Lectura de cabeceras de un mensaje

Cada servidor que maneja el mensaje añade una cabecera Received arriba de las existentes (RFC 5321). Por eso la primera línea es el último salto y la última es el más antiguo: la historia se lee de abajo hacia arriba.

Hay un límite de confianza. Una línea Received solo es fiable si la añadió un sistema propio, porque solo ese sistema es el que la escribió. Las líneas de abajo, anteriores a la llegada a tu primer servidor, las escribió el emisor o sus intermediarios y pueden contener nombres, direcciones y horas inventados. Lo único sólido es lo que tu primer servidor vio y anotó: la dirección desde la que se conectó.

Tu primera línea fiable es la que añadió la pasarela de la empresa: su fragmento from nombra al sistema que se le conectó y entre corchetes lleva la dirección IP que la pasarela vio en la conexión. Esa dirección sí es evidencia; el nombre que el otro servidor dijo ser es solo lo que declaró.

Consulta cabeceras y servidores_propios para saber qué línea añadió la pasarela.

La cabecera From es la que ve la persona y se puede escribir con cualquier valor. Reply-To indica a dónde irá la respuesta si la persona pulsa «responder», y Return-Path indica a dónde irían los rebotes. Cuando difieren del From, hay que preguntar por qué: es una señal habitual de suplantación (no una prueba, hay envíos legítimos con otro Reply-To).

Las líneas Received llevan fecha y hora con zona horaria. Restar las horas de dos saltos propios dice cuánto tiempo estuvo el mensaje en el medio, y un retraso largo puede ser análisis de adjuntos, una cola o una retención. Los saltos ajenos no sirven para esto, porque sus horas no son fiables.

Usa las líneas Received que añadieron sistemas propios; ambas están en la misma zona horaria.

La cabecera Authentication-Results (RFC 8601) la añade el sistema que evaluó el mensaje y resume SPF, DKIM y DMARC. Léela con el nombre del sistema que la escribió: si lo escribió tu pasarela, es evidencia; si venía del emisor, no lo es.

Aquí el resultado de DMARC es fail y el mensaje llegó a la bandeja. Eso no es necesariamente un error de la pasarela: depende de lo que el dominio publica y de las reglas que la propia pasarela tenga.