localmenteNueva
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Analizador EML
Para qué sirve
Suelta un archivo .eml o pega el código fuente de un mensaje para comprobar sus cabeceras de remitente, la cadena Received, los enlaces y los adjuntos. Todo se ejecuta en tu navegador.
Funciona íntegramente en tu navegador: no se sube nada de lo que introduzcas.
Cómo utilizar Analizador EML
- Obtén el mensaje sin procesar. Guarda el correo como .eml o copia su código fuente: Mostrar original en Gmail, Ver código fuente del mensaje en Outlook, Ver código fuente en Thunderbird o Apple Mail. Los archivos .msg de Outlook no se leen.
- Cárgalo. Suelta el archivo .eml en el recuadro o elígelo (hasta 50 MB), o pega el código fuente en el campo de texto (hasta 5 MB) y pulsa Analyze (Analizar).
- Lee el resumen. Los hallazgos se clasifican en señales de peligro, avisos, notas y comprobaciones superadas. Cada línea indica la cabecera, el enlace o el adjunto del que procede.
- Revisa los detalles. Debajo del resumen aparecen las cabeceras del remitente, los dominios comparados con el dominio de From, los resultados de autenticación, la cadena Received, cada enlace y cada adjunto.
- Recoge los indicadores. Marca los tipos de indicador que necesites y cópialos tal cual o neutralizados, descárgalos como archivo .txt o usa Send to (Enviar a).
Ejemplo
Mensaje de phishing elaborado
Return-Path: <bounce@mailer.example>
Received: from mx.example.org (localhost [127.0.0.1])
by mx.example.org (Postfix) with ESMTP id 4QxYz1; Mon, 19 Oct 2026 09:15:07 +0000
Authentication-Results: mx.example.org; spf=softfail smtp.mailfrom=bounce@mailer.example;
dkim=pass header.d=mailer.example header.s=s1; dmarc=fail header.from=account-check.example
Received: from smtp.mailer.example (smtp.mailer.example [203.0.113.45])
by mx.example.org (Postfix) with ESMTPS id 4QxYz1; Mon, 19 Oct 2026 09:15:05 +0000
Received: from [192.168.10.20] (unknown [198.51.100.23])
by smtp.mailer.example (Postfix) with ESMTPSA id 9A8B7C; Mon, 19 Oct 2026 09:14:58 +0000
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example; s=s1; h=from:to:subject; bh=AAAA; b=BBBB
From: "support@example.com" <alerts@account-check.example>
Reply-To: billing@example.net
To: user@example.org
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:57 +0000
Message-ID: <4471@mailer.example>
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="b1"
--b1
Content-Type: text/html; charset=utf-8
<p>Your account will be suspended. Verify it here:
<a href="https://login.example.net/verify">https://www.example.com/account</a></p>
--b1
Content-Type: text/html; name="invoice.pdf.html"
Content-Disposition: attachment; filename="invoice.pdf.html"
Content-Transfer-Encoding: base64
PGZvcm0gYWN0aW9uPSJodHRwczovL2NvbGxlY3QuZXhhbXBsZS5uZXQvcG9zdCI+PGlucHV0IHR5cGU9InBhc3N3b3JkIiBuYW1lPSJwIj48L2Zvcm0+
--b1--
pasted source · 1.5 KB · 3 MIME parts · nothing left this browser
Summary
6 danger signs
Display name shows support[@]example[.]com but the real sender address is alerts[@]account-check[.]example
DMARC fail (reported by mx[.]example[.]org): the From domain did not authenticate this message
attachment invoice.pdf.html contains a form with a password field
Link text shows www[.]example[.]com but the link goes to login[.]example[.]net
Attachment "invoice.pdf.html": double extension: looks like .pdf but is .html
Attachment "invoice.pdf.html": .html opens in a browser: a common way to deliver fake login pages
2 warnings
Replies go to billing[@]example[.]net, a different domain than the sender (account-check[.]example)
SPF softfail (reported by mx[.]example[.]org) for bounce[@]mailer[.]example
2 notes
Return-Path domain mailer[.]example differs from the From domain: SPF does not cover account-check[.]example (normal for bulk-mail services)
No DKIM signature from account-check[.]example (signed by mailer[.]example): DKIM is not aligned
Sender and key headers
FROM support[@]example[.]com <alerts[@]account-check[.]example>
REPLY-TO <billing[@]example[.]net>
RETURN-PATH <bounce[@]mailer[.]example>
TO <user[@]example[.]org>
SUBJECT Action required: verify your account
DATE Mon, 19 Oct 2026 09:14:57 +0000 (2026-10-19 09:14:57 UTC)
MESSAGE-ID <4471[@]mailer[.]example>
Domains compared with the From domain
From domain: account-check[.]example. DMARC passes only when SPF (Return-Path) or DKIM (d=) is from the same organization.
HEADER DOMAIN COMPARED WITH FROM
Reply-To example[.]net
…Un nombre visible que se hace pasar por support@example.com, Reply-To y DKIM en otros dominios, DMARC fail, un enlace cuyo texto muestra www.example.com pero que lleva a login.example.net, y un adjunto invoice.pdf.html con un formulario de contraseña.
