Respuesta rápida: el nombre que ves en un correo lo escribe quien lo envía, así que puede poner «Banco Popular» o «Amazon» sin ser ninguno de los dos. Lo que no puede falsificar es el rastro técnico que el mensaje deja al viajar por internet. Ese rastro vive en las cabeceras del correo, y ahí es donde se descubre la suplantación: si el mensaje falló SPF, DKIM o DMARC, no es de quien dice ser, por muy bien imitado que esté el logotipo.
Cómo copiar las cabeceras de un correo
Las cabeceras están ocultas por defecto porque son técnicas. Así se ven en cada servicio:
- Gmail (web): abre el correo → menú de tres puntos arriba a la derecha → Mostrar original → copia todo el bloque de texto superior.
- Outlook / Hotmail: abre el correo → Archivo → Propiedades → copia el contenido del cuadro Encabezados de Internet.
- Apple Mail: menú Visualización → Mensaje → Todas las cabeceras.
- Yahoo Mail: menú de tres puntos → Ver mensaje sin formato.
No hace falta que entiendas nada de lo que copias: pégalo completo y la herramienta lo traduce.
Qué significan SPF, DKIM y DMARC (en cristiano)
Son tres comprobaciones automáticas que hace el servidor que recibe el correo. Piensa en una carta:
- SPF comprueba que la carta salió de una oficina de correos autorizada por el remitente. Responde a: ¿este servidor tenía permiso para enviar en nombre de ese dominio?
- DKIM es un sello criptográfico que garantiza que nadie abrió ni modificó la carta por el camino.
- DMARC es la política que une las dos anteriores: le dice al servidor receptor qué hacer si algo falla — dejarlo pasar, mandarlo a spam o rechazarlo.
La regla práctica: un correo real de un banco, de Amazon o de cualquier empresa seria pasa las tres. Si ves fail en DMARC en un mensaje que dice ser de tu banco, es suplantación con una probabilidad altísima.
Las tres trampas que detecta la herramienta
1. El remitente visible no coincide con el real
El campo «De» es decorativo; la dirección de retorno es la real. Cuando un correo se muestra como [email protected] pero salió de [email protected], el mensaje está falsificando su origen. Ojo con un matiz honesto: muchas empresas legítimas envían a través de proveedores externos (Mailchimp, SendGrid), y ahí la diferencia es normal. Por eso mostramos la señal junto al resultado de DMARC, que es el que desempata.
2. Las respuestas irían a otro sitio
Un correo puede mostrarse como de tu proveedor habitual pero llevar un Reply-To hacia una dirección del atacante. Respondes con confianza… y le estás escribiendo a otra persona. Es la técnica central del fraude del cambio de cuenta bancaria, que arruina a pequeñas empresas cada semana.
3. El nombre visible imita un dominio
El truco más simple y más efectivo: poner como nombre visible algo como «Soporte de banco.com» mientras la dirección real es otra completamente distinta. En el celular, muchas apps de correo solo muestran el nombre y ocultan la dirección — por eso el fraude por móvil funciona tan bien.
La ruta del mensaje: de dónde vino realmente
Cada servidor por el que pasa un correo añade una línea Received. Al leerlas en orden reconstruyes el viaje completo del mensaje. Un detalle importante para interpretarlas: las primeras líneas pueden estar falsificadas por quien envía, pero las últimas —las que añadió tu propio proveedor— son fiables. Si el mensaje dice venir de un banco de tu país pero su primer salto está en un servidor cualquiera de otro continente, ya sabes bastante.
Qué hacer si el análisis sale mal
- No respondas, no abras adjuntos, no toques los enlaces. Si ya tocaste uno, analízalo con nuestro LinkCheck antes de escribir nada en la página que abrió.
- Verifica por el canal oficial. Entra a tu banco escribiendo tú la dirección o desde su app, nunca desde el correo.
- Si ya diste tus datos: cambia esa contraseña de inmediato y comprueba si está circulando con nuestro verificador de contraseñas filtradas. Activa la verificación en dos pasos donde puedas.
- Reporta el correo como phishing en tu proveedor: ayuda a que otros no lo reciban.
Combínalo con el resto de nuestro sistema de seguridad
- ScamCheck — analiza el texto del mensaje y detecta las señales de manipulación.
- LinkCheck — analiza el enlace antes de abrirlo.
- Verificador de Sitios Web — analiza la página a la que te quieren llevar.
- Diagnóstico DNS — comprueba si el dominio remitente tiene SPF y DMARC configurados.
- Todas nuestras herramientas gratuitas.
Preguntas frecuentes
¿Cómo saber si un correo es falso?
Analiza sus cabeceras y mira tres cosas: si superó DMARC, si el remitente visible coincide con la ruta de retorno y si las respuestas irían a otra dirección. Un correo real de una empresa seria supera DMARC; uno suplantado casi nunca lo hace.
¿Es seguro pegar las cabeceras aquí?
Sí. Todo el análisis ocurre en tu navegador con JavaScript: el texto no se envía a ningún servidor, ni al nuestro ni a ninguno. Aun así, las cabeceras no contienen el cuerpo del mensaje, solo datos de enrutamiento.
El correo pasó todas las comprobaciones, ¿entonces es de fiar?
Significa que viene realmente del dominio que dice — no que su contenido sea legítimo. Una cuenta real comprometida envía correos que pasan todas las comprobaciones. La autenticación verifica el remitente, no las intenciones.
¿Por qué un correo legítimo puede fallar SPF?
Pasa cuando alguien reenvía un mensaje, cuando una empresa cambia de proveedor de envío o cuando su configuración está mal hecha. Por eso conviene mirar el conjunto y no un solo resultado: un fallo aislado en un correo que no te pide nada es distinto de un fallo en uno que te urge a «verificar tu cuenta».
¿Sirve para correos en el celular?
Sí, pero primero necesitas las cabeceras, y las apps móviles no siempre las muestran. Lo más práctico es abrir ese mismo correo desde la versión web en el navegador y copiarlas desde ahí.
¿Te llegó un correo raro? Analízalo antes de responder — y comparte esta herramienta con esa persona de tu familia a la que siempre le llegan «avisos del banco».
