Analice el cuerpo del correo, las cabeceras y las URL
Se muestran por separado el nivel de riesgo, la evidencia confirmada y las acciones a seguir.
Encabezado y cuerpo del correo
cabecera del correo
URL a verificar
Los resultados del análisis no garantizan seguridad. Aunque la autenticación del remitente sea pass, no se pueden detectar cuentas legítimas comprometidas ni páginas falsas en servicios legítimos.
Resultado de la verificación y acciones a tomar
La URL no se abre automáticamente; se descompone como cadena de texto.
acción inmediata
- No abra la URL del correo; verifique el nombre del remitente y el dominio.
- Incluso si reconoce el servicio, verifique desde la aplicación oficial o un marcador guardado.
Remitente, responder a y resultado de autenticación
Se mostrará si analiza incluyendo las cabeceras.
Destino de la URL y advertencias
Se muestran los resultados extraídos del cuerpo o del campo de entrada de URL.
Ruta de entrega (Received)
La parte inferior es el registro más cercano al remitente, pero parte de la cabecera puede falsificarse; no decida solo con esto.
El contenido ingresado no se envía fuera del navegador.
Qué puede hacer la herramienta de verificación de seguridad de correos y URL sospechosos
Desglosa la dirección del remitente, el Reply-To, el Return-Path, los resultados de SPF, DKIM y DMARC, y la ruta de entrega, que no se pueden conocer solo con el nombre mostrado del correo. Las URL en el cuerpo se verifican separando el dominio de conexión real, la notación Unicode del Punycode, las URL acortadas, las direcciones IP, los puertos inusuales, los parámetros de URL y los parámetros de redirección que incluyen otras URL.
No abre automáticamente las URL analizadas ni consulta a servicios externos el destino de las URL acortadas. El correo, los encabezados y las URL ingresados se procesan solo en el navegador.
Comparación de From y Reply-To
Muestra la discrepancia de dominio entre la dirección visible del remitente y la usada al responder.
desglosar resultado de autenticación
Extrae pass, fail o none de SPF, DKIM y DMARC desde Authentication-Results.
verificar URL falsificada
Comprueba Punycode, mezcla de sistemas de escritura, caracteres similares a letras latinas, URL acortadas y la cercanía con el dominio oficial.
acción concreta
Se muestran los pasos siguientes: no abrir, no responder, verificar desde la aplicación oficial y contactar con TI interno.
Pasos para revisar de forma segura un correo sospechoso
- No pulsar enlaces dentro del correoNo se abre la URL ni se guarda o ejecuta el archivo adjunto antes del análisis.
- Mostrar el código fuente del correoCopia el texto original desde los encabezados de Internet de Outlook, «Mostrar original» de Gmail, etc.
- Verifique el dominio oficial por otra víaVerifique el dominio correcto desde la aplicación oficial, los documentos del contrato o el sitio oficial escrito manualmente, no desde el cuerpo del correo.
- Ver la base del resultado del análisisNo decida solo por el color de riesgo; revise From y Reply-To, los resultados de autenticación y el host real de la URL.
- Comprobar el estado desde la aplicación oficialPara avisos de facturación, envíos o suspensión de cuenta, inicia sesión directamente en la aplicación oficial sin usar los enlaces del correo.
- Compartir con el departamento de TI si es necesarioAntes de eliminar el correo, presente el texto original con cabeceras y la hora de recepción según el procedimiento de reporte de su empresa.
Diferencias entre From, Reply-To y Return-Path
| elemento | función | puntos a verificar |
|---|---|---|
| From | Dirección que se muestra como remitente en la pantalla de recepción | Mire el dominio después de @, no el nombre mostrado |
| Reply-To | Destino al pulsar el botón de responder | Verifique si ha cambiado a un dominio no relacionado con De |
| Return-Path | Dirección utilizada como destino de devolución de errores de entrega | Al usar servicios de envío puede diferir; combínelo con los resultados de autenticación. |
| Received | Registro de paso por servidores de correo | Siga la ruta de entrega de abajo hacia arriba. Observe incoherencias en horas y nombres de servidor. |
Que From y Reply-To difieran no implica fraude. En canales de soporte, servicios de correo masivo o sistemas de asistencia, pueden diferir por razones legítimas. Sin embargo, una estructura que usa un From que se hace pasar por el emisor de la factura y un Reply-To a un correo gratuito no relacionado es un punto de atención importante que debe verificarse por otra vía.
