Investigación de Spoofhound · 2026-11-09
Estado de DMARC 2026 — Brasil
Tres de cada cuatro dominios brasileños pueden ser suplantados por correo.
Spoofhound analizó el web brasileño: 24.186 dominios que reciben correo, de los sitios populares del país y de empresas locales y organismos públicos cartografiados en cada estado, comprobados con el mismo motor que nuestra comprobación de dominio gratuita.
Compruebe su dominio — gratisLa cifra clave
Tres de cada cuatro dominios brasileños que reciben correo pueden ser suplantados. De 24.186 dominios comprobados, 18.058 (74,7 %) no tienen una política DMARC aplicada: sin registro, solo supervisión o un registro defectuoso. Los sistemas de correo receptores nunca reciben la orden de bloquear los falsos enviados en su nombre.
Tres cifras cuentan la historia:
- •El 25,3 % aplica DMARC. Está al nivel de España (25,2 %) e India (24,9 %), por detrás de Australia (29,3 %) y por delante del Reino Unido (24,5 %). Contando solo empresas, Brasil se sitúa en el 24,2 %. Consulte cómo se comparan todos los países que hemos medido.
- •La mayor parte de la protección se queda en la cuarentena. De los 6.128 dominios brasileños que aplican DMARC, dos de cada tres (3.946) usan p=quarantine, que envía los falsos a la carpeta de spam. Solo 2.182, el 9,0 % de todos los dominios, usan p=reject, que los bloquea por completo.
- •La brecha de las pequeñas empresas: 18,6 % frente a 51,0 %. Las empresas brasileñas con uno a tres locales aplican DMARC al 18,6 %. Los sitios .br del top 100.000 de Brasil llegan al 51,0 %.
El dominio brasileño medio obtiene 35,2 sobre 100 en la comprobación completa de seguridad del correo, y el 81,0 % tiene al menos un problema que corregir.
DMARC en el web brasileño
El 75 % de los dominios brasileños que reciben correo están expuestos a la suplantación
18.058 de los 24.186 dominios comprobados no tienen una política DMARC aplicada.
Sin registro DMARC
Solo supervisión (p=none)
Registro defectuoso o duplicado
p=quarantine
p=reject
Rojo: los receptores nunca reciben la orden de bloquear los falsos · Verde: el correo de impostores se pone en cuarentena o se rechaza.
Solo supervisar es la configuración más común en Brasil: el 41,0 % de los dominios publica DMARC en p=none, frente al 32,2 % sin ningún registro. Algo más de la mitad del grupo p=none (5.219) no pide informes DMARC, así que su registro ni bloquea los falsos ni avisa a nadie de ellos. Los informes son los que muestran cada servicio que envía correo en nombre de un dominio. Leerlos y terminar el trabajo es exactamente lo que hace Spoofhound.
El resto de la cadena
| Comprobación | Hallazgo | Dominios |
|---|---|---|
| SPF | Sin registro: cualquier servidor puede enviar en nombre del dominio | 1.613 (6,7 %) |
| SPF | Registro que termina en +all o ?all: publicado, pero permite a todos | 1.255 (5,2 %) |
| DKIM de Microsoft 365 | Ambos selectores de firma rotos: el correo saliente puede fallar la autenticación hoy mismo | 49 |
| MTA-STS | Protege el correo entrante contra la interceptación: adoptado (42 de ellos solo en modo de prueba) | 90 (0,4 %) |
| TLS-RPT | Informa de entregas seguras fallidas: adoptado | 160 (0,7 %) |
| BIMI | Logotipo verificado en la bandeja de entrada: activo | 259 (1,1 %) |
Pocos dominios brasileños carecen de SPF (6,7 %), pero uno de cada veinte (5,2 %) publica un registro que termina en +all o ?all y, por tanto, permite cualquier servidor: una de las proporciones más altas que hemos medido, aunque por debajo de Sudáfrica (11,1 %) y Francia (7,2 %). Los estándares más recientes apenas han llegado: alrededor de 1 de cada 100 dominios usa MTA-STS, TLS-RPT o BIMI.
Pequeñas empresas frente a las más grandes
| Población | Dominios comprobados | Sin registro DMARC | Solo supervisión | Aplicado |
|---|---|---|---|---|
| Empresas brasileñas con 1–3 locales (tiendas, oficinas, oficios) | 7.597 | 39,9 % | 40,2 % | 18,6 % |
| Empresas brasileñas con 4–9 locales | 191 | 22,0 % | 31,4 % | 45,5 % |
| Empresas brasileñas con 10 o más locales | 74 | 8,1 % | 37,8 % | 52,7 % |
| Sitios .br del top 100.000 de Brasil | 1.253 | 15,7 % | 32,4 % | 51,0 % |
La protección sube mucho con el tamaño: las empresas con cuatro o más locales aplican DMARC a más del doble de la tasa de las pequeñas. Las pequeñas empresas se reparten a partes iguales entre sin registro (39,9 %) y p=none (40,2 %), y el 86,4 % tiene al menos un problema de seguridad del correo.
