Investigación de Spoofhound · 2026-11-08
Estado de DMARC 2026 — Canadá
Más de tres de cada cuatro dominios canadienses pueden ser suplantados por correo.
Spoofhound analizó el web canadiense: 26.451 dominios que reciben correo, de los sitios populares del país y de empresas locales cartografiadas en cada provincia y territorio, comprobados con el mismo motor que nuestra comprobación de dominio gratuita.
Compruebe su dominio — gratisLa cifra clave
Más de tres de cada cuatro dominios canadienses que reciben correo pueden ser suplantados. De 26.451 dominios comprobados, 20.394 (77,1 %) no tienen una política DMARC aplicada: sin registro, solo supervisión o un registro defectuoso. Los sistemas de correo receptores nunca reciben la orden de bloquear los falsos enviados en su nombre.
Tres cifras cuentan la historia:
- •El 22,9 % aplica DMARC. Eso sitúa a Canadá entre Estados Unidos (19,4 %) y el Reino Unido (24,5 %), por detrás de India (24,9 %), Sudáfrica (34,1 %) y Arabia Saudí (45,7 %), y por delante de Francia (15,7 %).
- •Las pequeñas empresas canadienses igualan a las estadounidenses: 18,6 % frente a 18,5 %. Las empresas con uno a tres locales están tan expuestas al norte de la frontera como al sur.
- •La brecha por tamaño: 18,6 % frente a 64,0 %. Las empresas con diez o más locales aplican DMARC al 64,0 %, y los sitios .ca del top 100.000 al 56,7 %.
El dominio canadiense medio obtiene 33,8 sobre 100 en la comprobación completa de seguridad del correo, y el 82,6 % tiene al menos un problema que corregir.
DMARC en el web canadiense
El 77 % de los dominios canadienses que reciben correo pueden ser suplantados
20.394 de los 26.451 dominios comprobados no tienen una política DMARC aplicada.
Sin registro DMARC
Solo supervisión (p=none)
Registro defectuoso o duplicado
p=quarantine
p=reject
Rojo: los receptores nunca reciben la orden de bloquear los falsos · Verde: el correo de impostores se pone en cuarentena o se rechaza.
Cuatro de cada diez dominios canadienses no tienen registro DMARC (42,3 %), y un tercio publica uno pero lo deja en p=none (34,3 %). El grupo de solo supervisión es el que más importa comercialmente. Estas organizaciones ya empezaron y puede que reciban informes, pero se detuvieron antes del ajuste que de verdad bloquea el correo de impostores. Terminar ese trabajo es exactamente lo que hace Spoofhound.
El resto de la cadena
| Comprobación | Hallazgo | Dominios |
|---|---|---|
| SPF | Sin registro: cualquier servidor puede enviar en nombre del dominio | 3.370 (12,7 %) |
| SPF | Registro que termina en +all o ?all: publicado, pero permite a todos | 807 (3,1 %) |
| DKIM de Microsoft 365 | Ambos selectores de firma rotos: el correo saliente puede fallar la autenticación hoy mismo | 96 |
| MTA-STS | Protege el correo entrante contra la interceptación: adoptado (106 de ellos solo en modo de prueba) | 216 (0,8 %) |
| TLS-RPT | Informa de entregas seguras fallidas: adoptado | 298 (1,1 %) |
| BIMI | Logotipo verificado en la bandeja de entrada: activo | 302 (1,1 %) |
Uno de cada ocho dominios canadienses no tiene ningún registro SPF, entre India (11,6 %) y Estados Unidos (17,8 %). Sin SPF, una empresa no puede llegar a aplicar DMARC sin romper su propio correo. Los estándares más recientes son raros: alrededor de 1 de cada 100 dominios usa MTA-STS, TLS-RPT o BIMI.
