Investigación de Spoofhound · 2026-11-09
Estado de DMARC 2026 — Australia
Siete de cada diez dominios australianos pueden ser suplantados por correo.
Spoofhound analizó el web australiano: 19.343 dominios que reciben correo, de los sitios populares del país y de comercios locales y organismos públicos cartografiados en cada estado y territorio, comprobados con el mismo motor que nuestra comprobación de dominio gratuita.
Compruebe su dominio — gratisLa cifra clave
Siete de cada diez dominios australianos que reciben correo pueden ser suplantados. De 19.343 dominios comprobados, 13.683 (70,7 %) no tienen una política DMARC aplicada: sin registro, solo supervisión o un registro defectuoso. Los sistemas de correo receptores nunca reciben la orden de bloquear los falsos enviados en su nombre.
Tres cifras cuentan la historia:
- •El 29,3 % aplica DMARC. Eso lo sitúa por detrás de Arabia Saudí (45,7 %), Singapur (37,8 %), Sudáfrica (34,1 %) y los Países Bajos (30,6 %), y por delante de Brasil (25,3 %) y el Reino Unido (24,5 %). Contando solo empresas, Australia está en el 28,0 %. Consulte cómo se comparan todos los países que hemos medido.
- •Cuando los australianos aplican, la mitad llega hasta el final. De los 5.660 dominios que aplican DMARC, 2.808 usan p=reject, que bloquea los falsos de plano: el 14,5 % de todos los dominios, por detrás de Arabia Saudí (32,4 %), Singapur (21,2 %), Sudáfrica (20,3 %) y los Países Bajos (14,7 %).
- •La brecha por tamaño: 21,4 % frente a 66,9 %. Las empresas australianas con uno a tres locales aplican DMARC al 21,4 %. Dos de cada tres empresas con diez o más locales (66,9 %) lo hacen, igual que el 70,3 % de los sitios .au del top 100.000 de Australia.
El dominio australiano medio obtiene 35,6 sobre 100 en la comprobación completa de seguridad del correo, y el 76,8 % tiene al menos un problema que corregir.
DMARC en el web australiano
El 71 % de los dominios australianos que reciben correo está expuesto a la suplantación
13.683 de los 19.343 dominios comprobados no tienen una política DMARC aplicada.
Sin registro DMARC
Solo supervisión (p=none)
Registro defectuoso o duplicado
p=quarantine
p=reject
Rojo: los receptores nunca reciben la orden de bloquear los falsos · Verde: el correo de impostores se pone en cuarentena o se rechaza.
Australia se reparte exactamente entre dominios sin registro DMARC (35,2 %) y dominios que publican uno pero lo dejan en p=none (35,1 %). Más de la mitad del grupo en p=none (3.851) no pide informes DMARC, así que su registro ni bloquea los falsos ni avisa a nadie de ellos. Los informes son lo que muestra cada servicio que envía correo en nombre de un dominio. Leerlos y terminar el trabajo es exactamente lo que hace Spoofhound.
El resto de la cadena
| Comprobación | Hallazgo | Dominios |
|---|---|---|
| SPF | Sin registro: cualquier servidor puede enviar en nombre del dominio | 1.692 (8,7 %) |
| SPF | Registro que termina en +all o ?all: publicado, pero permite a todos | 364 (1,9 %) |
| DKIM de Microsoft 365 | Ambos selectores de firma rotos: el correo saliente puede fallar la autenticación hoy mismo | 86 |
| MTA-STS | Protege el correo entrante contra la interceptación: adoptado (145 de ellos solo en modo de prueba) | 308 (1,6 %) |
| TLS-RPT | Informa de entregas seguras fallidas: adoptado | 394 (2,0 %) |
| BIMI | Logotipo verificado en la bandeja de entrada: activo | 315 (1,6 %) |
Menos de uno de cada once dominios australianos (8,7 %) no tiene registro SPF. Los estándares más recientes se han hecho un hueco: unos 2 de cada 100 dominios usan MTA-STS, TLS-RPT o BIMI, más que en Brasil, Argentina, Taiwán o Singapur, publicados junto a este informe. Casi la mitad de las políticas MTA-STS (145 de 308) siguen en modo de prueba, que todavía no protege nada.
Pequeñas empresas frente a las más grandes
| Población | Dominios comprobados | Sin registro DMARC | Solo supervisión | Aplicado |
|---|---|---|---|---|
| Empresas australianas con 1–3 locales (tiendas, oficinas, oficios) | 11.668 | 42,3 % | 35,8 % | 21,4 % |
| Empresas australianas con 4–9 locales | 208 | 9,6 % | 35,1 % | 55,3 % |
| Empresas australianas con 10 o más locales | 133 | 3,8 % | 29,3 % | 66,9 % |
| Sitios .au del top 100.000 de Australia | 474 | 10,8 % | 18,8 % | 70,3 % |
La brecha por tamaño es marcada. En cuanto una empresa tiene cuatro o más locales, más de la mitad aplica DMARC, y casi ninguna (el 3,8 % de las más grandes) carece de registro. Las pequeñas empresas son lo contrario: el 42,3 % no tiene ningún registro y el 84,4 % arrastra al menos un problema de seguridad del correo.
