Analizador de cabeceras de correo

Actualizado el 6 de octubre de 2026

Un correo puede mostrar el nombre de remitente que quiera. Sus cabeceras, en cambio, guardan el rastro de su verdadero recorrido. Pégalas abajo: el análisis se hace en tu navegador y no se envía nada.

Dónde encontrar las cabeceras

Servicio de correo	Ruta
Gmail	Abrir el mensaje › menú ⋮ › «Mostrar original» › copiar toda la parte superior
Outlook (web)	Abrir el mensaje › ⋯ › «Ver» › «Ver detalles del mensaje»
Apple Mail	Visualización › Mensaje › «Todas las cabeceras»
Thunderbird	Ver › «Código fuente del mensaje» (Ctrl+U)
Yahoo Mail	⋯ › «Ver mensaje sin formato»

Copia el bloque completo, desde el primer «Received:» hasta la línea en blanco que separa las cabeceras del texto del mensaje.

Qué comprueba la herramienta

SPF: ¿el servidor que envió el mensaje está autorizado por el dominio del remitente?
DKIM: ¿la firma digital del mensaje es válida, es decir, el contenido está intacto?
DMARC: ¿el dominio que aparece en el campo «De» coincide con esas comprobaciones? Un DMARC fallido es la señal más fiable de una suplantación.
Las direcciones: un dominio de envío distinto del que se muestra, o una dirección de respuesta que apunta a otro sitio, son trucos clásicos.
El recorrido: cada servidor atravesado añade una línea «Received». La herramienta las ordena y calcula el retraso entre cada paso.

Cómo leer el resultado

Un mensaje legítimo de una gran empresa suele mostrar tres resultados «pass» y dominios coherentes. Un mensaje de phishing a veces supera SPF, pero para su propio dominio de envío, no para el del banco que imita: entonces falla DMARC y lo delata.

Cuidado: solo es fiable la parte superior de las cabeceras, añadida por tu propio servicio de correo. Las líneas inferiores pueden haberlas escrito el propio remitente.

Obtener una dirección desechable

Preguntas frecuentes

¿Las cabeceras que pego se envían a algún sitio?

No. El análisis lo hace tu navegador, en tu dispositivo. No se transmite nada a Boxo ni a ningún otro servicio.

¿Por qué la herramienta muestra «ausente» para SPF, DKIM o DMARC?

Estos resultados los añade el servicio de correo que recibe el mensaje. Si copias las cabeceras desde otro lugar, o si el proveedor no los añade, faltan.

¿Un mensaje con tres «pass» es siempre seguro?

No: solo demuestra que el dominio que aparece envió realmente el mensaje. Un estafador puede usar un dominio propio parecido con una autenticación perfecta. Comprueba siempre el dominio en sí.