Cómo leer la ruta de abajo arriba
Cada servidor que procesa un mensaje añade una línea Received encima de las que ya existen. Por tanto, el salto más antiguo está abajo y el último, el de tu propio proveedor de correo, está arriba. El analizador las convierte en una lista ordenada según el recorrido del mensaje, con la hora a la que cada servidor indica que lo recibió y el intervalo desde el salto anterior.
Un intervalo de unos segundos es normal. Varios minutos suelen indicar que el mensaje quedó en una cola porque un receptor solicitó un reintento por greylisting, un servidor de retransmisión estaba ocupado o el filtro de salida del remitente lo retuvo. ¿El reloj retrocede? Uno de los servidores tiene la hora incorrecta.
Qué Authentication-Results debes considerar fiable
Authentication-Results (RFC 8601) es donde un servidor receptor registra sus resultados de SPF, DKIM, DMARC y, a veces, ARC. Un mensaje puede incluir varias de estas líneas, pero solo cuenta la que añadió el servidor que te lo entregó. Todo lo que aparezca debajo se escribió antes de que tu proveedor recibiera el mensaje, en servidores en los que no tienes motivos para confiar, y el remitente puede escribir ahí lo que quiera.
El analizador toma el primero como veredicto y muestra los demás por separado. A su lado verás los tres dominios que determinan la alineación: el dominio From, el dominio d= de DKIM y el dominio Return-Path con el que se comprobó SPF. DMARC solo pasa cuando SPF o DKIM pasa para un dominio que coincide con el dominio From. Compararlos suele explicar por qué falla.
Dónde encontrar los encabezados
En Gmail, abre el mensaje, haz clic en los tres puntos junto a Responder y elige Mostrar original. En Outlook en la web, abre el mensaje, elige Más acciones, luego Ver y Ver detalles del mensaje. En la aplicación de escritorio de Outlook, ve a Archivo, luego a Propiedades y al cuadro Encabezados de Internet. En Apple Mail, ve a Visualización, Mensaje y Todos los encabezados. Copia todo hasta la primera línea vacía, que es donde empieza el cuerpo. Si pegas el mensaje completo, el cuerpo se recorta antes del análisis.
Los encabezados contienen direcciones IP y direcciones de correo electrónico. Se leen en memoria para generar el resultado y no se almacenan, guardan en caché ni registran.
Preguntas
¿Cómo se leen los encabezados de un email?
Empieza por la línea Received inferior y ve subiendo: ese es el orden en que los servidores procesaron el mensaje. Después, consulta la línea Authentication-Results añadida por tu propio proveedor, la primera, para ver los resultados de SPF, DKIM y DMARC.
¿Por qué DKIM pasa pero DMARC falla?
DMARC necesita una firma DKIM válida cuyo dominio d= coincida con el dominio From, o una comprobación SPF válida para un dominio Return-Path que coincida con él. Una firma del dominio propio de tu plataforma de envío pasa DKIM, pero aun así no sirve para DMARC. El analizador muestra los tres dominios uno al lado del otro para que puedas ver la discrepancia.
Guía completa: DMARC fail
¿Qué significa un retraso largo entre dos saltos?
El mensaje esperó en el servidor donde empieza el retraso. Las causas habituales son el greylisting, cuando el receptor pide al remitente que vuelva a intentarlo más tarde, una cola de salida llena o un filtro que analiza el correo antes de reenviarlo. Un único retraso de unos minutos rara vez supone un problema de entregabilidad. Explica por qué un mensaje llegó tarde.
¿Se pueden falsificar los encabezados de un email?
Todo lo que escribe un remitente puede falsificarse. Las líneas Received situadas debajo de las de tu propio proveedor y las líneas Authentication-Results antiguas pueden ser inventadas. Lo que tu proveedor añadió al principio no puede falsificarse, y tu proveedor puede comprobar la firma DKIM con la clave pública del remitente. El analizador no verifica las firmas por sí mismo. Lee el veredicto de tu proveedor en la primera línea.
¿Qué es ARC en los encabezados?
ARC (RFC 8617) permite que un servicio de reenvío, como una lista de correo o una dirección de reenvío, registre los resultados de autenticación que obtuvo antes de modificar el mensaje. El receptor final puede decidir si confía en ese registro cuando el reenvío ha invalidado SPF o DKIM.
¿Puedo probar un mensaje antes de enviarlo?
Sí. Los encabezados solo existen después de que un mensaje se haya entregado en algún lugar. Para comprobar una campaña o un email transaccional antes de que llegue a alguien, envíalo a una dirección de prueba de la página de inicio. Obtendrás estos resultados, además de las listas de bloqueo, el contenido, los enlaces y las reglas para remitentes masivos, todo en un único informe.