Pequeñas empresas frente a las más grandes
| Población | Dominios comprobados | Sin registro DMARC | Solo supervisión | Aplicado |
|---|---|---|---|---|
| Empresas canadienses con 1–3 locales (tiendas, oficinas, oficios) | 21.063 | 46,8 % | 34,0 % | 18,6 % |
| Empresas canadienses con 4–9 locales | 387 | 10,9 % | 39,5 % | 48,6 % |
| Empresas canadienses con 10 o más locales | 292 | 5,8 % | 30,1 % | 64,0 % |
| Sitios .ca del top 100.000 | 402 | 10,7 % | 32,3 % | 56,7 % |
La protección sube de forma constante con el tamaño, como en Estados Unidos. Las cadenas y los sitios conocidos ya han hecho buena parte del trabajo: solo alrededor de una de cada veinte empresas con diez o más locales carece de registro DMARC. Las pequeñas empresas son lo contrario: casi la mitad no publica nada y el 86,4 % tiene al menos un problema de seguridad del correo.
Quién está más expuesto
El comercio de barrio protege menos de un dominio canadiense de cada diez
Proporción de los dominios de cada sector que reciben correo en p=quarantine o p=reject (dominios comprobados entre paréntesis).
Floristerías (244)
Peluquerías (651)
Panaderías (482)
Salones de belleza (687)
Tiendas de bicicletas (355)
Talleres mecánicos (586)
Cervecerías (245)
Tiendas de cannabis (211)
Ópticas (274)
Tiendas de ropa (847)
Agencias inmobiliarias (294)
Concesionarios (814)
Bufetes de abogados (418)
Asesorías contables (184)
Oficinas de empresa (1.274)
Oficinas financieras (109)
Agentes de seguros (248)
Oficinas del gobierno (255)
Empresas de informática (171)
Azul: profesiones que manejan dinero de clientes · línea discontinua: media canadiense (22,9 %).
El patrón se parece mucho al de Estados Unidos. Floristerías, peluquerías, panaderías y tiendas de bicicletas protegen menos de un dominio de cada diez. Los agentes inmobiliarios se quedan en el 16,7 %, por debajo de la media nacional, aunque manejan depósitos que el fraude de facturas tiene en el punto de mira. Las empresas de informática encabezan la lista con el 45,0 %, y aun así más de la mitad deja su propio nombre sin protección.
Metodología
Población. 26.451 dominios canadienses que reciben correo (registros MX operativos), de dos fuentes:
- empresas canadienses cartografiadas en OpenStreetMap con sitio web propio, en cualquier terminación: 21.742 dominios
- cada dominio .ca del ranking de popularidad Tranco top 1 millón: 5.353 dominios que reciben correo
644 dominios figuran en ambas. Se excluyen perfiles sociales, directorios y páginas alojadas que la empresa no controla.
Comprobaciones. Cada dominio fue analizado por el motor propio de Spoofhound, el mismo de la comprobación de dominio gratuita. Cubre SPF, DKIM (selectores conocidos de los grandes proveedores de correo como Microsoft, Google, SendGrid, Mailchimp y otros), DMARC, MTA-STS, TLS-RPT y BIMI. Cada cifra refleja un análisis en los 30 días previos al 2026-11-08.
Límites honestos.
- Sin una cifra aparte solo para empresas. Los dominios gubernamentales canadienses bajo .gc.ca y los sufijos provinciales .gov son solo 46 de la muestra, y las universidades usan nombres .ca normales que no se pueden distinguir. En la práctica, la cifra principal ya es una cifra de empresas.
- Sesgo de muestra. La muestra cubre empresas cartografiadas con sitio web, lo que sesga hacia oficios visibles orientados al consumidor. Las cifras de cada sector se basan en 100 a 1.300 dominios.
- DKIM. DKIM solo puede confirmarse presente, nunca ausente.
- Qué significa «aplicado». p=quarantine o p=reject en el propio dominio. Los registros defectuosos cuentan como no aplicados, porque así los tratan los servidores receptores.
Datos © colaboradores de OpenStreetMap (ODbL) · lista Tranco del proyecto de investigación Tranco.
¿Dónde se sitúa su dominio en estas cifras? Descúbralo en 30 segundos.
Compruebe su dominio — gratis