Cómo ver los metadatos ocultos de un correo y sus adjuntos (.eml y .msg)

Puedes ver los metadatos ocultos de un correo y de cada archivo adjunto subiendo el archivo .eml o .msg a un visor de metadatos que lea el mensaje como un árbol estructurado, y no solo como texto. El visor de metadatos de correo gratuito de PDFengine está pensado para esto: muestra los encabezados completos, abre cada adjunto y revela su autor, su software y sus fechas de creación incrustados, e incluso despliega un correo reenviado que va oculto dentro. Sin cuenta, sin instalar nada, y el archivo se elimina en cuanto se leen los metadatos.

Según DLA Piper, las notificaciones de violaciones de datos personales en Europa llegaron a 443 al día en enero de 2026, un salto del 22 % interanual (DLA Piper, 2026). Buena parte de lo que se filtra de una organización nunca se inspecciona, y los adjuntos son el punto ciego.

Puntos clave

• Sube un archivo .eml o .msg para leer los encabezados del correo, los metadatos de cada adjunto y un correo reenviado anidado en un único árbol, sin necesidad de Outlook.

• La fecha de creación incrustada en un adjunto PDF o Word sobrevive al envío por correo, así que puedes comprobar cuándo se creó realmente un archivo, aunque cambie la fecha visible de descarga.

• Los adjuntos llevan nombres de autores, empresa, número de revisiones, tiempo de edición, nombres de archivo anteriores y datos EXIF con GPS antes de que los envíes.

• PDFengine muestra los veredictos SPF, DKIM y DMARC del servidor receptor tal como se almacenaron, sin volver a ejecutar las comprobaciones criptográficas.

• Los Países Bajos encabezan Europa con 39.773 notificaciones de violaciones de datos (DLA Piper, 2026), un recordatorio de que la higiene de los datos, incluidos los metadatos, está bajo vigilancia.

¿Qué metadatos ocultos hay dentro de un correo y de sus adjuntos?

Todo correo lleva dos capas de datos ocultos: los metadatos de transporte en sus encabezados y los metadatos de archivo incrustados en cada adjunto. Los investigadores forenses los usan desde hace dos décadas. El asesino en serie BTK fue identificado en 2005 después de que los metadatos de un documento de Word recuperado indicaran como último autor a «Dennis» y como organización a «Christ Lutheran Church» (Forensics Colleges).

La capa de encabezados es el sobre. Registra el remitente (From), los destinatarios (To), el asunto, la fecha, el Message-ID y toda la cadena de transporte: cada salto Received por el que pasó el mensaje hasta llegar a ti. También contiene los veredictos SPF, DKIM y DMARC que anotó el servidor de correo receptor.

La capa de adjuntos es el contenido. Un PDF almacena en XMP su autor, el software que lo generó y sus fechas de creación y modificación. Una imagen conserva datos EXIF, que a veces incluyen coordenadas GPS. Un documento de Office registra el autor, la empresa, el número de revisiones y el tiempo total de edición. La mayoría de los clientes de correo no te muestran nada de esto.

El árbol recursivo: el nodo del correo con sus encabezados por fuera, cada adjunto con sus propios metadatos incrustados y un correo reenviado anidado en su interior, como una muñeca rusa.

El visor de PDFengine organiza todo esto como un árbol recursivo. El correo es el nodo exterior. Cada adjunto se convierte en un nodo hijo con todos sus metadatos de archivo. Si un adjunto es a su vez un correo reenviado (una parte message/rfc822), el visor lo abre un nivel más abajo. Cada nodo recibe además una huella digital SHA-256, que puedes comparar más adelante con la herramienta de huella digital por nodo.

¿Cómo se leen los encabezados de un correo sin Outlook ni un cliente de correo?

No necesitas Outlook para leer los encabezados de un correo. En nuestras pruebas, la vía más rápida es exportar el mensaje como archivo y abrirlo en un visor que analice la estructura por ti. En Gmail usas «Mostrar original» para guardar el mensaje sin procesar (Google); en Outlook guardas el elemento como .msg. Después subes ese archivo.

Si preguntas en el foro de la Linux Foundation cómo leer archivos EML con sus adjuntos, la respuesta siempre es «necesitas un cliente» (Linux Foundation Forum). No es cierto. Los analizadores de encabezados como MXToolbox interpretan bien el enrutamiento y los veredictos de autenticación, pero se quedan en el sobre. Ignoran por completo lo que hay dentro de los adjuntos.