Cómo interpretar los resultados de SPF, DKIM y DMARC
| autenticación | contenido a verificar | Si el resultado no es PASS |
|---|---|---|
| SPF | Si la IP de origen es un servidor permitido por el dominio | Puede fallar en reenvíos; combínelo con DKIM y DMARC. |
| DKIM | Si el correo firmado no ha cambiado durante el envío | Verifique ausencia de firma, problemas de clave o cambios en el contenido |
| DMARC | Coherencia entre el dominio De y SPF/DKIM | La resistencia a la suplantación de From se reduce. Verifique la política y la decisión del receptor. |
pass indica que el correo se envió según el mecanismo de ese dominio, pero no garantiza que el contenido sea seguro, que la factura sea correcta ni que el remitente haya actuado personalmente. En cuentas legítimas comprometidas o correos que abusan de formularios legítimos, puede aparecer pass.
Por qué se revisan Punycode, dominios similares y URL acortadas
Los dominios internacionalizados se representan en ASCII con Punycode que comienza con «xn--». También se usan en dominios japoneses legítimos, pero se aprovechan en tácticas que mezclan caracteres cirílicos o griegos similares a letras latinas para acercar visualmente el nombre al oficial. Esta herramienta muestra la notación ASCII y Unicode, indicando la mezcla de sistemas de escritura y los caracteres similares.
Las URL acortadas no permiten verificar el destino final a partir de la cadena original. Esta herramienta no accede a la red para expandirlas, por lo que, al detectar una URL acortada, se indica que no la abras y que verifiques con el remitente por otra vía. En subdominios largos que incluyen nombres de servicios, verifica hasta el dominio registrado al final.
Los parámetros de URL pueden incluir direcciones de correo, números de cliente o tokens de autenticación. Al compartir los resultados con terceros, oculta los valores o usa un canal de reporte interno seguro.
Acciones a tomar tras el análisis
Si aparece “Alta precaución”
No abras enlaces, no respondas ni ejecutes archivos adjuntos. Incluso si el contenido indica suspensión de cuenta o impago, verifica desde la aplicación oficial o desde un marcador que hayas guardado. Si es un correo corporativo, antes de eliminarlo reporta la fuente del correo y la hora de recepción al departamento de TI o seguridad de la información.
Si aparece “Revisar”
Elementos como URL acortadas, ausencia de resultados de autenticación o diferencias entre From y Reply-To también ocurren en correos legítimos. No uses el número de teléfono ni los enlaces del correo; contacta a través de los datos verificados en el sitio oficial.
Si no hay advertencias destacadas
No es una confirmación de seguridad. Verifica si el contenido de la solicitud, el monto, el beneficiario y el método de contacto habitual son coherentes, y no accedas desde el correo a páginas que pidan contraseñas o códigos de verificación.
Procesamiento que no envía el correo ni la URL a terceros
La división de encabezados, la extracción de direcciones de correo, la comparación de dominios, la lectura de resultados de autenticación, la conversión Punycode, el desglose de URL, la visualización de parámetros y la detección de caracteres peligrosos, URL acortadas y dominios similares se ejecutan en el navegador. No se envían los datos ingresados a los servidores de procesamiento de WiseChecker, bases de datos de reputación externas, servicios de expansión de URL ni IA generativa.
Este método no obtiene el destino final de las URL acortadas, el registrante del dominio, la clasificación actual de malware del sitio ni la reputación de la IP del remitente. El alcance sin consultas externas se indica en la pantalla de resultados, mostrando solo hechos verificables a partir de las cadenas.
Preguntas frecuentes sobre el análisis de correos y URL sospechosos
¿Se guarda el correo que ingreso?
No se guarda ni se envía. Al recargar la página, la entrada y los resultados se borran.
Si el resultado es «sin advertencias destacadas», ¿puedo abrirlo?
No es una garantía de seguridad. Verifique desde la aplicación oficial o un sitio oficial abierto por usted si existe la misma notificación.
¿Todos los correos con From y Reply-To distintos son fraudulentos?
No. Puede diferir según el sistema de distribución o el canal de soporte. Verifica la relación con la organización, los resultados de autenticación y el dominio de Reply-To.
Si SPF, DKIM y DMARC pasan, ¿es seguro?
Indica que el correo llegó por una ruta autenticada, pero no garantiza que el contenido o las acciones del remitente sean legítimos.
¿Puedo ver el destino de una URL acortada?
No se expande porque no se realiza acceso externo. No abras la URL acortada; verifica el contenido mediante la aplicación oficial u otra vía.
¿Todo Punycode es peligroso?
Es un mecanismo legítimo también usado para dominios internacionalizados como el japonés. Verifica la notación ASCII, la notación Unicode, la mezcla de sistemas de escritura y la coincidencia con el dominio oficial.
¿Dónde puedo ver las cabeceras del correo?
En Gmail se puede ver con «Mostrar original»; en Outlook, desde las propiedades del mensaje o «Detalles del mensaje». Los nombres varían según la versión.
¿Qué debo enviar al departamento de TI de mi empresa?
Comparte la hora de recepción, el asunto, el remitente, el texto original con encabezados y lo que hayas hecho, siguiendo los procedimientos internos. No envíes contraseñas ni códigos de verificación.