Correos electrónicos como prueba en violencia de género: cabeceras, suplantación y límites
Un correo se aporta casi siempre como texto o captura, pero su valor está en lo que no se ve: el recorrido, las firmas del servidor y el mensaje original. Esto es lo que se analiza y lo que no puede afirmarse.
Los correos aparecen en procedimientos de violencia de género digital con más frecuencia de la que se piensa: amenazas, comunicaciones con terceros, documentos adjuntos, avisos de acceso a cuentas. Como cualquier documento electrónico, un correo puede discutirse: si se impugna su autenticidad, quien lo aporta debe poder acreditarla (art. 326 de la Ley 1/2000 de Enjuiciamiento Civil, y la pericial informática es uno de los medios habituales).
Qué se analiza en un correo
| Elemento | Qué puede mostrar | Límite |
|---|---|---|
| Cuerpo y asunto | El contenido que ve el destinatario | Es lo más fácil de falsificar o de copiar sin contexto |
| Cabeceras (Received, Message-ID, Return-Path) | Recorrido del mensaje, servidores por los que pasó y fechas técnicas | Algunas líneas se pueden falsear si se analiza una sola; se estudia el conjunto |
| Autenticación (SPF, DKIM, DMARC) | Si el dominio emisor autorizó el envío y si el mensaje se alteró después de firmarse | Que falte una firma no prueba manipulación, y una firma válida no identifica a la persona |
| Adjuntos | Huella hash, metadatos y si coinciden con lo recibido | Los metadatos se pueden editar. Véase metadatos e IP |
| Buzón del destinatario | Que el mensaje consta en la cuenta, con su estructura original | Exige acceder al buzón con la autorización de su titular |
Suplantación del remitente: señales y límites
Cualquiera puede escribir un nombre y una dirección en el campo «De». Por eso el perito no se fía de lo que muestra el programa de correo, sino de lo que dicen las cabeceras: si el servidor de origen corresponde al dominio que figura, si las comprobaciones SPF, DKIM y DMARC son coherentes y si el recorrido tiene sentido. Aun así, un correo que supera todas esas comprobaciones demuestra que salió de una cuenta o de un servidor, no que la persona que figura como titular lo escribiera.
Cómo conservar un correo para que sirva
- No lo borre ni lo mueva a otras carpetas hasta que esté preservado.
- Guarde el mensaje original (formato .eml o equivalente) en lugar de capturar la pantalla o copiar y pegar el texto.
- Si lo reenvía a su abogado, hágalo como complemento: el reenvío modifica las cabeceras, así que conserve también el original.
- Mantenga abierta la cuenta y no cambie la configuración ni borre el historial del servicio de correo.
- Anote la fecha y la hora en que lo recibió o lo envió, con la zona horaria.
El método general de preservación está en cómo preservar la prueba digital y el de la cadena de custodia en qué es la cadena de custodia digital.
Qué no puede hacer el perito con un correo
- Atribuir el mensaje a una persona concreta solo por la cuenta de origen.
- Acceder a buzones o cuentas ajenas sin autorización: además de ilícito, inutilizaría la prueba.
- Prometer lo que los datos no permiten: no prestamos servicio de recuperación de mensajes borrados; se analiza y certifica lo que consta en el buzón o en el archivo conservado.
Para obtener datos del proveedor del correo o de la operadora, su abogado puede solicitarlos por vía judicial; los operadores conservan determinados datos de conexión durante un plazo limitado (con carácter general, doce meses), así que conviene actuar pronto (Ley 25/2007 de conservación de datos (BOE)).
Qué incluye un informe pericial sobre un correo
- Origen del archivo analizado y su huella digital (hash), para poder demostrar que no ha cambiado.
- Herramientas y versiones utilizadas, de modo que otro perito pueda repetir el análisis.
- Lectura comentada de las cabeceras: recorrido, servidores y fechas técnicas.
- Resultado de las comprobaciones SPF, DKIM y DMARC, con su significado.
- Análisis de los adjuntos y de sus metadatos.
- Conclusiones graduadas: lo que queda acreditado, lo que solo es compatible y lo que no puede afirmarse.
Cuándo conviene pedir el análisis
| Situación | Por qué actuar pronto |
|---|---|
| Ha recibido correos intimidatorios o amenazantes | Se pueden preservar y certificar antes de que desaparezcan de la cuenta o se archiven por error |
| Le atribuyen un correo que dice no haber enviado | Las cabeceras y las comprobaciones del dominio ayudan a ver si el mensaje es coherente con su cuenta |
| La otra parte aporta solo una impresión o una captura | Su abogado puede reclamar el archivo original, que permite comprobar el recorrido del mensaje |
| Hay avisos de accesos sospechosos a su cuenta | Los avisos del proveedor y los registros de actividad son una prueba frágil. Véase spyware y stalkerware |
Las cabeceras de un correo, en lenguaje claro
Cada correo lleva una parte invisible, las cabeceras, que registra su recorrido. Entre los campos que se examinan están Received, que anota cada servidor por el que pasó el mensaje; Message-ID, un identificador único; Return-Path y From, que indican el remitente declarado; y los resultados de verificación SPF, DKIM y DMARC, que comprueban si el servidor emisor estaba autorizado para ese dominio.