El visor de PDFengine cubre ese hueco. Sube un archivo .eml o .msg y podrás leer en línea los encabezados y los metadatos de todos los adjuntos de una sola vez. También puedes abrir los metadatos de un archivo .msg sin tener Outlook instalado, lo que ayuda a quien recibe exportaciones de Outlook pero trabaja en otro entorno de correo. Exporta el resultado como un árbol JSON o como un CSV que respeta el árbol cuando necesites un registro.

¿En qué se diferencia ver los metadatos de convertir un correo a PDF?

Ver los metadatos y convertir un correo son dos tareas distintas, y conviene mantenerlas separadas. Nuestra guía anterior, convertir un correo a PDF con encabezados, convierte un mensaje en un documento PDF legible y archivable, con los encabezados impresos en la página. Se trata de producir un registro fijo que puedas archivar o compartir.

El visor de metadatos va en la dirección opuesta. Inspecciona el archivo original y nunca lo convierte. No se renderiza nada, no se aplana nada y no se crea ningún documento nuevo. Lees lo que el mensaje ya contiene, sin reempaquetarlo.

La conversión responde a «¿cómo guardo una copia limpia de este correo para mi expediente?». La inspección responde a «¿qué revelan realmente este correo y todos los archivos que lleva dentro?». Los equipos jurídicos suelen necesitar ambas cosas, en este orden: primero inspeccionar y después convertir la versión que quieren conservar.

¿Cómo puedes comprobar cuándo se creó realmente un adjunto PDF?

Puedes comprobar la fecha real de creación de un adjunto PDF leyendo sus metadatos incrustados, en lugar de fiarte de la fecha que muestra tu ordenador. Cuando guardas un adjunto, tu sistema operativo sobrescribe la fecha visible del sistema de archivos con el momento de la descarga. La fecha de creación incrustada, almacenada dentro del archivo, sobrevive intacta al viaje por correo (Meridian Discovery). La diferencia importa en las disputas.

La marca de tiempo que sobrevive deja al descubierto las fechas falsas. Si un PDF de un contrato afirma haberse creado en enero, pero el correo que lo entregó tiene saltos Received y un encabezado Date de marzo, la discrepancia se ve en el árbol. Los profesionales forenses consideran los metadatos incrustados del adjunto más fiables que la fecha del sistema de archivos, precisamente porque el envío por correo los conserva (ArcherHall).

Para saber quién creó un documento, comparas de la misma manera. El campo de autor del adjunto, el software que lo generó y su fecha de modificación aparecen junto a las marcas de tiempo del propio correo en una sola vista. Sin copiar fechas de una ventana a otra y sin adivinar. Lees los valores incrustados frente a la cadena de transporte y, si hay una discrepancia, salta a la vista.

¿Qué estás filtrando cada vez que envías un adjunto?

Antes de pulsar enviar, conviene ver lo que puede ver tu destinatario. Los documentos suelen llevar nombres de autores, la empresa, la última persona que los guardó, el número de revisiones, el tiempo total de edición, nombres de archivo anteriores y, en las fotos, coordenadas GPS procedentes de EXIF (EDUCAUSE, 2017). Nada de esto se ve al abrir el archivo de la forma habitual, pero todo viaja con el adjunto.

Dos casos muestran el coste. El «Dodgy Dossier» del gobierno del Reino Unido, de 2003, se rastreó hasta sus autores porque los metadatos del archivo de Word dejaron al descubierto la cadena de editores (North Carolina Bar, 2022). En 2004, los metadatos de un escrito de SCO Group revelaron que la demanda se había redactado originalmente contra Bank of America, según el mismo análisis de North Carolina Bar.

Para un equipo jurídico o de cumplimiento normativo, la lección es directa. Inspecciona tus propios adjuntos salientes como lo haría la parte contraria. Pasa el archivo por el visor, mira el autor, la empresa y el historial de revisiones y, si algo no debe salir de la oficina, elimina los metadatos antes de que salga. ¿Has visto lo que filtras? Bórralo antes de enviar.

¿Pueden los metadatos de un correo demostrar quién envió realmente un mensaje?