Qué comprueba
| Señal | Qué significa |
|---|---|
| Nombre visible con una dirección de correo | Peligro cuando el nombre muestra una dirección y el remitente real es otro. Las aplicaciones de correo suelen mostrar solo el nombre. |
| Reply-To en otro dominio | Un aviso: tu respuesta iría a una organización distinta de la del remitente. |
| Authentication-Results | DMARC fail y SPF fail son señales de peligro; SPF softfail y DKIM fail son avisos. Solo cuenta el resultado añadido por tu propio proveedor. |
| Dominios de Return-Path y DKIM d= | Se anotan cuando difieren del dominio de From. Es normal en los servicios de envío masivo, pero DMARC necesita que uno de ellos esté alineado. |
| Cadena Received | Los saltos se listan del más antiguo al más reciente con sus retrasos. Se señalan una marca de tiempo anterior a la del salto previo, un retraso de más de una hora o un DNS inverso «may be forged» (puede estar falsificado). |
| Texto y destino del enlace | Peligro cuando el texto visible nombra un dominio y el enlace va a otro, o cuando el texto anterior a @ oculta el host real. También se marcan las IP sin dominio, el punycode, los acortadores y los enlaces envueltos. |
| Adjuntos | Se señalan las extensiones dobles, los archivos que ejecutan código o se abren en un navegador, el contenido que no coincide con la extensión y los trucos de anulación de derecha a izquierda (right-to-left override). Cada archivo recibe SHA-256, SHA-1 y MD5. |
| Formularios y scripts en HTML | Un formulario con un campo de contraseña en el cuerpo o en un adjunto es una señal de peligro. El código de script dentro de un adjunto es un aviso. |
Más ejemplos
Un enlace que oculta una dirección IP
From: IT Desk <it@example.com>
To: you@example.org
Subject: Mailbox full
Date: Tue, 20 Oct 2026 08:00:00 +0000
Message-ID: <b2@example.com>
Content-Type: text/html
<p>Your mailbox is full. <a href="https://www.example.com@203.0.113.7/login">Upgrade storage</a></p>1 señal de peligro, «1 link: text before "@" is ignored: the real host is 203.0.113.7», y 1 aviso, «1 link: link goes to a bare IP address». La tabla Links muestra la dirección neutralizada junto a su texto, Upgrade storage.
Una página HTML que se hace pasar por un PDF
From: Accounts <billing@example.com>
To: you@example.org
Subject: Invoice
Date: Tue, 20 Oct 2026 08:00:00 +0000
Message-ID: <c3@example.com>
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="b"
--b
Content-Type: text/plain
Invoice attached.
--b
Content-Type: application/pdf; name="invoice.pdf"
Content-Disposition: attachment; filename="invoice.pdf"
<!DOCTYPE html><html><body><form action="https://collect.example.net/p"><input type="password" name="p"></form></body></html>
--b--2 señales de peligro: el adjunto invoice.pdf «contains a form with a password field», y su «content is HTML document, not .pdf». La tarjeta del adjunto muestra Content: HTML document y tres hashes; la tabla Links lista el destino del formulario con «form submits data to this address».
Preguntas frecuentes
¿Qué comprueba el analizador EML?
Decodifica las cabeceras y cada parte MIME, compara los dominios de From, Reply-To, Return-Path, DKIM d= y Message-ID, y lee Authentication-Results. También lista los saltos Received con sus retrasos, cada enlace con su texto visible y el SHA-256, SHA-1 y MD5 de cada adjunto.
¿Puede demostrar que un correo es phishing, o que es seguro?
No. Muestra hechos y señales de alerta, no un veredicto: el correo masivo legítimo suele tener un dominio Return-Path o DKIM distinto, y las firmas DKIM se listan pero no se verifican criptográficamente. No se admiten archivos .msg de Outlook; guarda antes el mensaje como .eml.
¿Se sube el correo a algún sitio?
No. El archivo se lee y se analiza en tu navegador, el HTML se muestra como texto y nunca se renderiza, y nada pasa por la red. El botón Send to pasa un resultado a la página de otra herramienta a través del almacenamiento de sesión de tu navegador.
¿A qué cabecera Authentication-Results da crédito?
A la añadida por tu propio sistema de correo, que reconoce a partir de la cadena Received y marca como «added by the recipient's server» (añadida por el servidor del destinatario). Las cabeceras situadas más abajo en el mensaje puede escribirlas el remitente, así que la página te indica que confíes solo en el resultado de tu proveedor.
¿Puede abrir un correo adjunto a otro correo?
Sí. Un mensaje adjunto se lista con sus hashes y un botón «Analyze the attached message» (Analizar el mensaje adjunto) que lo abre en la misma vista. «Back to the outer message» te devuelve al mensaje exterior.
¿Por qué faltan algunas direcciones IP en los indicadores?
Se omiten las direcciones privadas y locales y los saltos dentro del propio sistema de correo del destinatario, porque no apuntan a los servidores del remitente. Tampoco se incluyen nunca las direcciones de correo de los destinatarios.