Investigación de Spoofhound · publicada el 2026-10-17
Estado de DMARC 2026 — Francia
El 84 % de los dominios franceses puede ser suplantado por correo.
Spoofhound analizó el web francés — cada dominio .fr que recibe correo del top un millón de Tranco más 63.069 empresas francesas cartografiadas, 71.101 dominios en total — con el mismo motor de nuestra comprobación de dominio gratuita. Así es realmente la seguridad del correo en Francia en 2026.
Compruebe su dominio — gratisLa cifra clave
El 84 % de los dominios franceses que reciben correo puede ser suplantado. De 71.101 dominios franceses comprobados, 59.920 no publican DMARC, lo dejan en modo de solo supervisión o tienen un registro defectuoso — por lo que los sistemas de correo receptores nunca reciben la orden de bloquear los mensajes falsos enviados en su nombre.
Tres cifras cuentan la historia:
- •El 84,3 % de los dominios franceses que reciben correo no tiene ninguna política DMARC aplicada. Menos de uno de cada seis (15,7 %) pide al mundo poner en cuarentena o rechazar a los impostores.
- •La brecha de las pequeñas empresas: 87 % expuestas, frente al 44 % del web popular. Las empresas francesas con una a tres sedes aplican DMARC al 13,4 %; los 100.000 sitios franceses mejor clasificados llegan al 55,8 %. Las empresas menos capaces de sobrevivir a un fraude de facturas son las menos protegidas.
- •El dominio francés medio obtiene 32,8 sobre 100 en la comprobación completa de seguridad del correo (SPF, DKIM, DMARC, MTA-STS, TLS-RPT, BIMI); el 89,9 % tiene al menos un problema que corregir.
DMARC en el web francés
Casi la mitad de los dominios franceses que reciben correo (47,4 %) no publica ningún registro DMARC — el servidor receptor no recibe ni política ni dirección de informes, así que el propietario nunca sabe que su dominio está siendo abusado. Otro 36,5 % publica un registro pero lo deja en p=none: quizá reciben informes, pero el correo de impostores sigue llegando a las bandejas. Los 318 registros defectuosos (duplicados, políticas mal escritas como «quarentine») son tratados por los receptores exactamente como la ausencia de registro.
El resto de la cadena
DMARC es la capa de aplicación, pero el análisis cubre toda la cadena. Entre los mismos 71.101 dominios franceses que reciben correo:
| Comprobación | Hallazgo | Dominios |
|---|---|---|
| SPF | Sin registro — cualquier servidor puede enviar como el dominio | 6.511 (9,2 %) |
| SPF | El registro termina en +all o ?all — publicado, pero autoriza a todos | 5.132 (7,2 %) |
| DKIM de Microsoft 365 | Ambos selectores de firma rotos — su correo saliente puede fallar la autenticación hoy mismo | 158 |
| MTA-STS | Protege el correo entrante contra la interceptación — adoptado | 276 (0,4 %) |
| TLS-RPT | Informa de fallos de entrega segura — adoptado | 414 (0,6 %) |
| BIMI | Logotipo verificado en la bandeja — activo | 532 (0,7 %) |
Las capas de cifrado y de marca apenas existen en Francia: menos de un dominio de cada cien tiene MTA-STS, TLS-RPT o BIMI. Para los pioneros es una oportunidad — un logotipo verificado y una seguridad de transporte aplicada siguen siendo aquí diferenciadores, no requisitos básicos.
Pequeñas empresas frente al web popular
Esta es la división que ningún otro estudio mide: los informes del sector muestrean sitios populares, justo donde el problema no está.
| Población | Dominios comprobados | Sin registro DMARC | Solo supervisión | Aplicado |
|---|---|---|---|---|
| Empresas francesas con 1–3 sedes (comercios, despachos, oficios) | 61.305 | 50,2 % | 35,9 % | 13,4 % |
| Los 100.000 sitios franceses mejor clasificados | 1.472 | 13,4 % | 30,7 % | 55,8 % |
El web popular ya ha hecho en gran parte el trabajo — empujado por las reglas de remitentes de 2024 de Google y Yahoo y por los equipos de seguridad. La panadería, el bufete y el taller no tienen a nadie que les empuje: el 86,6 % de las pequeñas empresas francesas puede ser suplantado por correo, y la mayoría no tiene dirección de informes, así que nunca lo sabría. Y son precisamente las empresas donde una sola factura falsa a un cliente, o un solo mensaje suplantado a su contable, es un suceso existencial.
Quién está más expuesto
Como los datos de empresas están cartografiados, la exposición se lee por oficio. Aplicación por sector, de peor a mejor (empresas francesas, sectores con 400+ dominios comprobados):
| Sector | Dominios | Sin registro DMARC | Aplicado |
|---|---|---|---|
| Peluquerías | 1.477 | 66,8 % | 6,0 % |
| Librerías | 1.145 | 58,0 % | 6,9 % |
| Ópticas | 916 | 56,6 % | 7,5 % |
| Vinotecas | 882 | 48,6 % | 7,8 % |
| Salones de belleza | 1.256 | 54,9 % | 8,0 % |
| Talleres mecánicos | 1.243 | 67,7 % | 8,5 % |
| Panaderías | 1.048 | 56,3 % | 9,3 % |
| Concesionarios | 1.447 | 61,1 % | 9,6 % |
| Inmobiliarias | 3.771 | 59,0 % | 10,2 % |
| Tiendas de ropa | 1.976 | 38,5 % | 16,3 % |
| Oficinas de empresas | 5.041 | 38,3 % | 26,7 % |
| Administraciones públicas | 1.322 | 29,0 % | 35,8 % |
Dos lecturas saltan a la vista. Las inmobiliarias — empresas que envían habitualmente datos bancarios por correo para fianzas y alquileres — aplican DMARC al 10,2 %, y el 59 % no publica nada; quizá sea el sector desprotegido de mayor riesgo de Francia. Y el gradiente de las peluquerías (6 %) a la administración (36 %) sigue al soporte informático, no al riesgo: la protección va donde están los informáticos, no donde está la exposición al fraude.
Metodología
Población. 71.101 dominios franceses que reciben correo (registros MX operativos), de dos fuentes: cada dominio .fr del ranking de investigación Tranco top 1 millón de sitios populares (12.412 reciben correo), y 63.069 empresas francesas cartografiadas en OpenStreetMap con sitio web propio (cualquier terminación; páginas de plataformas y perfiles sociales excluidos). 4.380 dominios figuran en ambas. Se excluyen los dominios sin MX y los de páginas alojadas que la empresa no controla.
Comprobaciones. Cada dominio fue analizado por el motor propio de Spoofhound — el mismo de la comprobación de dominio gratuita — cubriendo SPF, DKIM (29 selectores comunes), DMARC, MTA-STS, TLS-RPT y BIMI, mediante DNS y la obtención de los archivos de política. Cada cifra refleja un análisis realizado en los 30 días previos al 2026-10-17.
Límites honestos. DKIM solo puede confirmarse presente, nunca ausente, así que no se hacen afirmaciones de ausencia de DKIM. La muestra de empresas cubre negocios cartografiados con sitio web, lo que sesga hacia oficios visibles orientados al consumidor. «Aplicado» significa p=quarantine o p=reject en el dominio organizativo; pct<100 y los registros defectuosos cuentan como no aplicados, tal como los tratan los receptores.
Datos © colaboradores de OpenStreetMap (ODbL) · lista Tranco del proyecto de investigación Tranco.
¿Dónde se sitúa su dominio en estas cifras? Descúbralo en 30 segundos.
Compruebe su dominio — gratis