Los metadatos de un correo son una prueba sólida, pero no una prueba criptográfica, y ser honestos sobre ese límite genera confianza. Los metadatos son legibles y a menudo decisivos, pero también se pueden falsificar. Un remitente decidido puede editar los campos de los encabezados y las propiedades del documento. Por eso el árbol te dice qué contiene el archivo, no si todos los valores son auténticos.

PDFengine es explícito sobre este límite: el visor muestra los veredictos SPF, DKIM y DMARC tal como los registró el servidor de correo receptor en el encabezado Authentication-Results, sin volver a ejecutar las comprobaciones criptográficas. Si el servidor escribió «dkim=pass», el visor muestra «dkim=pass».

Que falte un campo significa que esa información sencillamente no está en el archivo, no que la herramienta haya fallado. Leer los metadatos te da una imagen clara y exportable, y un punto de partida defendible. Por sí solo, no autentica que un correo sea genuino.

¿Cómo se compara el visor de PDFengine con Adobe Acrobat?

Adobe Acrobat puede leer metadatos, pero solo de un único PDF que ya hayas extraído. Su panel Archivo y después Propiedades muestra el título, el autor y la fecha de creación de ese documento. No puede abrir un archivo .eml o .msg, analizar encabezados de correo, desplegar un correo anidado, leer el EXIF de una imagen adjunta, leer las propiedades de Office ni exportar un árbol. Acrobat responde a «¿quién hizo este PDF?». El visor de correo responde a «¿qué hay en todo este correo y en cada archivo que lleva dentro?».

Para un solo documento que ya tienes, Acrobat sirve. Para un correo completo con adjuntos, necesitas una herramienta pensada para el árbol.

Preguntas frecuentes

¿Cómo veo los metadatos de un archivo que me enviaron por correo?

Guarda el correo como archivo .eml o .msg y súbelo al visor gratuito. Lee el mensaje como un árbol y muestra el autor, el software y las fechas de creación incrustados de cada adjunto. Mucha gente se topa con este obstáculo cuando un .eml llega a una bandeja que no es de Outlook. El archivo se elimina justo después de leer los metadatos.

¿Cómo abro los metadatos de un archivo .msg sin Outlook?

No necesitas Outlook. Sube el archivo .msg a un visor que interprete directamente el formato de Outlook y te devolverá los encabezados y los metadatos de archivo de cada adjunto. Los analizadores de encabezados se quedan en el sobre; un lector en el navegador abre lo que hay dentro, sin instalar un cliente de correo.

¿Se conservan los metadatos en los adjuntos de un correo después de enviarlos?

Sí. Los metadatos incrustados en el documento, incluidos la fecha interna de creación y el autor, viajan intactos con el adjunto a través del correo. Tu sistema operativo puede sobrescribir la fecha visible del archivo con la hora de descarga, pero los valores incrustados sobreviven (ArcherHall). Como persisten, puedes comprobar la fecha real de creación de un PDF incluso después de descargarlo.

¿Puedo leer en línea los encabezados y los adjuntos de un archivo .eml?

Sí. Sube el archivo .eml a un visor web y lee los encabezados y todos los adjuntos de una sola vez, sin instalar nada. Proyectos de código abierto como eml_analyzer muestran la demanda de lectura sin cliente (GitHub), y el visor de PDFengine añade encima los metadatos de archivo de cada adjunto y un nivel de despliegue de correos anidados.

¿Dónde están los metadatos de una foto que recibí por correo?

Están en el bloque EXIF de la imagen, que el visor muestra como un nodo bajo el correo y que a veces incluye coordenadas GPS. Ten en cuenta que algunos remitentes y plataformas eliminan el EXIF; que falte un campo significa que ese dato no estaba en el archivo que recibiste.

Si trabajas con pruebas en correos, revisiones de privacidad o comprobaciones de documentos salientes, empieza con el visor gratuito de metadatos de correo y después elimina los metadatos de todo antes de que salga de tu oficina. Para volúmenes de e-discovery, la extracción en bloque y la API cobran 1 credit por nodo de metadatos (el cuerpo, cada adjunto y un correo anidado cuentan cada uno como un nodo), así que un correo de tres partes cuesta 3 credits; el visor gratuito cubre los archivos sueltos.

Por Daan van Tongeren, fundador de PDFengine, donde desarrolla herramientas de archivado de correo y de análisis forense de metadatos.