La suite, por dentro.

Cómo usar el analizador DMARC

Qué pegar

Los informes DMARC aggregate (RUA) que tus proveedores de email te envían a diario o semanalmente, habitualmente desde noreply-dmarc-support@google.com, dmarc-reports@microsoft.com o similares. Los archivos suelen venir como .xml, .xml.gz o dentro de un .zip. Puedes arrastrar varios a la vez — el analizador los consolida en un único informe.

Si no recibes informes todavía, añade en tu DNS un registro TXT tipo _dmarc.tudominio.com con valor v=DMARC1; p=none; rua=mailto:informes@tudominio.com y empezarán a llegarte en 24-48 horas.

Qué verás

Tres bloques de diagnóstico con recuento de IPs, una tabla completa de fuentes y tu política DMARC actual. Cada fila se clasifica automáticamente en una de estas cuatro categorías:

• Posible ataque — IPs que envían usando tu dominio pero no autentican ni con SPF ni con DKIM, y ninguna pertenece a infraestructura relacionada contigo. Son candidatas a spoofing activo.
• Vulnerabilidad activa — Fuentes legítimas tuyas (servicios de marketing, CRM, notificaciones) que no están correctamente alineadas con DMARC. Los correos se entregan pero tu política no los protege.
• Misconfiguración — Flujos con autenticación rota pero que tu política ya está bloqueando. No hay daño inmediato, pero conviene arreglar para evitar falsos positivos.
• OK — SPF o DKIM alinean correctamente. Sin acción necesaria.

Cómo interpretar

Si tu tasa DMARC es superior al 90%, puedes plantearte subir la política de p=none a p=quarantine o incluso p=reject. Entre 70% y 90% indica que tienes fuentes legítimas sin alinear — arréglalas antes de subir la política. Por debajo del 70%, sigue en p=none y usa esta herramienta para identificar qué corregir.

Las filas marcadas como posible ataque deben investigarse con prioridad: anota la IP, cruza con tu extractor de IOCs para enriquecerla con VirusTotal o AbuseIPDB y decide si bloquear o escalar el caso.

Privacidad

El análisis ocurre íntegramente en tu navegador. Ningún archivo, IP o dominio sale de tu equipo. Puedes desconectar internet después de cargar la página y seguirá funcionando. Verificable en DevTools → Network.

Cómo usar el analizador de cabeceras

Qué pegar

Las cabeceras completas de un mensaje de email. Se obtienen según tu cliente de correo:

• Gmail — menú de tres puntos del mensaje → "Mostrar original".
• Outlook — "Ver código fuente del mensaje".
• Apple Mail — menú "Visualización → Mensaje → Todas las cabeceras".
• Thunderbird — Ctrl+U o menú "Ver → Código fuente del mensaje".

Copia todo desde la primera línea (Return-Path: o Received:) hasta la primera línea en blanco antes del cuerpo. Puedes pegar también el fichero .eml completo — el analizador ignora el cuerpo del mensaje y procesa solo la zona de cabeceras.

Qué verás

Un veredicto rápido de tres tarjetas: resultado DMARC (pass/fail), nivel de riesgo agregado (limpio, avisos o críticos) y enrutamiento (número de saltos y tiempo total de tránsito).

Debajo aparece el detalle completo:

• Lista de anomalías detectadas, ordenadas por severidad.
• Resultados de autenticación: SPF, DKIM, DMARC, ARC, BIMI.
• Firmas DKIM con su selector, algoritmo y canonicalización.
• Metadatos del mensaje: From, To, Reply-To, Return-Path, Subject, Message-ID.
• Cadena Received reconstruida salto a salto, con timestamps y detección de clock skew.

Cómo interpretar

Un mensaje sin alertas críticas y con DMARC=pass es probablemente legítimo. Un DMARC=fail combinado con From ≠ Return-Path es una señal fuerte de suplantación — revisa el dominio del Return-Path, suele delatar al emisor real.

Los clock skew (saltos con timestamp anterior al previo) suelen ser errores de reloj inofensivos en servidores intermedios, pero combinados con otras anomalías pueden indicar inyección de cabeceras falsas por un atacante que no supo falsear bien la secuencia temporal.

Los retrasos superiores a una hora entre saltos son raros en correo legítimo — pueden indicar greylisting, cola saturada, o que el mensaje ha pasado por un servicio intermedio no declarado.

Privacidad

Todo el parseo ocurre en tu navegador. Las cabeceras que pegues no salen de tu equipo. Si necesitas enriquecer alguna IP o dominio con threat intelligence externa, usa el botón → IOC para enviarlas al extractor — tú decides cuándo hacer la consulta online.

Cómo usar el extractor de IOCs

Qué pegar

Cualquier texto que pueda contener indicadores de compromiso:

• Un correo completo en formato .eml.
• Cabeceras de email sueltas.
• Un bloque de logs de servidor o firewall.
• El cuerpo de un informe de incidente o un threat report.
• Una lista de IPs o dominios separados por comas, saltos de línea o espacios.
• Incluso un tweet o artículo sobre una campaña de malware.

El extractor busca patrones, no necesita formato específico. También puedes llegar aquí con datos prerrellenados desde el analizador DMARC (botón → IOC con todas las IPs sospechosas) o desde el analizador de cabeceras.

Qué verás

Los IOCs encontrados agrupados por tipo:

1. Direcciones IP — IPv4 e IPv6, con rangos privados RFC1918 marcados aparte.
2. Dominios — FQDNs extraídos del texto, URLs y emails.
3. URLs — http, https, ftp.
4. Emails — direcciones completas con su dominio.
5. Hashes — MD5, SHA1 y SHA256 reconocidos por longitud.
6. CVEs — identificadores de vulnerabilidades conocidas.

Cada IOC lleva una etiqueta que indica su procedencia (texto libre, URL, email) y, cuando procede, una nota automática: "IP privada/interna" para rangos RFC1918, "infraestructura conocida" para dominios de proveedores comunes como Google, Microsoft o Cloudflare — estos suelen ser ruido y no amenazas.

Si has configurado tu API key de VirusTotal o AbuseIPDB en la sección de Threat Intelligence (opcional), cada IOC muestra un botón para consultar su reputación al instante, o usa Lookup TI para enriquecer todos a la vez con rate limiting automático.

Cómo interpretar

Un IOC marcado como "infraestructura conocida" casi nunca es la amenaza — filtrarlo te ayuda a centrarte en lo que importa. Los hashes y las CVEs rara vez son falsos positivos: si aparecen, merecen investigación directa.

En los resultados de VirusTotal, más de 5 detecciones maliciosas sobre el total de engines es una señal fuerte; entre 1 y 5 puede ser falso positivo de algún engine agresivo — contrasta con otras fuentes. En AbuseIPDB, confidence score superior al 50% indica IP con historial reciente de abuso documentado por múltiples reportantes.

Exporta los resultados a CSV para tu informe de incidente o a JSON para importarlos en un SIEM o TIP.

Privacidad

La extracción de patrones ocurre en tu navegador. Las API keys de VirusTotal y AbuseIPDB se guardan solo en tu sesión (no persisten entre recargas) y las consultas se hacen directamente desde tu navegador a las APIs oficiales — ningún IOC pasa por un servidor intermedio nuestro.