Esos mecanismos autentican el dominio desde el que se envía, no a la persona que escribe. Un correo puede pasar todas las verificaciones y haber sido enviado por alguien que usaba una cuenta ajena.
Por qué no conviene reenviar el correo original
Al reenviar un mensaje, el programa de correo crea uno nuevo, con sus propias cabeceras, y el original queda fuera del análisis. Para conservar el correo con todo su recorrido, lo adecuado es guardarlo como archivo (por ejemplo, en formato .eml o .msg) o reenviarlo como adjunto, y conservar el mensaje original en su bandeja sin moverlo ni borrarlo. Si se trata de una cuenta corporativa, conviene pedir también que no se elimine del servidor.
Casos frecuentes y qué se busca en cada uno
- Correos con amenazas o insultos: origen de la cuenta, ruta de envío y coherencia con otros mensajes.
- Correos que se dicen enviados y se niegan: si consta realmente en el servidor del emisor y del receptor.
- Suplantación del remitente: si el mensaje fue enviado desde el dominio que figura o desde otro distinto.
- Documentos adjuntos: sus metadatos, que pueden indicar autoría y fechas de creación y modificación.
Qué aporta la firma electrónica
Un correo firmado digitalmente permite comprobar quién firmó y que el contenido no ha cambiado desde entonces. Es poco habitual en el correo personal, pero cuando existe es un elemento muy fuerte, porque convierte la discusión sobre la autoría del mensaje en una comprobación técnica verificable.
Si necesita apoyo para valorar un correo concreto, un perito informático puede revisar sus cabeceras, el archivo original y el contexto, y explicar en el informe qué se puede afirmar y qué no.
Qué material necesitamos para analizar un correo
- El correo original guardado como archivo (.eml o .msg), no una captura ni un reenvío.
- Los datos de la cuenta y del proveedor de correo, y si es personal o corporativa.
- La conversación completa en la que se inserta el mensaje, para entender su contexto.
- Cualquier otro registro disponible, como avisos de acceso a la cuenta.
Con ese material puede valorarse qué se puede comprobar y qué límites tendrá el análisis. Si solo existe una captura, se lo diremos antes de empezar.
Casos frecuentes con correos electrónicos
Los correos aparecen sobre todo en conflictos con un componente laboral o patrimonial, en amenazas enviadas desde cuentas nuevas y en comunicaciones entre progenitores. En todos ellos, conservar el correo original y evitar tanto el reenvío como las capturas permite analizar su recorrido y su contenido con garantías.
¿Vale una captura de pantalla de un correo?
Puede aportarse, pero es una imagen y se puede discutir. Lo recomendable es conservar también el mensaje original con sus cabeceras.
¿Se puede falsificar el remitente de un correo?
Sí: el nombre y la dirección que se ven pueden escribirse a mano. Por eso se analizan las cabeceras y las comprobaciones de autenticación del dominio.
¿Puede un perito saber quién envió el correo?
No solo con el correo. Puede acreditar desde qué cuenta o servidor salió, pero identificar a la persona exige otras pruebas y la valoración del juzgado.
¿Qué hago si ya borré el correo?
Dígaselo a su abogado y a un perito cuanto antes. No prestamos servicio de recuperación de mensajes borrados: se analiza y certifica lo que sigue existiendo en la cuenta o en copias conservadas, y el proveedor o la otra parte pueden conservar el mensaje.
¿Puedo reenviar el correo a mi abogado?
Sí, pero conserve además el original: el reenvío cambia las cabeceras y puede restar valor al mensaje como prueba.
¿Cuánto cuesta analizar un correo?
El peritaje parte de 750 € + IVA con presupuesto cerrado tras una valoración inicial sin coste; véanse las tarifas.
¿Qué es un archivo .eml y por qué importa?
Es un formato que guarda el correo completo, con sus cabeceras y adjuntos. Importa porque conserva el recorrido del mensaje, algo que se pierde al hacer una captura o al reenviarlo.
¿Un correo firmado digitalmente es más difícil de falsificar?
Sí, porque la firma permite verificar quién lo firmó y que el contenido no se ha alterado. En el correo personal es poco frecuente, pero cuando existe refuerza mucho su valor probatorio.
Normativa de referencia: Ley Orgánica 1/2004 de medidas de protección integral contra la violencia de género (BOE) · Ley 1/2000 de Enjuiciamiento Civil (BOE).