Sector público frente a pequeñas empresas
Los organismos públicos son un blanco evidente del correo de impostores. Comparamos los dominios del sector público que podemos identificar (dominios .gov.br, .edu.br, .mil.br, .jus.br, .leg.br y .mp.br, y oficinas cartografiadas como administración pública) con las pequeñas empresas brasileñas:
| Población | Dominios | Sin registro DMARC | Solo supervisión | p=quarantine | p=reject | Aplicado |
|---|---|---|---|---|---|---|
| Dominios del sector público brasileño que podemos identificar | 1.732 | 28,1 % | 30,7 % | 28,3 % | 12,2 % | 40,5 % |
| Empresas brasileñas con 1–3 locales | 7.597 | 39,9 % | 40,2 % | 12,5 % | 6,1 % | 18,6 % |
Los dominios del sector público tienen el doble de probabilidades de aplicar DMARC que las pequeñas empresas, pero la mayoría (58,8 %) sigue sin registro o se queda en p=none. Los que lo aplican se quedan sobre todo en la cuarentena: solo el 12,2 % de los dominios del sector público usa p=reject.
Quién está más expuesto
Bufetes de abogados y agencias inmobiliarias, muy por debajo de la media brasileña
Proporción de los dominios de cada sector que reciben correo en p=quarantine o p=reject (dominios comprobados entre paréntesis).
Tiendas de bicicletas (83)
Panaderías (117)
Tiendas de informática (94)
Talleres mecánicos (155)
Bufetes de abogados (168)
Ferreterías (226)
Agencias inmobiliarias (307)
ONG (144)
Tiendas de ropa (295)
Tiendas de recambios (99)
Tiendas de muebles (159)
Asociaciones (136)
Centros comerciales (379)
Asesorías contables (124)
Concesionarios de motos (90)
Concesionarios de coches (349)
Supermercados (455)
Oficinas de empresa (606)
Agencias de publicidad (83)
Escuelas y centros de estudios superiores (143)
Empresas de informática (263)
Azul: profesiones que manejan dinero de clientes · línea discontinua: media de Brasil (25,3 %).
Las profesiones que manejan dinero de clientes no están mejor protegidas. Los bufetes de abogados (12,5 %), las agencias inmobiliarias (14,3 %) y las asesorías contables (22,6 %) están todos por debajo de la media nacional, aunque gestionan los pagos que el correo de impostores tiene en el punto de mira. Las tiendas de bicicletas (6,0 %) y las panaderías (7,7 %) son las menos protegidas; las empresas de informática encabezan la lista con el 33,8 %.
Metodología
Población. 24.186 dominios brasileños que reciben correo (registros MX operativos), de dos fuentes:
- empresas y organismos públicos brasileños cartografiados en OpenStreetMap con sitio web propio, en cualquier terminación: 8.572 dominios
- cada dominio .br del ranking de popularidad Tranco top 1 millón: 16.708 dominios que reciben correo
1.094 dominios figuran en ambas. Se excluyen perfiles sociales, directorios y páginas alojadas que la empresa no controla. Las empresas cartografiadas en Brasil que usan el dominio de un país vecino se cuentan en ese país.
Comprobaciones. Cada dominio fue analizado por el motor propio de Spoofhound, el mismo de la comprobación de dominio gratuita. Cubre SPF, DKIM (selectores conocidos de los grandes proveedores de correo como Microsoft, Google, SendGrid, Mailchimp y otros), DMARC, MTA-STS, TLS-RPT y BIMI. Cada cifra refleja un análisis en los 30 días previos al 2026-11-09.
Límites honestos.
- Sector público. Los dominios del sector público que podemos identificar (.gov.br, .edu.br, .mil.br, .jus.br, .leg.br, .mp.br y oficinas cartografiadas como administración pública) son 1.732 dominios, el 7,2 % de la muestra, y aplican DMARC al 40,5 %. Sin ellos, la cifra es del 24,2 %.
- Sesgo de muestra. Dos de cada tres dominios proceden del ranking de popularidad, y la muestra de empresas cubre empresas cartografiadas con sitio web, lo que sesga hacia oficios visibles orientados al consumidor. Las cifras de cada sector se basan en 83 a 606 dominios.
- DKIM. DKIM solo puede confirmarse presente, nunca ausente.
- Qué significa «aplicado». p=quarantine o p=reject en el propio dominio. Los registros defectuosos cuentan como no aplicados, porque así los tratan los servidores receptores.
Datos © colaboradores de OpenStreetMap (ODbL) · lista Tranco del proyecto de investigación Tranco.
¿Dónde se sitúa su dominio en estas cifras? Descúbralo en 30 segundos.
Compruebe su dominio — gratis