Sector público frente a pequeñas empresas
Los organismos públicos son un blanco evidente del correo de impostores. Comparamos los dominios del sector público que podemos identificar (dominios .gov.au y .edu.au, y oficinas cartografiadas como gubernamentales) con las pequeñas empresas australianas:
| Población | Dominios | Sin registro DMARC | Solo supervisión | p=quarantine | p=reject | Aplicado |
|---|---|---|---|---|---|---|
| Dominios australianos de gobierno y educación | 717 | 20,1 % | 17,2 % | 21,5 % | 41,3 % | 62,8 % |
| Empresas australianas con 1–3 locales | 11.668 | 42,3 % | 35,8 % | 12,5 % | 8,9 % | 21,4 % |
Los dominios del sector público tienen el triple de probabilidades de aplicar DMARC que las pequeñas empresas, y dos de cada tres de los que lo aplican usan p=reject. Aun así, uno de cada tres (37,3 %) no tiene registro o se queda en p=none.
Quién está más expuesto
Peluquerías, panaderías y salones de belleza protegen alrededor de un dominio de cada diez
Proporción de los dominios de cada sector que reciben correo en p=quarantine o p=reject (dominios comprobados entre paréntesis).
Peluquerías (325)
Panaderías (251)
Salones de belleza (252)
Joyerías (107)
Floristerías (136)
Tiendas de bicicletas (201)
Talleres mecánicos (347)
Bodegas (175)
Arquitectos (99)
Tiendas de muebles (166)
Supermercados (162)
Agencias inmobiliarias (392)
Tiendas de ropa (492)
Asesorías contables (181)
Oficinas de empresa (603)
Bufetes de abogados (275)
Concesionarios (350)
Servicios financieros (89)
Empresas de informática (138)
Azul: profesiones que manejan dinero de clientes · línea discontinua: media australiana (29,3 %).
Los comercios de consumo quedan muy por debajo de la media nacional: peluquerías (7,1 %), panaderías (9,2 %) y salones de belleza (10,3 %). La mayoría de las profesiones que manejan dinero de clientes lo hacen mejor: asesorías contables (33,7 %), bufetes de abogados (36,7 %) y servicios financieros (43,8 %) están todos por encima. Las agencias inmobiliarias, que manejan fianzas y alquileres, son la excepción con el 24,0 %. Las empresas de informática encabezan la lista con el 47,8 %.
Metodología
Población. 19.343 dominios australianos que reciben correo (publican registros MX operativos), de dos fuentes:
- empresas y organismos públicos australianos cartografiados en OpenStreetMap con sitio web propio, en cualquier terminación: 12.206 dominios
- cada dominio .au del ranking de popularidad Tranco top 1 millón: 7.968 dominios que reciben correo
831 dominios figuran en ambas. Se excluyen perfiles sociales, directorios y páginas alojadas que la empresa no controla.
Comprobaciones. Cada dominio fue analizado por el motor propio de Spoofhound, el mismo de la comprobación de dominio gratuita. Cubre SPF, DKIM (selectores conocidos de los grandes proveedores de correo como Microsoft, Google, SendGrid, Mailchimp y otros), DMARC, MTA-STS, TLS-RPT y BIMI. Cada cifra refleja un análisis en los 30 días previos al 2026-11-09.
Límites honestos.
- Sector público. Los dominios de gobierno y educación que podemos identificar (.gov.au, .edu.au y oficinas cartografiadas como gubernamentales) son 717 dominios, el 3,7 % de la muestra, y aplican DMARC al 62,8 %. Sin ellos, la cifra es del 28,0 %, así que la cifra principal es en la práctica una cifra de empresas.
- Sesgo de muestra. La muestra de empresas cubre empresas cartografiadas con sitio web, lo que sesga hacia oficios visibles orientados al consumidor. Las cifras de cada sector se basan en 89 a 603 dominios.
- DKIM. DKIM solo puede confirmarse presente, nunca ausente.
- Qué significa «aplicado». p=quarantine o p=reject en el propio dominio. Los registros defectuosos cuentan como no aplicados, porque así los tratan los servidores receptores.
Datos © colaboradores de OpenStreetMap (ODbL) · lista Tranco del proyecto de investigación Tranco.
¿Dónde se sitúa su dominio en estas cifras? Descúbralo en 30 segundos.
Compruebe su dominio — gratis