Cabeceras de Email

¿Qué son las Cabeceras de Email?

Las cabeceras de email (email headers) son metadatos técnicos que acompañan a cada correo electrónico. Aunque normalmente están ocultas, contienen información crucial sobre el origen, ruta y autenticidad del mensaje.

Las cabeceras son fundamentales en análisis forense porque:

• Revelan el origen real del correo
• Muestran la ruta de entrega completa
• Contienen timestamps de cada servidor
• Incluyen verificaciones de autenticidad
• Son difíciles de falsificar completamente

Estructura de las Cabeceras

Campos Principales

Campos de Autenticación

Ejemplo de Cabeceras Completas

Delivered-To: [email protected]
Received: by 2002:a17:90a:1234:0:0:0:0 with SMTP id abc123;
        Fri, 3 Jan 2025 01:30:45 -0800 (PST)
Received: from mail.empresa.com (mail.empresa.com [203.0.113.50])
        by mx.google.com with ESMTPS id xyz789
        for <[email protected]>;
        Fri, 3 Jan 2025 01:30:44 -0800 (PST)
Received: from [192.168.1.100] (unknown [85.123.45.67])
        by mail.empresa.com with ESMTPSA id abc456;
        Fri, 3 Jan 2025 10:30:42 +0100 (CET)
Authentication-Results: mx.google.com;
       dkim=pass header.d=empresa.com;
       spf=pass (google.com: domain of [email protected] designates 
           203.0.113.50 as permitted sender);
       dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=empresa.com
From: Juan Garcia <[email protected]>
To: Maria Lopez <[email protected]>
Subject: Propuesta comercial
Date: Fri, 3 Jan 2025 10:30:40 +0100
Message-ID: <[email protected]>
X-Mailer: Microsoft Outlook 16.0

Cómo Leer las Cabeceras “Received”

Las cabeceras Received se leen de abajo hacia arriba (la más antigua está abajo):

Análisis Forense de Cabeceras

Verificar Autenticidad

Rastrear Origen

ANÁLISIS DE ORIGEN

Campo Received más antiguo:
  from [192.168.1.100] (unknown [85.123.45.67])

IP de origen: 85.123.45.67

Geolocalización: Madrid, España (Telefónica)
Tipo: IP residencial
ISP: Movistar

CONCLUSIÓN: El email se envió desde una conexión 
residencial de Movistar en Madrid.

Herramientas de Análisis

Falsificación de Cabeceras

Qué se Puede Falsificar

• From: Fácil de falsificar (spoofing)
• Reply-To: Fácil de falsificar
• Subject: Fácil de falsificar
• Date: Fácil de falsificar

Qué es Difícil de Falsificar

• Received de servidores intermedios
• Authentication-Results de servidores receptores
• Message-ID coherente con el servidor
• IPs de servidores legítimos

Casos de Uso Forense

Caso 1: Phishing

Análisis de cabeceras revela que un email supuestamente del banco:

• Tiene SPF = fail
• Se envió desde IP en Nigeria
• El dominio real es banco-seguro.xyz no banco.es

Caso 2: Amenazas Anónimas

Las cabeceras muestran:

• IP de origen: conexión residencial en Sevilla
• Proveedor: Vodafone
• Con orden judicial, el ISP puede identificar al titular

Caso 3: Disputa Contractual

Se cuestiona si un email de aceptación fue enviado realmente:

• DKIM = pass confirma que el servidor del remitente lo firmó
• Timestamp coherente con otros emails de la conversación
• Message-ID sigue el patrón del servidor corporativo

Valor Probatorio

Las cabeceras de email tienen alto valor probatorio cuando:

1. Se extraen forensemente del servidor o cliente
2. Se preserva la cadena de custodia
3. Se analizan por un perito cualificado
4. Se cruzan con otras evidencias (logs del servidor, etc.)

Conclusión

Las cabeceras de email son una fuente de evidencia fundamental en análisis forense. Revelan información que el remitente no puede ocultar fácilmente y permiten verificar la autenticidad de las comunicaciones. Un perito competente sabe extraerlas, analizarlas y presentar los hallazgos de forma comprensible para el tribunal.

Última actualización: 3 de enero de 2025
Categoría: Técnico
Código: CEM-001